蔡立伟

（国家无线电监测中心云南监测站，昆明　650031）

浅谈OT860在伪基站查找中的应用

蔡立伟

（国家无线电监测中心云南监测站，昆明650031）

本文介绍了伪基站查找的背景，分析了伪基站的工作原理和识别方法，并介绍了云南站利用OT860测试工具查找伪基站的经验，最后提出了改进建议。

伪基站；OT860；C1/C2值；GSM系统；小区重选

1　引言

伪基站是伪装成公众移动运营商基站，以提取移动终端信息进行信息传递的无线电收发信电台。伪基站非法占用频谱资源，可以随处移动，使手机脱离正常通信网络，影响用户通信质量，并且可以直接向接入的手机群发短信，伪造任意号码，且短信内容不受任何监管，危害巨大。近年来，不法分子利用伪基站谋取利益愈演愈烈，对社会和人民生活造成了严重影响。如果该技术被用于涉黄、涉恐、涉政等危害社会的信息，或者用于重要地点、重要人群，可能造成难以估计的后果。造成伪基站的原因是3GPP发布的GSM网络规范先天不足。GSM系统采用单向鉴权认证，手机不鉴权网络的合法性，仅在网络侧对手机进行鉴权，导致手机无法有效辨别移动基站的真伪。OT860是一套应用于GSM系统的网络分析工具，可以对任一信道和网络参数进行测试分析。该系统可单独使用，也可以与PC相连使用。本文对伪基站的工作原理和识别方法进行了分析，并介绍了我站利用OT860手机查找伪基站的经验和方法，最后提出了改进建议。

2　伪基站的工作原理

伪基站存在的根本原因是GSM系统本身存在着安全漏洞，GSM系统不支持手机与基站网络之间的双向鉴权及空中信令的完整性保护，手机接入网络时不对网络的合法性判断。伪基站通过修改系统参数，当手机在伪基站的覆盖内时诱使手机选择伪基站作为服务小区，再利用位置识别码（LAI）变化时手机需要向网络上报信息来获取用户识别码（IMSI）和设备识别码（IMEI），从而提取手机信息。伪基站可以设置任意主叫号码并对手机发送短信，通常伪基站会频繁修改位置区识别码（LAI），对于已经发送过短信的手机，伪基站拒绝将手机再次连入网络。手机选择服务小区时，主要是根据C1 和C2值的大小。

式中，A代表下行链路的优劣；B代表上行链路的好坏。如果要发起重选，C1必须大于0。当小区手机处于待机状态时，每5秒计算一次C2，具体公式如下：

式中，当H=0时Penalty Time-T＜0；当H=1 时Penalty Time-T＞0，可见Penalty Time决定了Temporary Offset的正负。当某一邻区被列入最强前六位，成为小区重选候选时，T的计时器启动，直到该小区被踢出前六位。伪基站可以通过修改参数，主要是增大基站发射功率、设置小区重选偏移量和允许手机接入的最小电频，提高C2值，使小区内的手机接入到伪基站。伪基站获得手机相关信息后，下发垃圾短信。然后手机发起位置更新，伪基站拒绝后返回正常基站小区（见图1）。

图1　伪基站工作流程图

3　伪基站识别方法

伪基站与正常基站在参数设置、信令流程、业务类型等方面有着不同，这是识别伪基站的主要依据。通常，伪基站的小区选择参数和重选参数设置的很极端，其C1/C2值比正常基站高，位置区域识别码LAI与附近基站不同，不支持GPRS业务，手机接入时间较短，一般为10s～20s，会造成手机脱网。一般查找伪基站可通过运营商后台数据进行分析，规划伪基站路线，锁定一定范围，确定伪基站后锁定基站广播信道BCCH，借助监测测向设备对伪基站进行查找（见图2）。

图2　伪基站识别步骤

4　OT860在伪基站查找中的应用

4.1OT860简介

SAGEM OT860是一种用于GSM/GPRS/ E-GPRS网络测试，并可实时显示移动网络服务小区和6个相邻小区数据的专用测试工具。使用者可根据具体情况，进行特定的测试，即对任何一个信道或网络参数进行测试。同时，可通过数据接口与PC机连接，使用后台分析软件对测试数据进行分析。该系统主要具备跟踪信息Trace、强制功能Forcing、扫频功能Scanning、跟踪信息存储Trace storage等功能。OT860能实时掌握手机所连接的服务小区和邻区的广播信道BCCH值、C1/C2值、服务小区基站识别码BSIC、最小接收门限电平值Rx、基站编号CellId、位置信息LAC、当前服务小区重选滞后值Cell Reselect Hysteresis、当前服务小区重选偏移量Cell ReselectOffset、惩罚时间Penalty Time、当前服务小区临时偏移量Temporary Offset和GPRS等基站网络层基本信息，这些都是识别伪基站的重要参数（见图3）。

图3　OT860系统界面

4.2OT860实际查找伪基站

为追求经济利益，扩大垃圾短信的接收范围，伪基站一般会选在人流密集的区域（如宾馆、商场、车站）活动。利用运营商信令监测系统对后台数据分析，可以确定伪基站大致出现位置。我站携带OT860测试工具和监测测向设备对昆明地区进行了多次伪基站查找，积累了大量数据和经验。以下为我站利用OT860系统查找伪基站的实例。伪基站吸入手机大致分为以下四个过程：

（1）系统收到伪基站广播。邻区信道BCCH为58，Cell ID值为10不正常，GPRS值为NO，惩罚时间Penalty Time值为80明显比其他小区偏大。

（2）系统工程手机的服务小区被58信道抢占，其他信道没有数值，CellId值显示为10（正常基站为3/4/5位数字），C1/C2值正常，GPRS值显示为NO。

（3）系统显示全部广播信道没有数值，几秒钟后服务小区替换为61信道，但C1，C2值仍不正常。

（4）系统测试各参数指标恢复正常，手机接入正常基站。

上述伪基站吸入手机过程时间大约持续15秒。确定伪基站广播信道BCCH为58后，按照公式（3）计算对应58信道的频率为901.6MHz。

f=890.2+（n-1）×0.2（3）

式中，n为BCCH信道编号。利用监测测向系统对该频率进行测向定位，最终查找到伪基站。

值得一提的是，在伪基站查找中监测测向系统应满足尽量携带方便、系统灵敏度高、天线方向性强、伪装性好等要求。伪基站信号由于高楼建筑等反射，不易查找。在街道口，一般示向度会有明显的变化，在无法确定伪基站的方位时，街道口的示向度可以作为一个参考，以提高查找的效率和准确性。

5　结束语

OT860系统在伪基站查找中能识别伪基站广播信道，利用监测测向系统可以对伪基站进行查找。我站在多次的伪基站查找过程中发现伪基站所用的频率很有可能是附近某个合法基站所用的频率，查找逼近过程中可能会被合法基站所误导，这对伪基站查找是个很大的麻烦，需要加以识别。另外，OT860系统应改进语音报警设置，对及时发现的信息进行预报和存储，避免人为因素漏掉一些关键信息，这对实际的伪基站查找工作是很有必要的。

Analysis on the Application of OT860 in Searching Pseudo Base Station

Cai Liwei
（The State Radio Monitoring Center Yunnan Station， Kunming， 650031）

This paper introduces the background of searching pseudo base station， analysis the work principle and method for the identifcation of pseudo base station. It combines with the experience of searching pseudo base station byusing OT860 for my station， expounds the method of using OT860 to search the pseudo base station and puts forward some suggestions for improvement.

Pseudo Base Station； OT860； C1/C2 Value； GSM System； Cell Reselection

10.3969/j.issn.1672-7274.2015.02.013

TN92文献标示码：B

1672-7274（2015）02-0069-03

蔡立伟，男，1987年生，本科，助理工程师，毕业于昆明理工大学通信工程专业，现任职于国家无线电监测中心云南监测站，主要从事无线电监测工作。