1、4G偽基站問題與分析1 4G偽基站的影響分析通過測試，共發(fā)現(xiàn)13處偽基站，是北京4G建網(wǎng)以來首次發(fā)現(xiàn)，主要出現(xiàn)在機場高速收費站、各高速檢查站、出入口、懷柔市區(qū)主干道。分公司偽基站位置順義貨運北路5號滑行橋順義機場高速收費站順義4緯路與6經(jīng)路交叉口順義機場二高速收費站懷柔G111與南環(huán)路隧道交叉口懷柔范歧路與G111交叉口南150米懷柔京承14出口輔路東側(cè)懷柔京承15出口中影基地南側(cè)南150米懷柔湯河口檢查站懷柔寶山寺檢查站通州通州永樂收費站密云古北口檢查站平谷平谷岳各莊大橋由于4G偽基站存在的干擾情況，周邊基站切換成功率及RRC重建比率惡化嚴(yán)重，受影響的17個小區(qū)，切換成功率指標(biāo)平均惡化28%

2、，RRC重建問題比例惡化約19%。嚴(yán)重影響用戶感知。小區(qū)號最大切換成功率最小切換成功率最大RRC重建比例最小RRC重建比例朝陽機場南線T3收費站HL-199.99%99.77%3.46%0.19%朝陽機場南線T3收費站HL-399.96%25.34%28.60%0.35%懷柔寶山寺HL-199.42%77.92%31.48%0.15%懷柔彩各莊東北HL-1100.00%98.27%19.96%0.19%懷柔彩各莊東北HL-53100.00%54.37%28.72%0.73%懷柔焦村HLF-399.92%94.83%16.15%1.42%懷柔青青垂釣園HL-199.96%38.27%44.26%

3、0.22%懷柔新新小鎮(zhèn)西側(cè)HLG-2100.00%98.55%9.35%0.26%懷柔中影基地南側(cè)HL-299.82%91.21%20.01%0.75%密云古北口舊長城HL-199.97%98.70%3.73%0.43%密云澇洼FHL-199.39%40.02%15.30%0.71%平谷體育中心HL-299.91%81.01%3.19%0.45%平谷岳各莊大橋HL-399.93%99.40%0.71%0.26%順義機場4號滑行橋1HL-13199.43%76.07%24.33%0.46%順義新華基地HL-299.56%3.74%62.32%0.50%通州永樂收費站共高鐵HL-13399.01%

4、40.54%26.60%3.01%通州永樂收費站共高鐵HL-14397.83%96.87%0.91%0.41%總計99.65%71.46%19.95%0.62%通過對其中6個影響較為明顯的偽基站地區(qū)進行評估，每日約有2853個用戶受到偽基站影響。 分公司偽基站位置平均每天影響用戶數(shù)懷柔G111與南環(huán)路隧道交叉口1579懷柔京承14出口輔路東側(cè)949懷柔京承15出口中影基地南側(cè)南150米2350密云古北口檢查站4326密云司馬臺檢查站2600通州通州永樂收費站53152 4G偽基站原理介紹2.1 4G偽基站原理介紹2.2 技術(shù)根源雖然4G采用雙向鑒權(quán),但3GPP 24.301的中規(guī)定，在平安激活

5、前，Identity Request獲取IMSI、TAU Reject等NAS信令可以沒有完整性保護。因為，網(wǎng)絡(luò)需要先知道用戶身份，才能進行加密和完整性保護。協(xié)議定義，一旦核心網(wǎng)無法確認用戶IMSI，可隨時向用戶下發(fā)Identity Request消息，無需與其他消息如TAU請求綁定。Integrity checking of NAS signalling messages in the UEExcept the messages listed below, no NAS signalling messages shall be processed by the receiving EMM e

6、ntity in the UE or forwarded to the ESM entity, unless the secure exchange of NAS messages has been established for the NAS signalling connection:-EMM messages:-IDENTITY REQUEST (if requested identification parameter is IMSI);-AUTHENTICATION REQUEST;-AUTHENTICATION REJECT;-ATTACH REJECT;-DETACH REQU

7、EST;-DETACH ACCEPT (for non switch off);-TRACKING AREA UPDATE REJECT;-SERVICE REJECT.3 測試信令分析3.1 Mate8測試分析1進入偽基站后回到4GPCI356為偽基站小區(qū)，當(dāng)UE占用PCI110時RSRP-76.38dbm，向PCI356切換失敗導(dǎo)致重建，重建拒絕后進入空閑態(tài)。UE進行小區(qū)重選，由于目標(biāo)小區(qū)TAC為17963，UE上報TAU請求。偽基站側(cè)通過下發(fā)Identity Request讀取UE IMSI，完成后TAU請求被拒，拒絕原因是no-Suitable-Cells-In-tracking-ar

8、ea (15)。TAU請求拒絕后，UE重選附近正常基站恢復(fù)正常。2進入偽基站后回落23G15:44:36進入偽基站PCI 215發(fā)起TrackingAreaUpdateRequest 攜帶原TAC 4377，在15:44:36:710終端收到TrackingAreaUpdateReject消息，攜帶原因：eMM-cause:no-Suitable-Cells-In-tracking-area (15)。TAU被拒后，UE重新接收系統(tǒng)消息在15：44：37.971發(fā)起TrackingAreaUpdateRequest 攜帶old LAC 4377，成功接入正常4G小區(qū)TAC:4377查看正常4G

9、小區(qū)的PCI為 275，偽基站的PCI為215兩者之間存在模三干擾導(dǎo)致SINR值-17db，低于 設(shè)定的門限，導(dǎo)致4G脫網(wǎng)重選進入了2GLAC為43773結(jié)論華為Mate8終端進入偽基站后發(fā)起TAU請求失敗后，會優(yōu)先搜索4G頻點小區(qū)駐留，假設(shè)偽基站區(qū)域沒有搜索到4G小區(qū)才接入2G。但如果偽基站信號過強，存在模三干擾，會導(dǎo)致 的SINR非常差，從而4G脫網(wǎng)重選進入2G。3.2 HTC分析1回落3G15:47:04起進入偽基站并發(fā)起Tracking area update request攜帶原TAC4377連續(xù)發(fā)起5次沒有響應(yīng)，偽基站RRC連接無響應(yīng)導(dǎo)致TAU無響應(yīng)。隨后15:47:47.125回

10、落至TDS小區(qū)。15:47:48.369在TDS小區(qū)進行LOCATION_UPDATE_REQUEST攜帶TAC65534；2回落2G15:49:16.580小區(qū)重選占用2G小區(qū)53422,4377，在15:49:17.070發(fā)起LOCATION_UPDATE_REQUEST攜帶LAC為65534，15:49:18.998收到LOCATION_UPDATE_ACCEPT更新新的LAC 4377。隨后15:49:19.233終端一直在2、3G之間駐留至測試結(jié)束時間15:53:34.621。3結(jié)論終端進入偽基站后連續(xù)發(fā)5次TAU Request都未響應(yīng)，后回落至2/3G網(wǎng)絡(luò)，在2/3G網(wǎng)絡(luò)中發(fā)起L

11、AU Request， 刪除old LAC上報65534，發(fā)起LAU成功后終端就一直在2/3G網(wǎng)絡(luò)駐留。3.3 相關(guān)協(xié)議1TAU請求被拒相關(guān)描述協(xié)議中關(guān)于TAU請求被拒，拒絕原因是no-Suitable-Cells-In-tracking-area (15)，終端行為的描述：UE將在相同的PLMN下其他TAC尋找一個小區(qū)。因此，如果 繼續(xù)在其他4G小區(qū)上作TAU，不需要刪除原來的TAI。但是如果 需要去2、3G上發(fā)起注冊，參考24008協(xié)議中的15原因值處理。24008中對原因值15處理如下：刪除old LAI，協(xié)議規(guī)定 需要把LAI配置成FFFE，代表無效值。Log如下：TAU不刪除TAIL

12、AU刪除LAI：2TAU請求無響應(yīng)的描述協(xié)議中關(guān)于TAU請求無響應(yīng)的描述：如果嘗試次數(shù)到達5次，CS/PS Mode 1類型的終端將選擇2G或3G網(wǎng)絡(luò)駐留。什么時候開啟4G取決終端實現(xiàn)。Abnormal cases in the UEif the tracking area updating attempt counter is equal to 5, the UE shall delete any LAI, TMSI, ciphering key sequence number and list of equivalent PLMNs and set the update status to

13、 U2 NOT UPDATED. A UE operating in CS/PS mode 1 of operation shall select GERAN or UTRAN radio access technology and proceed with appropriate MM or GMM specific procedures.NOTE:It is up to the UE implementation when to enable E-UTRAN radio access technology selection.4 發(fā)現(xiàn)4G偽基站的方法根據(jù)不同類型 在進入4G偽基站后都存在著

14、不同程度回落23G的問題，通過研究，可以通過以下條件進行異常VLR記錄的提取：1、發(fā)生一次位置更新VLR_RADIO_ACCESS_INFO=5在4G網(wǎng)絡(luò)2、15分鐘內(nèi)發(fā)生第二次位置更新VLR_RADIO_ACCESS_INFO=1或2 ，且VLR_PREVIOUS_LAC= 65534在23G網(wǎng)絡(luò)，且last LAC=65534通過全網(wǎng)VLR數(shù)據(jù)分析，發(fā)現(xiàn)以下小區(qū)存在較多的異常事件，其中海淀恩菲大廈TDB3、懷柔焦村、延慶東曹營通過現(xiàn)場確認存在偽基站設(shè)備。CI制式異常次數(shù)name32493G2054海淀恩菲大廈TDB390532G1144懷柔焦村NG3131483G964順義李橋鎮(zhèn)京平高速沮

15、溝出口HTDG2405402G824大興京南藝景花木種植場330983G762朝陽奶東村TDB2586932G705延慶東曹營NG35 4G偽基站替換解決意見為了滿足特定區(qū)域監(jiān)控用戶，需要針對特定區(qū)域建設(shè)專門覆蓋的基站，該基站需要設(shè)置不同的LAC，一旦用戶進入該基站覆蓋范圍，會觸發(fā)正常位置更新，網(wǎng)絡(luò)側(cè)即可得到該用戶位置信息： 1、優(yōu)先建議利用現(xiàn)網(wǎng)的LAC區(qū)邊界，該方式不影響現(xiàn)網(wǎng)性能，但LAC邊界與監(jiān)控地點需要嚴(yán)格匹配 2、如果不滿足需求那么需在現(xiàn)網(wǎng)設(shè)置插花小區(qū)，該方式會影響網(wǎng)絡(luò)性能，但性能較仿真基站會有提升。6 總結(jié)4G系統(tǒng)通過雙向鑒權(quán)杜絕了類似2G偽基站群發(fā)短信的可能，但不能杜絕獲取用戶IM

16、SI信息，3GPP 24.301協(xié)議規(guī)定，用戶在加密前需要明文上報用戶信息IMSI，4G偽基站利用該規(guī)那么，通過設(shè)置不同的TAC，用戶終端接近4G偽基站時，做TAU位置更新TAU request，上報IMSI信息，偽基站捕獲到用戶IMSI信息后，通過TAU update reject消息釋放用戶，導(dǎo)致用戶回4G或回落23G，不同終端由于對于接入失敗有不同的處理方式影響也不同。 華為Mate系列 ：從正常4G基站進入偽基站TAU被拒絕后，終端會將偽基站播送TAC放入黑名單，優(yōu)先搜索其他TAC 4G頻點小區(qū)駐留，如果4G小區(qū)與偽基站之間存在較強干擾，SINR值惡化，會導(dǎo)致終端無法占用4G小區(qū)，脫網(wǎng)后重選進入了2G小區(qū)，脫離偽基站區(qū)域200米后重選到4G網(wǎng)絡(luò)，由于終端具備黑名單機制，不會再次被偽基站捕獲。其它終端蘋果、HTC、三星：從正常4G基站下進入偽基站后，一種情況是偽基站發(fā)送TAU update reject拒絕接入，終端不會優(yōu)選TAC