移动通信接入网看似金城汤池，实则岌岌可危

本文 10599字   阅读约需  35分钟

目前移动通信网络处于多类通信技术体制并存、多种无线接入网络并立的持续演进状态。

接入网络侧的加密鉴权、完整性保护措施、密钥分配等安全机制已经相对完善，但用户终端鉴权前不加密，以及无线信号测量与网络通信能力协商等公开信息渠道的存在，使得具备无线被动监测与主动侵扰能力的攻击者依然得以渗透利用、并发起无线接入网络攻击，实现部分机密性信息有效获取和拒绝服务效果。

针对移动通信接入网络面临的安全风险，笔者特别就移动通信接入网络空中接口协议脆弱性与攻击机理进行了深度分析。

首先，笔者给出移动通信网络的整体视图，并就其中的关键要素进行解释，为后续阐述提供基本概念，以形成对移动通信网络整体视角上的认知同步。

图1 移动通信网络整体视图

用户终端（User Equipment,UE），是用于与移动通信网进行通信并使用其移动业务的终端设备，其基带处理器用于承载多个代际的移动通信技术协议栈，其用户身份识别模块SIM（第2代移动通信技术使用）/通用身份识别模块USIM（第3、4代移动通信技术使用）用于标识移动用户身份并存储认证信息，其中包括用户永久身份识别码IMSI（国际移动用户识别码）、对称加密密钥等。除UE永久身份信息之外，出于用户敏感信息保护等因素考虑，接入移动通信网络的用户终端UE还会分配临时身份TMSI（临时移动用户标识符），用于基站寻呼和核心网通信。

无线接入网络（Radio Access Network，RAN），用于连接用户终端UE和移动通信核心网络、提供数据通路和服务通道，主要由各类基站设施组成。其中：第2代移动通信网使用BTS、第3代移动通信网使用nodeB、第4代移动通信网使用eNodeB作为用户终端的入网访问点。为便于移动性管理，移动核心网对多个基站设施使用小区制进行通信组织，其中：使用电路交换技术的第2代、第3代移动通信网使用位置区LA；使用分组交换技术的第4代移动通信网使用跟踪区TA，第2代、第3代移动通信网使用路由区LA。

核心网络（Core Network，CN），主要提供用户终端移动性管理、语音呼叫、互联网连接与数据服务等功能，由负责移动性管理、通信连接和安全防护的核心网元组成，其中归属位置寄存器HLR（第2代移动通信网使用）或归属位置服务器HSS（第3代、第4代移动通信网使用）是用来存储用户终端位置信息、认证数据和归属映射关系的集中式数据库，其安全控制功能主要由认证中心AuC承接；GSM（第2代移动通信网典型代表）和UMTS（第3代移动通信网典型代表）使用7号信令系统完成包括呼叫构建、用户漫游、移动性管理等移动通信业务流程。7号信令系统安全机制设计非常不充分，当前7号信令系统已经实现IP承载；LTE（第4代移动通信网典型代表）开始全面使用IP技术改造核心网络基础设施，比如由基于SIP协议的IP多媒体系统IMS承接语音、视频、文字消息等移动数据业务等。

无线信道（Radio Channel）。GSM、UMTS和LTE等移动通信网络在无线频段、调制方式、无线空口接入方式上有显著差异，但是在无线信道设计上都使用3类逻辑信道：①广播控制信道，用于向用户终端发布基站位置、当前小区和邻近小区信息以及网络配置信息；②寻呼信道，用于寻找发现语音呼叫、移动数据传输的标的用户终端；③专用信道，用于单个用户终端与通信网络进行专项数据交换，如果数据交换由移动通信网发起，专用信道是唯一进行进行数据加密和完整性保护的信道。

认证前数据传输和安全措施（Pre Authentication Traffic and Security Establishment）。除非由移动通信网络发起的无线连接，移动数据通信都不加密，也没有完整性保护措施，更没有认证，只有用于特定移动终端的专用信道才是加密的，而包括广播信道、寻呼信道、无线通信资源分配和底层信令的其他传输都没有加密和完整性措施保护，这里将认证会话构建之前所有无线数据传输定义为“认证前数据传输”。UMTS移动通信网络使用认证与密钥交换协议AKA建立认证会话，该协议是典型的“挑战-应答”安全协议，用于认证参与通信过程的双方并生成用于数据通信的会话密钥，该会话密钥由存储在用户身份模块SIM中的对称加密密钥生成，具体AKA协议取决于SIM使用的密钥算法、移动网络运营商的AuC和无线接入技术体制。

GSM移动通信网络只构建用户终端认证，不进行网络认证；UMTS和LTE移动通信网络都构建双向认证。GSM移动通信网络中COMP128算法是事实加密标准，UMTS和LTE移动通信网络的会话密钥生成需要用户终端UE和通用用户身份模块USIM共同配合完成，并使用更加先进的TUAK生成算法。

移动性管理和寻呼（Mobility Management and Paging）。如果移动终端没有主动数据传输或语音呼叫，终端将自动进入待机状态，此时移动通信网络只能掌握移动终端大致位置（处于哪个位置区LA中）；移动终端需要时刻监听无线寻呼信道，做好接入语音呼叫、接收短消息、收取基站发送的寻呼消息的准备；如果接到寻呼消息，移动终端就会主动请求建立专用信道，为即将到来的无线数据传输作准备。此时，如果终端漫游到其他位置区（电路交换网络），终端需要向通信网络发起位置区更新业务流程，通知通信网络其物理位置的变化情况；此外，移动终端正常情况下每24小时要主动向通信网络发起位置区更新业务流程，以确保通信网络知晓其位置变化。对于分组交换网络的路由区RA或追踪区TA，其移动性管理过程大体相同；而基站广播信道中也会定期更新邻近小区列表和中心频率情况，便于各个移动终端更快地发现邻近小区。

移动终端与基站子系统、核心网络移动性管理实体之间，在鉴权流程之前数据传输不加密，是各个代际移动通信技术体制均存在的安全暴露面，而且是无法封堵或调整的系统脆弱性，因为加密与完整性保护措施实施前，无线空口通信需要事先协商好网络通信能力、终端自身状态、参考信号强度、物理移动位置、加密保护要求等基本通信参数，否则鉴权与密钥验证AKA流程就不具备实施的基础。

攻击者打穿无线空中接口很难，但是利用无线空口的公开信息展开终端位置信息推断、篡改网络能力参数迫使终端失能等渗透攻击活动，还是有可能实现的。

（一）用户终端鉴权前的数据通信不加密

自2G GSM网络开始就已经有用户终端UE接入核心网络前的鉴权流程AKA，3G UMTS网络和4G EPC网络都对鉴权流程进行持续完善，提高其加密与完整性保护措施强度，增加加密算法协商种类与密钥层次，区分细分信令数据与用户数据的保护强度。但是，用户终端UE与核心网络之间的上下行链路却是在鉴权流程完成后、双方就加密算法和密钥进行协商后才实现移动数据传输的加密与完整性保护。在此之间，UE与核心网之间的所有信令数据既不加密，也没有完整性保护，也没有鉴权认证。在这个阶段，用户终端UE对核心网络完全信任，对其信令数据的恶意利用就可以实施包括降级攻击、定位信息窃取攻击等攻击活动。

最典型的攻击案例就是伪基站，这不仅仅是2G GSM网络时代利用其单向认证缺陷进行攻击，而是在当前移动通信网络环境下利用鉴权流程发起前移动数据不加密的攻击窗口进行攻击。比如，在移动通信核心网络未对用户终端UE实施鉴权流程前，需要了解掌握UE的身份标识信息（比如IMSI）；对于核心网络而言，可以使用“身份信息请求”等合法业务流程去获取，但攻击者则很难获得该权限，不过也可以通过“连接性攻击”，通过UE的临时身份标识TMSI来获取其永久身份标识IMSI，或者利用重复发起寻呼请求的方式来判定目标用户终端UE是否在信号邻近区域（这接近于定位攻击），再或者由于鉴权流程时基站使用广播信道和寻呼信道发出的数据都是未加密，攻击者可以通过互联网数据流量来多次发起“短呼叫”（Short Call），即发起呼叫请求在对方振铃前挂断，核心网就不断对目标UE进行寻呼请求，从而得到目标UE的临时身份标识TMSI。

（二）移动终端与核心网之间的双向鉴权实际上不存在

GSM移动通信网络只进行单向认证，移动终端UE很容易被虚假网络（比如伪基站）欺骗；UMTS移动通信网的鉴权与密钥协商AKA流程进行了双向认证，有效阻断了原本在2G移动网络中普通存在的中间人攻击MITM活动。但是，利用鉴权流程前无线数据通信不加密的脆弱性，攻击者能够发起降级攻击（Downgrade Attack），迫使UMTS或LTE核心网络调低安全等级或使用非加密算法（EEA0/EIA0），实际使用GSM网络提供移动数据服务。

移动通信网是网络中心架构，绝大多数通信业务决策流程由核心网发起并实施。如果移动终端UE无从验证接入网络的真实性，终端UE对核心网络的绝对信任使得虚假网络欺骗的技术难度迅速降低，通过伪基站方式进行核心网络攻击渗透即使在当前移动通信网络中也同样有效。

伪基站通过禁绝小区广播信息、调高小区切换信号阈值等技巧，持续“吸附”移动终端UE始终停留在伪基站创建的虚假网络内，移动终端UE可能对此并无觉察，其所有的语音呼叫和短信消息都通过伪基站转接到外部真实移动通信网络。伪基站也可以通过恶意曲解终端UE信号测量报告等方法来降低无线通信效率，迫使终端UE使用非加密算法（EEA0/EIA0）进行移动数据保护，伪基站就能够进一步获取终端UE的加密密钥。如果伪基站具备7号信令协议栈攻击能力，甚至能够在移动数据流量中插入或删改通信数据。

（三）无线空口信道加密算法强度不够

密码系统的设计最起码应该遵循柯尔霍夫定律，即密码系统就算被所有人知道系统的运作步骤，仍然是安全的。或者说密码系统的对抗强度应该完全依赖于密钥的对抗强度，而不依赖于密码算法。

但是，GSM网络系统使用的所有鉴权加密算法，除A5/3、A5/4加密算法之外，都可以在数分钟之内使用通用计算平台破解。A5/1加密算法使用三个级联的线性反馈移位寄存器产生64位（Bit）长度的随机数，使用彩虹表可以实时破解；A5/2加密算法是将随机数长度缩短，其加密速度并未提升且加密强度依然很差，使用唯密文攻击可以实时破解。A5/3加密算法使用KASUMI密钥流生成器，当前不可破解是因为其破解需要获取2²⁶规模的数据。GSM网络使用的GEAx系列加密算法的加密强度和破解难度，与A5系列相应的加密算法相同。此外，GSM网络中加密能力和用户终端都未进行完整性保护，攻击者完全可能篡改加密算法（比如A5/3加密算法）协商的握手过程，阻止其协商成功，强制其降级使用A5/1加密算法。

UMTS和LTE网络在加密算法强度上进行了重大改进，完全遵循柯尔霍夫定律。截至目前，只有基于KASUMI密钥流生成器的UEA1算法被证实可破解，其他加密算法破解所需的数据规模都远远超出当前计算能力。

最后，几乎所有代际的移动通信网络系统都保留有不加密的加密算法，比如UMTS网络的UEA0算法、LTE网络的EEA0算法，用于在无线信道质量极差情况下移除加密措施，或是紧急通信场景；由于最终是核心网元负责选择加密算法，用户终端实际上并不觉察是否使用加密措施，所以各类移动通信网络标准都规定用户终端UE应该有加密提示。如果不使用加密措施应该有告警，但实际上所有移动运营商和终端设备生产商都没有落地执行此标准要求。