CellGuard：分析蜂窝网络运行方式和监控方式，发现存在的恶意基站

CellGuard 是一个研究项目，旨在分析蜂窝网络的运行方式和可能的监控方式。iOS 版 CellGuard 应用程序可以发现针对 iPhone 的蜂窝攻击。它观察基带数据包并分析其中的可疑活动，从而发现存在恶意基站。让我们一网打尽！

CellGuard 应用程序的三张屏幕截图展示了其摘要、地图和数据包视图。

什么是流氓基站？ 

恶意基站，也称为假基站，是一种恶意网络基站，会诱骗您的手机连接到该基站。攻击者可以利用恶意基站实现各种目的，例如跟踪用户位置、拦截网络流量，甚至对基带芯片固件发起远程代码执行攻击。

根据无线电技术，攻击者可以非常轻松地设置恶意基站。在 2G 网络中，手机无需进一步验证即可连接到这些基站 — 类似于开放的 Wi-Fi 网络。由于此问题与 2G 规范固有相关，因此最好的防御方法是关闭手机上的 2G 连接。最近的 iPhone 支持此功能作为锁定模式中的设置。

自 3G 以来，网络对手机进行身份验证。理论上，这应该可以防止攻击者设置具有扩展功能（例如拦截网络流量）的流氓基站。但是，受国家支持的攻击者可以强迫移动网络运营商合作，他们仍然可以设置通过漫游基础设施进行身份验证的流氓基站。此类攻击已经报道过。

恶意基站检测如何工作？ 

完美的恶意基站与真实基站难以区分。然而，攻击者在设置过程中面临一些挑战。本项目旨在识别此类挑战，并在此基础上构建检测指标。在初始版本中，CellGuard 应用程序使用以下指标检测恶意基站：

Apple 定位服务 (ALS) 数据库中是否存在基站：此指标可检测出短时间内建立的非法基站。

ALS 基站与实际用户位置之间的距离：此指标可检测使用错误参数设置的恶意基站。

将小区的频道和物理小区 ID 与 ALS 进行比较：此指标还可以检测出使用错误参数设置的恶意基站。

带宽：该指标可检测使用低成本或弃用硬件的恶意基站。

网络拒绝数据包：此指标揭示了网络身份验证失败。

信号强度：该指标显示恶意基站是否试图通过发送比其他基站强得多的信号来强迫用户连接到该基站。

在欧洲和美国进行的实际测试中，我们发现所有这些指标也可能因正当原因而触发。一些异常是可以预料到的。例如，如果移动网络运营商设置了新小区，则需要 2-3 天的时间才能将其显示在 ALS 数据库中。某些小区会减少每个用户的带宽，尤其是在流量较大时。当 iPhone 连接到没有有效 SIM 卡的网络时，就会收到网络拒绝数据包。这包括不允许漫游的 SIM 卡以及目标网络提供商没有覆盖但有其他网络可用的情况。此外，信号强度可能会有所不同。

结合多个指标并为其分配不同的权重可以使 CellGuard 更加可靠。但是，CellGuard 仍可能会警告您有关合法基站的信息。鉴于流氓基站攻击很少见，普通用户看到的大多数警告都是误报。

CellGuard 在技术层面上如何运作？

CellGuard 会捕获 iPhone 蜂窝基带芯片与 iOS 之间交换的数据包。然后，它会分析这些数据包，以查找上述异常和您的位置历史记录。有关其工作原理的更多详细信息，请参阅我们的CCC 演讲。

如何应对流氓基站警告？

鉴于常规网络异常导致误报的可能性很高，您不必担心 CellGuard 会向您报告恶意基站。通过我们的选择研究，我们旨在改进检测算法，从而在未来发出更准确的警告。

根据您的威胁模型，收到警告可能意味着不同的事情。即使您连接到了真正的流氓基站，也并不意味着您受到监视或黑客攻击。这也不意味着存在大规模监视。由于流氓基站的工作方式，预计除预期目标之外的其他用户可能会看到并连接到流氓基站。

从用户角度来看，可立即采取的措施非常有限。收到 CellGuard 警告意味着您已连接到可疑基站。当预计无线覆盖范围内存在恶意基站时，您可以启用飞行模式或关闭手机。为了进一步调查，尤其是当与恶意基站的连接与其他意外行为相结合时，请在单独的存储中保存 sysdiagnose 的副本。

我想尝试 CellGuard！ 

太棒了！我们目前处于早期测试阶段，正在针对更广泛的用户群测试我们的检测指标。您可以在主 iPhone 上安装CellGuard，即使启用了锁定模式，也可以在越狱的 iPhone 上安装 CellGuard 作为传感器。

资源链接

官方网站

https://cellguard.seemoo.de/

安装教程

https://cellguard.seemoo.de/docs/install

https://media.ccc.de/v/37c3-11868-what_your_phone_won_t_tell_you

抓住你，因为我能：使用 CellGuard 和 Apple 基站定位数据库破坏恶意基站

https://dl.acm.org/doi/pdf/10.1145/3678890.3678898