DEF CON 33 - RF Village - Open Source Cellular Test Beds for the EFF Rayhunter - Ron Broberg

講者 Ron Broberg 介紹了如何自行搭建一套完整的蜂窩網路基站系統來理解並測試 EFF 開源項目 Ray Hunter 的工作原理。Ray Hunter 的目標是檢測 Stingray 這類執法部門使用的設備——Stingray 本質上是伪造基站的攔截器，能夠劫持手機信號進行監控和身份捕獲。理解這個系統的攻防關係是開發測試環境的前提。

首先需要掌握 Stingray 的攻擊機制。當用戶手機正常連接基站時，Stingray 會以伪造的基站身份出現在附近。手機基站選擇的邏輯不是基於信號強度（RSSI），而是基於連接速度——時延更短的網路會被優先選擇。如果 Stingray 宣稱的速度比真實運營商基站更快，手機會自動切換到這個「偽基站」。在首次連接陌生基站時，手機會發送 IMSI（國際移動用戶識別號）請求進行身份認證，Stingray 由此捕獲用戶的關鍵身份信息。Ray Hunter 的防護邏輯就是監聽這個 IMSI 請求的異常模式，特別是在特定的降級場景中偵測。

搭建測試系統需要分別選擇硬體和軟體堆棧。在硬體層面，核心設備是 Software Defined Radio（SDR），它充當可配置的無線發射器。講者推薦的選項包括專業級的 USRP B210（約 $2,500）和次級但性價比更好的 BladeRF X9。天線的選擇至關重要且常被忽視：LTE/4G/5G 的頻段從 400 MHz 跨越到 7 GHz，不同天線只能覆蓋特定頻段，購買前必須通過 cellmapper.net 查詢當地運營商使用的實際頻段。此外，還需要一台頻譜分析儀（通常基於 U-Blox 調制解調器芯片）來「看進去」無線信號，驗證伪造基站是否被正確識別為有效連接還是雜訊。在 SIM 卡方面，可以從中國供應商批量采購廉價的通用 USIM 卡，但需要將其認證參數（AD 值）從 0000 改為 9，這樣修改後的卡才能連接到實驗性的伪基站。系統甚至可以在樹莓派 4G 型號上運行，省去專業伺服器的成本，只是 SDR 設備必須配備獨立電源，無法從樹莓派 USB 端口抽取電力。

軟體層面的選擇同樣關鍵且複雜。蜂窩網路系統通常分為 EPC（演進封包核心網，即核心網）和 ENB/GNB（演進 NodeB/gNodeB，即無線接口），不同的開源項目提供不同的實現。SRS RAN 是最接近開箱即用的方案，它將 4G 和 5G 分離為獨立項目，包含完整的 EPC、ENB 和基礎 GUI，配置相對簡單，文檔也較新。Open Air Interface 則提供了更多的靈活性和定製能力，特別是在支援 IoT 頻段（如 M1 Band）方面有更好的預配置，但其文檔大多基於 Ubuntu 18 且停留在 2018-2021 時期，移植到更新的作業系統會遇到已知的相容性問題。Yates BTS 則專門用於 2G 網路的模擬。講者的核心建議是：選定一個項目並堅持使用，因為雖然理論上可以跨項目混搭組件（EPC 來自 SRS、ENB 來自 Open Air Interface），但實務中會遭遇驅動程式版本衝突和配置複雜度的噩夢。

具體配置步驟包括：第一，通過 cellmapper.net 查詢當地基站的 PLMN（公共陸地移動網路識別符）和使用頻段，用於伪造運營商身份；第二，通過調制解調器掃描當地可用頻段，確認硬體支援；第三，編譯並安裝 Blade RFS 和 UHD 驅動程式；第四，將配置部署到 /etc/srs/ 目錄；第五，配置 PLMN 匹配和頻段設定；第六，將 SIM 卡的 AD 值改為 9 以啟用測試連接。在手機端，可以通過 LTE 掃描或網路搜索功能來驗證伪基站是否被識別。

攻擊和檢測的關鍵環節在於降級過程。當手機連接到講者配置的伪 4G 基站時，基站會拒絕認證，因為它沒有有效的網路密鑰和用戶資料庫。此時如果允許 2G 回退（某些舊款手機或未更新的手機會允許），設備會自動搜尋 2G 網路。這是個關鍵轉折點：2G 標準不需要基站向用戶端驗證（單向認證），只需要用戶端向基站驗證，這意味著伪基站可以輕易接受任何設備的連接。在這個 attach request（附著請求）中會包含 IMSI，Ray Hunter 正是通過監聽這個特徵——以及從 4G 降級到 2G 的異常行為——來識別 Stingray 式的劫持。對於不允許 2G 回退的現代手機（如 Google Pixel），或已部署 Ray Hunter 防護的手機，檢測會在 4G/5G 阶段直接触发。在真實場景中會面臨假陽性問題：當用戶在不同城市或不同國家時，第一次連接陌生基站也會發送 IMSI 請求，但 Ray Hunter 能夠標記「首次附著」的標誌來幫助區分正常的國際漫遊和惡意劫持。