偽基站的基本原理及電子取證分析論文
1 引言
近年來，“偽基站”違法犯罪活動日益增多。不法分子利用非法生產和購買的“偽基站”，任意冒用公眾服務號碼，大肆進行、營銷廣告和強制推銷等違法犯罪活動，社會危害性嚴重。360 互聯網安全中心發布的《2014 年第一期“偽基站”短信治理報告》顯示：2014 年4-6 月，僅360 手機衛士就攔截各類“偽基站”短信12.38億條，平均每天攔截“偽基站”短信1360 萬條。從偽裝號碼類型來看，冒用普通手機號碼和偽裝成“106”系列短信平臺的情況最多，占比分別為32.3%和29.3%;從短信內容類型來看，廣告類、違法類和詐騙類短信數量最多，占比分別為51.1%、33.3%和15.6%。
2 “偽基站”的基本原理
2.1“偽基站”的功能和組成“偽基站” 是非法無線電通信設備， 采用GSM 900標準，發射功率在40-43dBm 之間，通過仿冒運營商移動網絡發射射頻信號對覆蓋范圍內的手機進行短信群發操作，單位時間推送短信速率高，且支持豐富的短信發送策略。“偽基站”主要由主機、操作終端(安裝Linux 系統的筆記本電腦)和天線組成，具有體積小、隱蔽性和流動性強等特點。“偽基站”有兩種布放方式：一種是固定式，一般把主機放置在快捷酒店或短租房等流動性強的地方，天線靠窗;另一種是流動式，一般藏匿在面包車、電動車或拉桿箱內，偽裝性高，可以快速部署和撤離，排查定位難度較大。
2.2“偽基站”工作信令流程
“偽基站”會導致手機頻繁的位置更新，使所在區域的無線網絡資源擁塞，影響用戶的正常通信.
(1)“偽基站”通過廣播控制信道(BCCH)不斷廣播“System Information Type 3”(系統消息3)， 向周邊手機用戶下發帶有特別參數的系統消息。系統消息3 主要包含移動國家碼(MCC)、移動網絡號(MNC)、位置區標識(LAC)，小區標識(CI)、隨機接入控制信息(RACH)以及和小區重選有關的參數。“偽基站” 把系統消息廣播的LAC號設置在運營商正常使用的LAC號范圍之外，致使“偽基站”與周邊現網基站歸屬不同的位置區，以觸發位置區更新過程。
(2)手機駐留到“偽基站”的位置區(Location Area)以后就發起位置區更新過程， 按協議要求上發“Location Updating Request”(位置區更新請求)信令。
(3)“偽基站”在收到手機的“Location UpdatingRequest”之后，下發“Identity Request”(身份識別請求)以獲取手機的IMSI (國際移動用戶識別碼， 存儲在SIM別移動用戶所分配號碼得標識)， 手機上報“IdentityResponse”(身份識別響應)后，偽基站下發“LocationUpdating Accept”(位置區更新接受)，完成位置區更新。
(4)“偽基站”向手機發送短信數據包(CP-Data)， 該消息里面包含偽裝的“TP-Originating Address：XXXXXXXX”(發送者號碼)及消息內容。
(5)當手機接收完短信后又收到“ 偽基站”廣播的“System Information Type 3”信息，而該消息內的LAC 也進行了更改，與之前收到的偽基站LAC 不同。
(6)由于LAC 又發生了改變，手機再次發起位置更新請求消息“Location UpdatingRequest”，消息中包含手機IMSI 號和原LAC 號，“偽基站”據此判斷該手機已接收過短信，下發“Location UpdatingReject”(位置區更新拒絕)， 拒絕手機的位置區更新請求，拒絕原因是“No Suitable Cells in Location Area”(位置區中沒有合適的小區)。
(7)手機的位置區更新請求被“偽基站”拒絕后，會重新發起到運營商現網小區的位置區更新請求。(8)現網接受手機的位置區更新請求。
3 “偽基站”的法律適用及電子取證
3.1“偽基站”的法律適用
根據《最高人民法院、最高人民檢察院、公安部、國家安全部關于依法辦理非法生產銷售使用“偽基站”設備案件的意見》(公通字〔2014〕13 號)：非法生產、銷售“偽基站”設備，以非法經營罪追究刑事責任;非法使用“偽基站”設備干擾公用電信網絡信號，危害公共安全的以破壞公用電信設施罪追究刑事責任。
根據國內“ 偽基站” 案件的審理來看，以破壞公用電信設施罪居多。根據《最高人民法院關于審理破壞公用電信設施刑事案件具體應用法律若干問題的解釋》(法釋[2004]21 號)規定，“危害公共安全”主要指“造成二千以上不滿一萬用戶通信中斷一小時以上， 或者一萬以上用戶通信中斷不滿一小時的;在一個本地網范圍內，網間通信全阻、關口局至某一局向全部中斷或網間某一業務全部中斷不滿二小時或者直接影響范圍不滿五萬(用戶×小時)的。”
3.2“偽基站”的電子取證
3.2.1影響用戶通信的判定標準根據目前各地“偽基站”案件的審理情況，判定標準存在兩種聲音：一種是以否發送短信為判定標準;另一種是以是否接入偽基站為判定標準。本文贊同第二種觀點，因為只要用戶通過位置區更新接入“偽基站”之后，就算“偽基站”使用者沒有進行發送短信的操作或者手機用戶暫時沒有收到短信，但是很顯然此時的用戶已經與運營商的網絡斷開連接，無法使用正常的通信服務。
3.2.2 影響用戶通信的.起始時間判定根據GSM 協議的規范，從Um 接口(手機和基站收發信機BTS 之間的接口，也稱空口)信令來看，位置區更新的過程首先要提交“Request”(申請)信令，在經過身份認證后MSC(移動交換中心，也稱交換機)會下發“Accept”(接受)信令(如果是拒絕，則為“Reject”信令)，最后釋放信道，完成位置更新。因此，有的意見認為，應該以“Location Updating Accept”信令為影響用戶通信的起始時間，原因是這條信令之后，網絡側才釋放原信道。其實，這種說法是不對的。根據GSM 協議，手機在位置區更新的過程中，SDCCH 信道(獨立專用控制信道，用在分配業務信道TCH 之前，呼叫建立過程中傳送系統信令，例如位置更新消息、短消息、鑒權消息、加密命令等)被占用，用戶處于專用信道模式下，無法監聽PCH 信道(尋呼信道)，所以收不到尋呼消息造成尋呼失敗。因此會導致接入“偽基站”的手機被叫無法接通。同樣，基于SDCCH 信道被占用的原因，接入“偽基站”的手機在發起主叫業務時， 會收到下發的“CM ServiceReject”(服務拒絕)信令，拒絕原因為“IMSI unknown inVLR”(拜訪位置寄存器中未知的IMSI)。
與此同時，接入“偽基站”的手機也無法收發短信，因為在手機空閑狀態時，要占用SDCCH 信道收發短消息。
綜上可知，從位置區更新的第一條信令“LocationUpdating Request”開始，雖然原網絡還沒有釋放信道，但是手機的正常通話和收發短信已經受影響，因此，應該以“Location Updating Request”為起始信令判定影響用戶通信的起始時間。3.3.3 鑒定數據的提取位置“偽基站” 一般采用OpenBTS 模擬基站的運行環境， 跟電子取證相關的文件主要有兩個： 一個是目錄“varusropenbts”下的“send.data”文件，是“偽基站”的短信發送任務記錄; 另一個是目錄“varlog”下的“OpenBTS.log”文件，是“偽基站”運行的日志文件。“ 偽基站” 在收到手機的“Location UpdatingRequest” 信令之后， 會下發身份識別請求“IdentityRequest” 以獲取手機的IMSI， 手機在隨后的“IdentityResponse”信令中上報自己的IMSI，因此，在取證中我們可以根據“Openbts.log”文件中上報IMSI 的多少確定影響用戶通信的具體數字。
4 結束語
本文從偽基站的基本原理入手，依據目前“偽基站”犯罪案件的法律適用條款，詳細分析了“偽基站”影響用戶的判定標準和影響用戶數量的提取方法，為案件偵破和司法鑒定提供了參考。
【偽基站的基本原理及電子取證分析論文】相關文章：