克隆卡危害及其檢測手段探討

馬麗，孫國鋒

（中國移動通信集團山西有限公司網絡部，山西 太原 030009）

1 背景介紹

目前在移動通信中出現了“克隆卡”這一異常通信現象，即同一手機號碼存在多張SIM卡同時或交錯在網絡中登記并使用（“并機”）的情況。SIM卡復制技術帶來的危害主要在于侵犯了用戶和運營商的權益，有可能會產生盜打電話、惡意欠費、詐騙、信息泄露等問題，降低了用戶對運營商的信任度，嚴重影響到移動公司的信譽。

目前在移動通信公司內部，沒有對“克隆卡”進行大范圍主動監測的系統或有效手段，因此對“克隆卡”的處理只能依靠對單個用戶投訴號碼的話單進行人工分析及判斷。現有的人工分析判定方法無法長期主動監測并發現網絡中存在的“克隆卡”，處理的“克隆卡”數量僅限于單個，無法進行大范圍的“克隆”監測。對于目前技術上的空白，移動聯合上海貝爾公司進行了充分的研究討論，根據位置更新消息類型不同的特性，開發了“疑似克隆卡監測系統”來監測疑似克隆卡。根據交換機上出現的告警信息，及時發現并找出當前網絡中存在的“疑似克隆卡”，實現長時間、全網絡主動監測“疑似克隆卡”的功能[1]。

2 SIM卡復制及測試

2.1 SIM卡復制設備及復制技術

一套復制SIM卡的工具包括1個USB接口的SIM卡讀寫器、1張可反復擦寫且可存儲數個號碼信息的空白SIM卡以及包含多種破解軟件的軟件包。SIM卡復制技術主要可以用于以下2個方面：一卡多號，即將破解出的多個號碼的Ki和IMSI數據寫入同一張卡，據了解市面上在售的1張卡最多可以寫16個號碼的數據而且可以反復擦寫改號；一號多卡，即將同一張SIM卡的Ki和IMSI數據寫入多張卡內[2]。

2.2 克隆卡測試

按照說明制作了克隆卡并進行了相關測試，測試結果為：

（1）母卡如果在通話過程中，克隆卡撥打電話會中斷母卡的通話，同樣克隆卡在通信過程中，母卡撥打電話會中斷克隆卡的通信。

（2）當母卡和克隆卡都空閑時，有用戶撥打此號碼，總是最近通信的卡振鈴。

（3）克隆卡和母卡都可以接受短信，往往是最近通信的卡接收。

（4）只要母卡或者克隆卡一方設置呼叫轉移，做被叫時，呼轉號碼振鈴，母卡或者克隆卡接收短信。

由測試結果可知：克隆卡和母卡完全一致，通信時，最近與交換機保持聯系的卡首先響應。母卡和克隆卡交換機無法識別，造成的后果是客戶的來電、短信可能被非法克隆卡持有者獲取，客戶的來電也可能在用戶不知情的情況下被全部呼轉，用戶的通話可能會被非法者中斷等。

3 克隆卡監測原理

為了有效應對SIM卡被復制給消費者和運營商帶來的經濟損失，研發人員從核心網側著手研究。研究發現交換機上是有相應的參數和比特位的，可以標識出SIM卡和偽SIM卡登錄網絡時候信令流程上標志位的差別，并根據該差別，可以在交換機上來呈現相應的告警并標識相應的IMSI。方案實施的總體思路是根據規范location type來標識。

3)對影響端口打磨機器人可靠性的參數進行了靈敏度分析，結果表明使得該管口打磨機器人最快趨向可靠的參數為從動輪半徑。研究結果為分析和修改端口打磨機器人的可靠性水平提供了理論依據。

根據規范，如果用戶是關機后再開機，location update type應該是IMSI attach；如果是從A交換機切換到B交換機，發起的location update type應該是Normal location updating。用戶向交換機發送的位置更新消息是Periodic updating消息。發現疑似克隆卡就是根據Periodic updating消息來判斷的。如果SIM卡向交換機發送位置更新消息，而交換機中沒有用戶消息就可以看做疑似克隆卡。具體流程和圖示如圖1所示：

圖1 監測流程示意圖

當合法用戶和克隆SIM卡用戶登記在不同的交換機下時（此交換機可以是本市、本省、國內、國際的交換機）：

（1）假設正常用戶a登記在交換機MSCa下面。

（2）假設用戶b復制了用戶a的SIM/USIM卡，并準備在交換機MSCb下面發起位置更新（登記）。HLR在接到MSCb location update的時候，HLR會發cancel location給MSCa，于是MSCa會刪除用戶a的用戶數據。

（3）此時，MSCa收到用戶a的位置請求信息，且lut=1（Periodic updating，也就是周期位置請求信息），但是MSCa上不存在該用戶數據（在步驟2刪除了），MSCa會繼續位置請求流程并恢復a用戶的數據，同時MSCa會發出告警消息到運維操作平臺。

（4）運維人員根據告警信息，通過提取話單，查看每條話單中IMEI是否短時間內跨地域頻繁變化，基本上可以判斷該SIM卡是否被克隆[3]。

4 測試方案以及告警情況

4.1 測試及網絡結構

研究團隊在LULGS2/TYGS18下做了測試，呂梁網絡拓撲圖如圖2所示。

4.2 測試方案及告警情況

首先給LULGS2裝載了相關軟件，接著打開了檢測開關，接下來進行下面的功能驗證。業務驗證也同時開始，主要包括入網測試和接通率測試。

（1）首先拿母卡在LULGS2下開機，之后在其它局下把克隆卡開機，這樣可以確保HLR中保存的位置信息已經不在LULGS2下，并且通過VLR查詢確認。

（2）在驗證期間通過鎖頻手機確保LULGS2下的手機信號始終在該局下，而且LULGS2下的手機沒有發生任何呼叫、短信、上網等業務。保持超過一個周期性位置更新時間段。

圖2 呂梁網絡拓撲示意圖

（3）上述條件下LULGS2在無線周期性時長之后收到相關告警，相關截圖如圖3所示：

圖3 ISMC側采集到相關疑似克隆卡告警圖

4.3 話單驗證

網元側出現疑似克隆卡告警后，還需要進一步的話單驗證。本文提取了測試卡出現告警前后幾天的通話記錄，截取短時間內IMEI跨區域頻繁變換的部分記錄如表1所示。

表1 話單驗證表

由上面的話單可知，IMEI在不到12分鐘的時間內頻繁變化，那么兩臺終端會交替登網（當一臺終端登錄網絡的時候，HLR會對另外一臺終端發cancel location，致使兩臺終端交替登錄網絡）而且通話記錄顯示通話所在交換機也在變化。假設用戶的SIM卡沒有被復制，在如此短的時間內頻繁更換手機而且通話交換機也不固定的這種情況幾乎不可能出現。所以結合告警情況、話單記錄基本可以判定告警的SIM卡被克隆。

5 結論

從以上的驗證結果可見該方案可以準確發現克隆卡并呈現告警，簡單可行，目前來看對網絡沒有產生較大的風險。只要復制的克隆卡在網，即使不和原SIM卡同時打電話也可以被查出來，運維人員可以根據告警信息，進一步查看話單驗證。另外有控制開關可以控制，可以根據需要隨時打開或關閉，對現網交換機沒有影響。通過測試驗證也發現了一些問題，比如虛假告警比較多，打開開關后，有多條疑似克隆卡告警，但是經過驗證話單、查看停開機日志，并沒有發現用戶的卡被盜，這就需要進一步進行研究探討。本文只討論了母卡和克隆卡在不同MSC的情況，對于兩張卡在不同MSC下的情況還需要進行更進一步的探討和驗證。

[1]傅準.2G、3G、LTE手機用戶卡安全技術探討[J].光盤技術, 2009(12): 50-53.

[2]黃東巍,郭達.3G終端及業務技術[M].北京: 機械工業出版社, 2009: 12-13.

[3]丁占榮,洪超.打造面向未來的移動核心網[J].通訊世界, 2006(3): 68-69.

[4]胡建村,俞一帆.移動核心網發展淺析[J].移動通信,2009(16): 26-30.

[5]孟輝.對我國移動核心網的發展趨勢之研究[J].無線互聯科技, 2013(1): 27-27.

[6]朱煜,虞海.建設高可靠性的移動核心網[J].通信世界,2006(24B): 18-19.

[7]劉小蕾,周杰.移動核心網的發展與演進研究[J].通信技術, 2007(12): 325-327.

[8]李研.中國移動核心網演進探討[J].中國無線電管理,2003(6): 63-64.