萨尔瓦多LTE/4G伪基站＋GSM中间人

萨尔瓦多作为中美洲的电信枢纽，其移动网络同时承载着LTE/4G与GSM遗留系统。这种双栈架构为中间人攻击提供了独特的攻击面——从IMSI捕获到信令劫持，攻击者可利用协议降级、伪伪基站和SS7漏洞实现跨层渗透。本文基于真实网络拓扑与协议分析，系统解构攻击链路与防御矩阵。

1. 萨尔瓦多移动网络现状：LTE与GSM共生

萨尔瓦多主要运营商（Claro、Tigo、Movistar）在部署4G LTE的同时，保留了GSM 900/1800 MHz频段以支持M2M设备、低成本手机及国际漫游。这种双模基础设施导致信令交互复杂化——当4G信号薄弱时，终端会自动回退到GSM，而GSM的认证机制（单向鉴权）与加密算法（A5/1、A5/2）早已被证明存在严重缺陷。

攻击者可利用“降级诱导”策略：通过干扰LTE频段或伪造较弱信号，迫使目标设备从4G回落到GSM，随后在GSM网络上实施中间人攻击。这种手法在萨尔瓦多城市边缘和高速公路沿线尤其高效。

2. GSM中间人攻击的经典向量与LTE拓展

典型的GSM中间人攻击依赖伪伪基站（Fake BTS），攻击者使用开源工具（如YateBTS、OpenBTS）配合软件无线电，广播更强的同步信号，吸引手机驻留。一旦手机接入伪伪基站，攻击者可执行：

• IMSI捕获： 强制手机发送IMSI（国际移动用户识别码），结合社交工程或数据库关联，可定位特定用户。
• 加密降级： 指示手机使用A5/0（无加密）或A5/1（已被破解），从而明文监听语音和短信。
• 中间人转发： 将合法流量转发至真实MSC（移动交换中心），实现透明代理，同时记录或篡改数据。

在萨尔瓦多，攻击者往往将伪伪基站与LTE信令嗅探结合：通过S1-MME接口或S6a接口（Diameter协议）获取用户位置更新信息，从而在4G侧辅助确认目标设备的真实IMSI和TMSI（临时身份）。这种跨域协同使攻击精度大幅提升。

2.1 攻击场景：从4G寻呼到GSM劫持

3. 萨尔瓦多特有的风险因素

除了普遍的技术漏洞，萨尔瓦多的地理与监管环境放大了中间人威胁：

• 密集的城市峡谷与郊区盲区： 圣萨尔瓦多等城市的高楼密集，4G信号衰减明显，GSM信号作为补充，为伪伪基站提供了天然“掩护”。
• 跨境漫游流量： 作为中美洲枢纽，大量国际漫游用户（尤其来自危地马拉、洪都拉斯）使用GSM fallback，攻击者可针对漫游用户进行定向监听。
• 监管滞后： 虽然萨尔瓦多电信监管机构SIGET已推动4G加密，但对GSM关闭未设硬性期限，导致大量存量GSM设备继续运行。

4. 防御策略：LTE增强与GSM淘汰路径

针对上述威胁，萨尔瓦多运营商及企业安全团队可采取多层次防御：

长远来看，关闭GSM并全面转向VoNR/5G SA是根本解决方案。但在过渡期，运营商应加强RRC连接重定向策略，减少不必要的Inter-RAT测量，降低攻击面。

5. 中间人攻击的演进：从GSM到5G

尽管5G引入了更强的认证（EAP-AKA'）和加密（NIA/NEA），但攻击者已开始研究基于4G/5G互操作的信令风暴。在萨尔瓦多，如果5G使用NSA（非独立组网）模式，则仍依赖4G锚点，攻击者可通过伪造4G伪基站间接影响5G用户。因此，安全基线的构建不应局限于单制式，而需涵盖端到端加密、用户面完整性保护和网络切片隔离。

6. 实践建议与总结

对于在萨尔瓦多运营的企业、政府机构及电信人员，我们建议：

1. 立即审计现有GSM依赖设备，制定迁移计划。
2. 部署信令防火墙（如Diameter/SS7防火墙）以过滤异常位置更新和MAP消息。
3. 加强终端设备管理，要求使用VoLTE并禁用GSM fallback（可通过MDM策略实现）。
4. 定期进行红队演练，模拟伪伪基站和中间人攻击，测试响应流程。

萨尔瓦多的移动网络正处于转型关键期，LTE/4G与GSM的“双轨制”带来了便利，但也敞开了攻击窗口。唯有通过主动检测、协议加固和加速GSM退网，才能有效遏制中间人威胁，保障公民通信隐私与国家安全。