引言：基里巴斯的独特通信生态

基里巴斯——由33个环礁和岛屿组成的太平洋岛国，其通信基础设施长期面临着地理隔离、资源有限与技术代际混合的挑战。在过去五年间，随着国家宽带项目的推进，部分主要岛屿（如塔拉瓦）已部署LTE/4G伪基站以提升移动宽带体验，但GSM网络由于覆盖乡村、低功耗漫游及国际漫游兼容性，仍然广泛存在于外岛和备灾网络中。这种“GSM+4G叠加组网”的异构架构，为攻击者提供了经典的降级攻击面：利用GSM协议固有的单向鉴权和加密漏洞，执行中间人（MITM）攻击，拦截语音、短信甚至劫持账户。本文将基于真实渗透测试方法论，剖析基里巴斯环境下的中间人威胁模型，并提出强化策略。

技术解剖：LTE/4G伪基站与GSM中间人共栖原理

中间人攻击在移动通信中的核心是诱使目标终端连接到攻击者控制的伪伪基站（Rogue BTS）。在GSM中，伪基站仅对终端进行单向鉴权，而终端不验证网络的真实性，攻击者可模拟合法GSM伪基站，广播更强的信号，迫使手机脱离4G网络。而在混合场景下，攻击者首先通过4G干扰或信号压制，触发终端回落到GSM，再执行经典的“IMSI捕获-加密降级-数据嗅探”。基里巴斯很多老旧GSM伪基站甚至支持A5/0或A5/1脆弱加密，进一步放大了风险。

攻击流程与实时风险

• 阶段一（探测）：使用USRP B200或HackRF扫描GSM下行频率（900/1800MHz），定位运营商LAC/CI信息。
• 阶段二（干扰/降级）：发射强干扰信号阻塞4G频段，或伪造TAC拒绝服务，迫使UE发起CSFB回落至GSM。
• 阶段三（中间人）：配置伪伪基站（如YateBTS或OpenBTS），向目标终端发送寻呼响应，伪装合法BTS，要求终端关闭加密（A5/0）或使用可破解的A5/1。
• 阶段四（窃取与利用）：捕获IMEI/IMSI、SMS内容、语音RTP流，甚至通过主动请求发送虚假USSD进行资金转移。

基里巴斯网络特征数据及脆弱性评分

基于公开信息及无线电监测项目(PRFP) 2025年报告，基里巴斯移动网络呈现出高比例的GSM残留风险指标。下表对比关键因子：

由此可见，攻击者可针对性构造“降级诱导+GSM中间人”组合，在基里巴斯人口密集区造成大规模情报窃听或欺诈。尤其对于国际组织、外交使团及金融用户构成实质性威胁。

对抗措施：从运营商到终端的纵深防御体系

运营商级加固（基里巴斯特定建议）

• 部署2G/3G退网或GSM加密升级：立即禁用A5/0，升级至A5/3或实施BTS加密完整性校验；逐步引导用户使用VoLTE，减少CSFB依赖。
• IMSI加密与临时标识符：空中接口加密IMSI请求，利用TMSI动态分配，避免明文IMSI在寻呼信令中暴露。
• 射频监控与伪伪基站定位系统：在塔拉瓦等核心区域部署RFSOC传感器网络，实时分析异常广播信号，自动通过核心网下发强制重连指令。
• 与GSMA合作启动FWA/MAS威胁情报：接入GSMA欺诈与安全小组，共享伪伪基站IEMI数据库。

移动终端用户自我保护

• 在设备设置中选择“仅使用4G/5G网络”（关闭GSM回落），支持VoLTE的终端可大幅减少暴露面。
• 安装具备伪伪基站检测能力的应用（如SnoopSnitch或Cell Spy Catcher），监控伪基站参数突变。
• 对敏感通讯采用端到端加密应用（Signal/Wire），即便SMS被截获也无法获取内容。

渗透测试视角：复现基里巴斯GSM中间人环境

为了给安全研究人员提供可复现的测试环境，我们基于开源工具设计一个合法的实验室沙箱，但不建议在未授权现网操作。硬件：LimeSDR或BladeRF；软件：YateBTS + YateUCN + Wireshark。攻击脚本触发RACH响应，诱使测试手机附加到伪伪基站，并使用GSM-Sniffer嗅探。研究人员可以在基里巴斯国家ICT部授权的测试窗口开展安全评估。以下为基础信令流程：

加强版中间人更可结合4G->GSM跨网攻击，利用S6a接口弱点推送虚假位置更新。基里巴斯因国际关口局带宽较低，信令监测能力薄弱，使此类攻击更难即时发现。

未来演进：从GSM过渡到5G-ready安全基里巴斯

基里巴斯通信委员会(KTC)近年获得亚洲开发银行援助，计划在2027年底升级主要环礁的5G SA试点。在此之前，需要夯实4G安全基线，并正式关闭GSM核心网。当前最佳策略是部署SEPP（安全边缘保护代理）与针对降级攻击的NDPP机制。通过启用“仅4G”策略和基于USIM的端到端加密，才能有效扼制GSM中间人。对于遗留IoT设备（例如渔业信标），建议使用独立的NB-IoT over LTE方案，禁止回退到GSM。