RadioGuard：面向 Android 的零信任蜂窝防御子服务

RadioGuard 是一款开源、生产就绪的 Android 安全应用程序及后台子服务。它能够主动检测恶意蜂窝基站（IMSI 捕获器 / 蜂窝站点模拟器 / 短信轰炸器），识别恶意的 2G/4G 蜂窝操纵行为，并部署加密安全路由隔离，以保护处于不可信蜂窝链路上的移动设备。

---

目录

1. 威胁模型与 RadioGuard 的存在意义
2. 核心架构与组件
3. 关键特性
4. 内存安全与缓冲区溢出保障
5. 对抗性压力测试与漏洞加固
6. 防篡改与子进程劫持防护
7. 用户界面与仪表盘布局
8. 自动化验证与测试套件
9. 从源码构建

---

威胁模型与 RadioGuard 的存在意义

蜂窝网络（2G、3G 和 4G LTE）存在基础性协议弱点：

• 预认证身份泄露：在建立双向认证之前，手机以原始明文形式暴露永久性 IMSI 和 IMEI 标识符（3GPP TS 24.008 / TS 24.301）。
• 单边 2G 认证：GSM 基站从不向手机进行自我认证，使得伪基站能够强制使用空加密（A5/0）或实时破解 A5/1 加密。
• 4G LTE 用户面完整性缺口（aLTEr 攻击 / CVE-2018-18544）：虽然 4G 控制信令具有完整性校验，但用户面 IP 数据包缺乏完整性保护，使得针对 DNS 查询的主动比特翻转攻击成为可能。
• 短信轰炸器：便携式 SDR 发射高功率 2G 信号，无需运营商参与即可将钓鱼短信直接推送到手机中。

RadioGuard 的理念：将蜂窝链路视为不可信的公共网络（零信任无线电）。与其寄希望于基站是合法的，手机自主监控蜂窝遥测数据，并将流量封装在经过认证的加密隧道中。

---

核心架构与组件

┌─────────────────────────────────────────────────────────────────────────────┐
│                       RadioGuard 架构拓扑                                   │
├─────────────────────────────────────────────────────────────────────────────┤
│  [ UI 层 (Jetpack Compose) ]                                                │
│    • DashboardScreen：实时威胁仪表、活动遥测、控制项                        │
│    • Device Integrity Banner：显示内核/root 入侵警告                        │
│    • Forensic Incident Exporter：生成 JSON 证据转储                         │
├─────────────────────────────────────────────────────────────────────────────┤
│  [ 核心服务层 ]                                                             │
│    • RadioGuardService：监控 TelephonyCallback 的前台哨兵                   │
│    • Telemetry Liveness Watchdog：每 5 秒轮询调制解调器以对抗 RIL 冻结      │
│    • Emergency 911/112 Fail-Safe：通话期间自动暂停 killswitch               │
│    • SafeTunnelVpnService：原生 VPN killswitch（TunnelCrack 加固）          │
│    • ShizukuRadioBridge：特权非 root 频段锁定器与飞行模式脉冲               │
├─────────────────────────────────────────────────────────────────────────────┤
│  [ 分析引擎 ]                                                               │
│    • AnomalyEngine：归一化贝叶斯多因子异常评分                              │
│    • Macro-Cell Shadow Clone Detector：阶跃梯度 Delta-RSRP 跟踪             │
│    • Hysteresis Buffer：2 样本窗口过滤载波聚合抖动                          │
│    • SmsFilterHelper：PDU 检查器，捕获 Type-0 静默短信 ping                 │
├─────────────────────────────────────────────────────────────────────────────┤
│  [ 存储与完整性层 ]                                                         │
│    • TowerDatabase (Room SQLite)：本地 OpenCelliD / BeaconDB 基线           │
│    • Circular Storage Pruning：将事件日志上限设为 1,000 条以防止 DoS        │
│    • AppIntegrityValidator：运行时 SHA-256 APK 签名证书验证                 │
│    • RuntimeAntiHijackGuard：反 ptrace 与 /proc/self/maps 钩子扫描器       │
│    • DeviceIntegritySentry：硬件 TEE、SELinux 与 rootkit 审计器             │
└─────────────────────────────────────────────────────────────────────────────┘

---

关键特性

1. MimicHunter / RadioFingerprint 检测引擎：
   • 基于物理的时间提前量 (TA) 与 RSRP 路径损耗验证：根据自由空间传播模型验证观测到的 RSRP（(TA \ge 10) 且 (RSRP \ge -55\text{ dBm}) 会立即触发标记，针对伪装成远处宏基站的近距离便携式 IMSI 捕获器）。
   • 极端邻区 RF 主导异常：标记以超过 $> 35\text{ dB}$ 的幅度非自然地压制或压倒邻区宏基站的服务小区，这是蜂窝站点模拟器强制小区重选的典型指纹。
   • 跟踪区码 (TAC) 跳变哨兵：在设备物理静止（$< 350\text{ m}$）时检测快速的 LAC/TAC 振荡，捕获身份采集暴力扫描。
   • eNodeB / 扇区拓扑边界：验证 3GPP 扇区拓扑，标记异常配置（$sectorId > 31$ 或 $eNodeB == 0$）。
   • Wi-Fi BSSID 地理围栏交叉关联：将 Wi-Fi 接入点地理围栏与蜂窝基站位置进行比较，以检测合成基带坐标（$> 15\text{ km}$ 偏差）。
   • 宏基站影子克隆检测器：阶跃梯度 $\Delta RSRP$ 激增跟踪（在相同小区 ID 上 $< 4\text{s}$ 内激增 $> 25\text{ dB}$）。
   • 空间交叉验证：根据本地 SQLite 数据库验证基站身份。
2. 主动恶意隔离黑名单：
   • 自动隔离已验证的恶意基站并将其添加到 quarantined_cells。
   • 拦截基带切换，并在设备锁定到已隔离的小区签名时触发自动 Shizuku 无线电重置。
3. 区域地面真值数据集同步包：
   • 将 US (FCC / OpenCelliD)、EU (ETSI / OpenCelliD)、ASIA (3GPP / OpenCelliD) 和 GLOBAL 的离线宏基站基线包快速同步到加密的本地 SQLite 存储中。
4. 地理空间蜂窝雷达与矢量显示：
   • 交互式高科技雷达界面，显示服务基站距离矢量、邻区光点拓扑、RF 主导裕度和实时扫描状态。
5. 安全路由隔离与 Kill-Switch：
   • 采用 Android 原生 VpnService 并设置 setBlocking(true) 作为操作系统强制执行的 killswitch。
   • 双 /1 路由拆分：通过将路由拆分为 0.0.0.0/1 和 128.0.0.0/1，击败 TunnelCrack (CVE-2023-36672 / CVE-2023-35838)，覆盖任何恶意本地子网路由重定向。
   • 零域名竞态：使用硬编码 IP 字面量（9.9.9.9、1.1.1.1）并配合 SPKI 证书固定，防止隧道建立前的 aLTEr DNS 劫持。
6. 自适应电池占空比看门狗：
   • 在 30 秒（静止且安全时）到 3 秒（移动中或面临 RF 异常升高时）之间动态调节遥测轮询，在保持零信任保护的同时节省电池寿命。
7. 紧急 911/112 故障安全：
   • 挂钩 TelephonyCallback.CallStateListener。
   • 在紧急呼叫期间立即暂停 VPN killswitch 并恢复所有无线电频段。
8. 加密 HMAC-SHA256 STIX 2.1 取证证据：
   • 标准化的 STIX 2.1 威胁指标 JSON 导出，带有 HMAC-SHA256 数字签名监管链，用于法律、FCC 或网络安全取证审计。
9. 短信轰炸器与静默短信防护：
   • 检查传入的短信 PDU 中的 Type-0（静默短信 / TP-PID 0x40） ping 和 2G 短码垃圾信息。
10. 非 Root 无线电桥接（通过 Shizuku）：
    • 无需 root 权限即可通过编程方式打破恶意小区锁定并切换飞行模式。

---

内存安全与缓冲区溢出保障

应用层内存安全（Kotlin / ART）

• RadioGuard 运行在 Android Runtime (ART) 内：
  • 零指针损坏：栈和堆缓冲区溢出、释放后使用以及格式化字符串漏洞在语言设计层面被数学上消除。
  • 数组边界强制：所有数据包缓冲区（ByteBuffer.allocate(32768)）和 PDU 字节数组均经过严格的边界检查。溢出会抛出受管理的 IndexOutOfBoundsException，而不会损坏内存。
  • 存储耗尽 DoS 防护：本地事件存储使用自动循环缓冲区（pruneOldIncidents）进行上限控制，保留最新 1,000 条记录，防止恶意基站填满设备闪存。

蜂窝基带缓冲区溢出（及我们的缓解措施）

• 大多数蜂窝缓冲区溢出发生在 调制解调器 DSP 的专有 C/C++ 固件中（例如 Qualcomm、MediaTek 或 Samsung Shannon 基带中的 ASN.1 解析器漏洞）：
  • 禁用 2G 可消除约 80% 的易受攻击解析器：20 世纪 90 年代编写的古老 GSM 协议栈代码缺乏现代 ASLR 和栈金丝雀。禁用 2G 可使整个攻击面下线。
  • 调制解调器 IOMMU 隔离：在现代 Android 硬件上，蜂窝调制解调器通过硬件 IOMMU 与应用处理器 (AP) 物理隔离。
  • 遥测活性看门狗：如果攻击者试图对基带进行模糊测试并导致静默 RIL 崩溃，RadioGuard 的活性看门狗会检测到回调停滞并提醒用户。

---

对抗性压力测试与漏洞加固

RadioGuard 已针对已发布的绕过技术进行了加固：

攻击向量	来源论文 / CVE	加固对策
宏基站影子克隆	USENIX Security (FBS-Radar)	阶跃梯度跟踪：标记相同小区 ID 上 $< 4\text{ 秒}$ 内突然出现的 $\Delta\text{RSRP} > 25\text{ dB}$ 激增。
TunnelCrack VPN 绕过	USENIX Security (CVE-2023-36672)	双 /1 路由拆分：0.0.0.0/1 和 128.0.0.0/1 覆盖任何恶意本地子网重定向。
aLTEr DNS 引导劫持	IEEE S&P (CVE-2018-18544)	IP 字面量与 SPKI 固定：直接连接到硬编码解析器 IP（9.9.9.9），消除明文引导 DNS。
基带 RIL 冻结	Black Hat / ACM CCS	遥测活性看门狗：如果回调停滞超过 $> 12\text{ 秒}$，则每 5 秒主动轮询调制解调器遥测。
载波聚合抖动	真实世界 LTE 部署	迟滞缓冲区：在宣布关键隔离之前，要求 10 秒内连续 2 个异常周期。

---

防篡改与子进程劫持防护

为确保 RadioGuard 不会被恶意应用或本地恶意软件攻破：

1. 运行时 APK 签名验证（app/src/main/java/com/security/radioguard/security/AppIntegrityValidator.kt）：
   • 在运行时验证 APK 的 SHA-256 签名证书。如果被篡改、反编译并重新签名，应用将自行终止（Process.killProcess()）。
2. 临时内存 IPC 认证令牌：
   • UI 与后台服务之间的所有内部 intent 均使用内存中持有的临时 256 位令牌进行签名，丢弃来自第三方应用的伪造 intent。
3. 运行时反劫持防护（app/src/main/java/com/security/radioguard/security/RuntimeAntiHijackGuard.kt）：
   • TracerPid 轮询：每 3 秒扫描 /proc/self/status。检测 ptrace 附加、gdb 和 Frida 代理。
   • 内存映射钩子检测：扫描 /proc/self/maps 以查找动态库注入（frida-agent.so、xposed.so、zygisk、sandhook）。
   • 子进程净化：强制使用规范的 /system/bin/cmd 路径，并从子进程执行环境中剥离 LD_PRELOAD。

---

用户界面与仪表盘布局

UI 使用 Jetpack Compose (Material 3) 构建，采用深色网络防御主题：

• 威胁状态卡片：显示动态视觉威胁仪表（绿色 / 琥珀色 / 红色），包含计算出的异常风险百分比和活动检测原因。
• 主机设备完整性警告横幅：如果检测到 root 二进制文件、宽松 SELinux 或未验证的 test-keys，则立即显示红色警报。
• 服务小区遥测卡片：实时显示活动无线电代际（2G/3G/4G/5G）、MCC/MNC、跟踪区 (TAC)、小区 ID (CID)、信号功率 (RSRP) 和邻区数量。
• 主动防御控制项：
  • 持续哨兵开关。
  • 紧急安全路由 Killswitch 开关。
  • “脉冲无线电 / 打破基站锁定 (Shizuku)”操作按钮。
• 取证事件卡片：显示记录的恶意基站事件计数，并提供一键 “导出报告” 按钮。
• 离线地面真值数据库状态：显示已验证的宏基站数量。

---

自动化验证与测试套件

该项目包含一个可执行的验证测试套件（test_suite.py），用于验证所有算法、状态转换和数学边界：

python test_suite.py