RadioGuard：面向 Android 的零信任蜂窝防御子服务

RadioGuard 是一款开源、生产就绪且符合 Google Play 商店规范的 Android 安全应用程序及后台子服务。它能够主动检测恶意蜂窝基站（IMSI 捕获器 / 蜂窝站点模拟器 / 短信轰炸器），识别恶意的 2G/4G 蜂窝操纵行为，并部署加密安全路由隔离机制，以保护处于不可信蜂窝链路上的移动设备。

目录

1. 威胁模型与 RadioGuard 的存在意义
2. 核心架构与组件
3. 关键特性
4. 内存安全与缓冲区溢出保障
5. 对抗性压力测试与漏洞加固
6. 防篡改与子进程劫持防护
7. 用户界面与仪表盘布局
8. 自动化验证与测试套件
9. Google Play 商店合规与发布指南
10. 从源码构建

威胁模型与 RadioGuard 的存在意义

蜂窝网络（2G、3G 和 4G LTE）存在基础性协议弱点：

• 认证前身份泄露：在建立双向认证之前，手机以原始明文形式暴露永久性 IMSI 和 IMEI 标识符（3GPP TS 24.008 / TS 24.301）。
• 单边 2G 认证：GSM 基站从不向手机验证自身身份，使得伪基站能够强制使用空加密（A5/0）或实时破解 A5/1 加密。
• 4G LTE 用户面完整性缺口（aLTEr 攻击 / CVE-2018-18544）：虽然 4G 控制信令具有完整性校验，但用户面 IP 数据包缺乏完整性保护，使得针对 DNS 查询的主动比特翻转攻击成为可能。
• 短信轰炸器：便携式 SDR 设备发射高功率 2G 信号，无需运营商参与即可将钓鱼短信直接推送到手机中。

RadioGuard 理念：将蜂窝链路视为不可信的公共网络（零信任无线电）。手机不再寄希望于基站是合法的，而是自主监控蜂窝遥测数据，并将流量封装在经过认证的加密隧道中。

核心架构与组件

┌─────────────────────────────────────────────────────────────────────────────┐
│                       RadioGuard 架构拓扑                                   │
├─────────────────────────────────────────────────────────────────────────────┤
│  [ UI 层 (Jetpack Compose) ]                                                │
│    • DashboardScreen：实时威胁仪表、活动遥测、控制项                        │
│    • Device Integrity Banner：显示内核/root 入侵警告                        │
│    • Forensic Incident Exporter：生成 JSON 证据转储                         │
├─────────────────────────────────────────────────────────────────────────────┤
│  [ 核心服务层 ]                                                             │
│    • RadioGuardService：监控 TelephonyCallback 的前台哨兵                   │
│    • Telemetry Liveness Watchdog：每 5 秒轮询调制解调器以对抗 RIL 冻结      │
│    • Emergency 911/112 Fail-Safe：通话期间自动暂停 killswitch               │
│    • SafeTunnelVpnService：原生 VPN killswitch（TunnelCrack 加固）          │
│    • ShizukuRadioBridge：特权非 root 频段锁定器与飞行模式脉冲               │
├─────────────────────────────────────────────────────────────────────────────┤
│  [ 分析引擎 ]                                                               │
│    • AnomalyEngine：归一化贝叶斯多因子异常评分                              │
│    • Macro-Cell Shadow Clone Detector：阶跃梯度 Delta-RSRP 追踪             │
│    • Hysteresis Buffer：2 样本窗口过滤载波聚合抖动                          │
│    • SmsFilterHelper：PDU 检查器，捕获 Type-0 静默短信 ping                 │
├─────────────────────────────────────────────────────────────────────────────┤
│  [ 存储与完整性层 ]                                                         │
│    • TowerDatabase (Room SQLite)：本地 OpenCelliD / BeaconDB 基线           │
│    • Circular Storage Pruning：将事件日志上限设为 1,000 条以防止 DoS        │
│    • AppIntegrityValidator：运行时 SHA-256 APK 签名证书验证                 │
│    • RuntimeAntiHijackGuard：反 ptrace 与 /proc/self/maps 钩子扫描器        │
│    • DeviceIntegritySentry：硬件 TEE、SELinux 与 rootkit 审计器             │
└─────────────────────────────────────────────────────────────────────────────┘

关键特性

1. 多因子异常评分引擎 (MFASE)：
   • 空间交叉验证：将观测到的基站位置与离线本地 SQLite 数据库（来源于 OpenCelliD 和 BeaconDB）进行比对。标记偏差 $> 10\text{ km}$ 的情况。
   • 隔离陷阱检测：检测广播空 SIB4/SIB5 邻区列表的恶意 LTE eNodeB。
   • 非自愿 2G 降级哨兵：标记从 4G/5G 突然强制降级到传统未认证 2G GSM 的情况。
   • 时间提前量合理性检查：根据设备物理坐标验证基带往返时序。
2. 安全路由隔离与 Kill-Switch：
   • 采用 Android 原生 VpnService 并启用 setBlocking(true) 作为操作系统强制执行的 killswitch。
   • 双 /1 路由拆分：通过将路由拆分为 0.0.0.0/1 和 128.0.0.0/1，覆盖任何恶意本地子网路由重定向，从而击败 TunnelCrack (CVE-2023-36672 / CVE-2023-35838)。
   • 零域名竞态：使用硬编码 IP 字面量（9.9.9.9、1.1.1.1）并配合 SPKI 证书固定，防止隧道建立前的 aLTEr DNS 劫持。
3. 紧急 911/112 故障安全机制：
   • 挂钩 TelephonyCallback.CallStateListener。
   • 在拨打紧急电话（911、112、999）的毫秒级瞬间，RadioGuard 立即暂停 VPN killswitch 并恢复所有无线电频段，确保符合 E911 调度法规。通话挂断后自动重新启用。
4. 短信轰炸器与静默短信防护：
   • 检查传入短信 PDU 中的 Type-0（静默短信 / TP-PID 0x40） ping，此类 ping 被监控设备用于无线电测向。
   • 标记通过未认证 2G 蜂窝到达的可疑字母数字短代码消息。
5. 既有设备入侵哨兵：

内存安全与缓冲区溢出保障

应用层内存安全（Kotlin / ART）

• RadioGuard 运行在 Android Runtime (ART) 内：
  • 零指针损坏：栈和堆缓冲区溢出、释放后使用以及格式化字符串漏洞在语言设计层面被数学上消除。
  • 数组边界强制：所有数据包缓冲区（ByteBuffer.allocate(32768)）和 PDU 字节数组均经过严格边界检查。溢出会抛出受管理的 IndexOutOfBoundsException，而不会损坏内存。
  • 存储耗尽 DoS 防护：本地事件存储通过自动循环缓冲区（pruneOldIncidents）设置上限，仅保留最新 1,000 条记录，防止恶意基站填满设备闪存。

蜂窝基带缓冲区溢出（及我们的缓解措施）

• 大多数蜂窝缓冲区溢出发生在 调制解调器 DSP 的专有 C/C++ 固件中（例如 Qualcomm、MediaTek 或 Samsung Shannon 基带中的 ASN.1 解析器漏洞）：
  • 禁用 2G 可消除约 80% 的易受攻击解析器：1990 年代编写的古老 GSM 协议栈代码缺乏现代 ASLR 和栈金丝雀。禁用 2G 可使整个攻击面下线。
  • 调制解调器 IOMMU 隔离：在现代 Android 硬件上，蜂窝调制解调器通过硬件 IOMMU 与应用处理器（AP）物理隔离。
  • 遥测活性看门狗：如果攻击者试图对基带进行模糊测试并导致静默 RIL 崩溃，RadioGuard 的活性看门狗会检测到回调停滞并提醒用户。

对抗性压力测试与漏洞加固

RadioGuard 已针对已公开的绕过技术进行了加固：

防篡改与子进程劫持防护

为确保 RadioGuard 不会被恶意应用或本地恶意软件入侵：

1. 运行时 APK 签名验证（AppIntegrityValidator.kt）：
   • 在运行时验证 APK 的 SHA-256 签名证书。如果被篡改、反编译并重新签名，应用将自行终止（Process.killProcess()）。
2. 临时内存 IPC 认证令牌：
   • UI 与后台服务之间的所有内部 intent 均使用内存中持有的临时 256 位令牌签名，丢弃来自第三方应用的伪造 intent。
3. 运行时反劫持防护（RuntimeAntiHijackGuard.kt）：
   • TracerPid 轮询：每 3 秒扫描 /proc/self/status。检测 ptrace 附加、gdb 和 Frida 代理。
   • 内存映射钩子检测：扫描 /proc/self/maps 以查找动态库注入（frida-agent.so、xposed.so、zygisk、sandhook）。
   • 子进程净化：强制使用规范的 /system/bin/cmd 路径，并从子进程执行环境中剥离 。

用户界面与仪表盘布局

UI 使用 Jetpack Compose (Material 3) 构建，采用深色网络防御主题：

• 威胁状态卡片：显示动态视觉威胁仪表（绿色 / 琥珀色 / 红色），包含计算出的异常风险百分比和活动检测原因。
• 宿主设备完整性警告横幅：如果检测到 root 二进制文件、宽松 SELinux 或未验证的 test-keys，则立即显示红色警报。
• 服务小区遥测卡片：实时显示活动无线电代际（2G/3G/4G/5G）、MCC/MNC、跟踪区（TAC）、小区 ID（CID）、信号功率（RSRP）和邻区数量。
• 主动防御控制项：
  • 持续哨兵开关。
  • 紧急安全路由 Killswitch 开关。
  • “脉冲无线电 / 打破基站锁定 (Shizuku)”操作按钮。
• 取证事件卡片：显示记录的恶意基站事件计数，并提供一键 “导出报告” 按钮。
• 离线地面真值数据库状态：显示已验证的宏基站数量。

自动化验证与测试套件

项目包含一个可执行的验证测试套件（test_suite.py），用于验证所有算法、状态转换和数学边界：

python test_suite.py

测试覆盖结果：

test_01_normal_macro_cell_passes ......................... [OK]
test_02_involuntary_2g_downgrade ......................... [OK]
test_03_macro_cell_shadow_clone_jump ..................... [OK]
test_04_hysteresis_filtering ............................. [OK]
test_05_spatial_drift_detection .......................... [OK]
test_06_tunnelcrack_dual_route_coverage .................. [OK]
test_07_storage_bounds_circular_pruning .................. [OK]
test_08_emergency_call_fail_safe_transitions ............. [OK]

Ran 8 tests in 0.001s - OK (100% Passing)

此外，Android Studio / Gradle 构建的单元测试位于：

• AnomalyEngineTest.kt
• UiAndStateTest.kt

Google Play 商店合规与发布指南

将 RadioGuard 提交到 Google Play 开发者控制台时，请按如下方式声明权限：

从源码构建

先决条件

• Android Studio Jellyfish (2024.1+) 或 JDK 17+
• Android SDK 34（API 级别 34）

命令

# Clone or open workspace
cd C:\Users\pushk\.gemini\antigravity\scratch\radioguard

# Build debug APK
./gradlew assembleDebug

# Build release APK (configured with ProGuard & R8)
./gradlew assembleRelease