解决新卡第一次用UIM卡呼出后，写AKEY到6950失败的问题

大头虾

解决办法

1，参考深圳地区，原10010话务员接到用户反应手机无法正常呼叫后，在业务系统进行交换机
更新（刷新）操作（实际上就是系统主动发起SSD更新），用户再次开关手机解决。

# R2 f7 g# {! N# I6 H+ C2，在系统查到现在的SSDA,SSDB也写入手机。
$ l6 a7 ]! x7 V0 F8 j" Z
具体到6950，不要再使用UIM卡，确认只有这台同样号码参数6950在使用，重写AKEY,将SSDA,SSDB写0
  b# ]1 g% O" {1 Z/ b开机后到通信管理器关闭手机功能（不是关闭整个手机），打电话到10000号投诉手机无法正常呼叫
使用，确认话务员做了操作后（有时话务员什么都没做就叫你开关手机），在通信管理器打开手机功能，
' p6 z" Y; X$ w) {呼叫两次以上应该就可以了。
% a' Z' l" ^6 l$ H% o
; N1 g( G! R. g1 s# r

& ?* c6 q) Y( M. f
5 e9 l6 D$ i" i  N* {- C& p/ D

( y! g- q, r& f. a1 n4 P9 Q+ z# r0 K下面说说为什么会这样。
- i% w' P" i8 [2 H2 x
$ D& `) E( w  f1 R
       首先说明，CDMA的鉴权并不是直接用AKEY进行的，而是由AKEY和随机数生成的临时鉴权参数
$ H6 f: M# U( g" G- LSSDA进行一般呼叫鉴权，AKEY只参与SSD的生成，被用到的机会非常少，，而SSDA用于一般鉴权，
1 @4 L8 G% O5 S  g3 I8 k相对被跟踪，暴力攻击破解的机会就很多，当网络进行一般鉴权失败时，当某次使用SSD的一般
! g# y( O5 D8 l2 `& a4 J( r0 k鉴权失败时，应该认为SSD已经泄密，系统自动启动基于AKEY的SSD更新过程，更新无卡手机内SSD
或UIM卡内的SSD（对于网络是没有区别的），当新开的UIM卡未使用时，SSDA,B都是0，第一次打电
话后系统会启动SSD的更新，将UIM卡的SSD改为不是0的随机数，之后使用SSD进行一般性的鉴权，
' p  l* ]" ?4 E- j标准来说，SSD应该定时（一星期左右）由系统发起更新一次，或者在某次基于SSD的呼叫一般鉴权
8 x) @. `+ v: j. V: X8 ^9 x& P失败后立刻进行基于AKEY的SSD更新过程。

% K- f& f) t( I5 V0 F   现在我们开新卡后，SSD是0，如果你把卡直接装手机打过电话后，UIM内的SSD就
被更新了，此时再将AKEY写入无卡手机，SSD写0时就与系统保存的更新过的SSD
不同，这样无卡手机基于SSD的呼叫一般鉴权肯定失败，之后标准协议要求系统
# O0 \5 v/ Z: y+ i' k8 j' p应该在第二次呼叫时启动基于AKEY的SSD更新过程，如果AKEY正确，SSD将被同时
更新到系统和手机内，系统和手机内SSD将一致，所以第二次呼叫之后都能正常
3 k7 b4 t4 }3 m, V$ M' P& [
   以上是正常的标准协议过程，在大部分地区都是这样的，在深圳测试两台同样的
AKEY手机SSD全0，第一台正常呼叫后，第二台再呼叫时，因为手机内SSD此时已经不同
所以第一次呼叫不成功，第二次呼叫时系统启动SSD更新，之后第二台能正常使用，
; t) T1 m. T. P+ E" w$ `( p# |1 n此时再用第一台呼叫，因为SSD只更新到第二台手机上，所以第一台手机第一呼叫
7 \: @: w% z' q/ a8 _也不成功，第二次呼叫后正常，只要轮流使用手机，此现象就轮流出现。

, C2 E& ]3 Z7 l! j
8 I! k% f/ |3 `# _# f6 o. R5 g
   现在的情况是，
- r# I1 h8 E# a& e1，因为更新SSD会耗费系统资源，
2，各地都有鉴权中心，原来联通一直未很好解决漫游两地SSD更新交换数据问题，手机
在外地时如果一次鉴权失败（例如呼叫鉴权手机掉电，信号不好，交换不成功），启动SSD更新，
因为两地交换数据的问题，异地更新不成功，此时机主在回原地之前都不能使用手机。

( x* u6 [$ k  C联通不好好正面解决这个问题，而是偷懒，所谓网络优化，去掉了异地甚至本地使用SSD的一般
8 c5 G% ?. D+ u  h鉴权失败后的基于AKEY的SSD更新过程，甚至去掉了定时更新SSD过程，只在新开户，换卡，投诉
时进行SSD更新，系统实际降低到只依靠SSD进行鉴权，一直使用本是临时的SSD，把临时安全措施
当长期安全措施，安全程度大打折扣。
, w) h9 |* ~& c$ _9 e
% S4 L  v# K' ?! {0 ]" `1 S) C' J就目前的情况就是，因为新卡第一次呼叫是在UIM卡上，所以SSD已经不是0
, N# R; f! r5 \，再将AKEY写入无卡手机后，SSD未知，系统又不启动基于AKEY的SSD更新过程，只进行
基于SSD的一般鉴权，导致鉴权失败，号码被锁定到第一次呼叫的UIM卡上（只有这张
& x, @8 e3 M/ x3 O7 vUIM卡有正确的SSD）。
: V& h$ X$ g3 c; i+ }+ `" u
6 |0 C; `" S! W

$ N4 Z/ Q- k. U( N/ x. ~) m* ?; z. Q     因为论坛里电信的人比较多，顺便谈谈对于这种所谓网络优化后的现实攻击方法（盗号）。
- {! p  d# F( N/ h" P. T一般的呼叫鉴权，鉴权算法我们看成一个黑盒，输入4个参数，
1，RAND，由网络发送到手机，标准协议应该每次都是随机数，但现实情况，大部分地区都是固定为0
2，SSDA，这个由AKEY临时生成，标准协议应该一般鉴权失败就更新，或定时更新，但现实情况，部分
地区从来不更新，哪怕某次鉴权失败（意味着可能有并机无AKEY使用)。
3，呼出时电话号码后6位数，呼入时MIN码后3字节
4，ESN(UIM ID)
. ~$ a, z) r/ L2 R. j
得到 AUTHR，发送到鉴权中心，鉴权中心也有这4个参数，同样的鉴权算法，也计算出AUTHR与手机发来的
AUTHR比较一致时鉴权成功，可以继续通话。

7 h+ h, R( {) s" Q在一个所谓的网络优化后的网络，由于参数1,2,4都固定了，
7 K0 w$ R' _' B3 {/ k; s! k/ r参数3意味你接听电话时也是固定不变，你播出电话时已知，上网#777时固定，
8 f* l, s! X) q$ D9 F9 C  n鉴权结果可以跟踪UIM卡数据得到（用串口调试器飞线到UIM 数据口捕获）.
" [# k( K5 n" ^8 @3 o
或者不用捕获，因为AUTHR只有3字节，而且这样的网络永远都不更新SSDA，所以3字节暴力攻击吧，很快就有结果了。

- L, d: l2 a# w5 ^3 w) D
% p$ ?& {: N% h) F现在你无需知道AKEY,SSDA，知道IMSI,ESN(UIM ID)，
1 [) ^3 Y3 r& i: S9 ~% Z9 i, }捕获常用的拨出号码，例如二次拨叫的IP，#777上网，银行服务电话，购物电话，的AUTHR,呼入的AUTHR，

/ K. T- o3 C7 B做一个特别的无卡手机程序，在鉴权结果AUTH出来后做判断改为上面捕获的预设AUTHR
/ {* }, H8 v: C4 Y; R就可以
1，无限并机冒充原机拨打，冒充机主，银行电话，充值什么的..........不象那些网络电话，联通公司会出证明给公安局，证明这个电话
. ]# B- D, T: u, D5 ]9 t
就是你打的。
6 ]5 ~4 o) u- P
2，做无限并机上网卡。
3，呼入时两个手机同时响，并机的等一会接听就可以窃听机主谈话。
$ q& O2 b/ e7 ?( C) C% {
6 X& F! r9 p  S4 B哈哈，公布这些只是希望新电信尽快补上这些所谓的网络优化漏洞。

% r  o8 B; Q1 x/ D  B再说一个真实的曾经有的打电话没账单的漏洞，也许部分地区还有。
     前几年某地CDMA关闭鉴权的手机可以这样打电话没账单，
     
% i' R$ G. c* A3 `2 N$ ?$ ]! d     做两个同号关闭鉴权手机，先用A机拨免费10010等电话，通后不挂，立刻用
     
     B机拨另一个电话（通常是国际长途),B机通后挂掉A机，B机可以继续通话，
     
     之后联通计费中心将没有这个呼叫的计费，等国际电话账单到了联通，也许
5 }# q& G: B1 b6 p* d     
* n: m, a) [6 e' g/ [% D; K" k+ q     他能从其它地方查到这个电话是你的号码拨出的，但永远在计费中心都查不到
     
  \) a# {- O0 X7 j/ f     这个计费记录。

大头虾

作者;cdmapcs
- M% D4 `7 x' p0 T原链接：http://www.diypda.com/viewthread.php?tid=46340&extra=page%3D1

ibeer

我的问题和这个类似，akey正确写到手机里，可是呼叫却提示“没有开通这项业务”