LTE/5G NSA Presence Test basato su RNTI e Ping SMS

Autore: Stefano Cangiano / Ricercatore Indipendente

Data: 12 ottobre 2025

Executive Summary

Questo white paper descrive un metodo tecnico per verificare la presenza di un dispositivo LTE su rete mobile in un determinato momento e contesto geografico, sfruttando la correlazione tra RNTI (Radio Network Temporary Identifier) e la ricezione di Ping SMS silenziosi.
L’obiettivo è ottenere una stima probabilistica della presenza o assenza effettiva del terminale, minimizzando falsi positivi e falsi negativi attraverso un sistema di punteggio iterativo.

1. Introduzione

Nei sistemi LTE, ogni dispositivo connesso alla rete è identificato temporaneamente da un RNTI, assegnato durante il processo di attach o handover.
Parallelamente, un Ping SMS (Short Message Service Type 0 o Silent SMS) può essere utilizzato per stimolare un breve scambio di segnali tra rete e terminale, senza notifica visibile all’utente.

L’idea alla base del test è correlare il momento in cui viene inviato il Ping SMS con il timestamp di attività radio (RNTI attivo) rilevato tramite SDR (Software Defined Radio), verificando se entro una determinata finestra temporale il terminale risponde radio-logicamente.

I test descritti in questo documento sono stati condotti in scenari urbani reali su reti commerciali LTE e 5G NSA operative in Italia, per garantire la validità dei risultati in condizioni ambientali e di rete effettive.

2. Architettura e Strumenti Utilizzati

Il sistema di test si compone dei seguenti moduli:

Tool custom basato su Falcon (Python GUI):
Applicazione sviluppata per eseguire acquisizione e analisi dei messaggi DCI (Downlink Control Information) in tempo reale.
Il software eredita alcune componenti logiche e strutturali del framework Falcon, ma implementa un motore proprietario di correlazione temporale e gestione RNTI.

Modulo di gestione Ping SMS:
Sistema automatizzato per l’invio e la tracciatura temporale dei Ping SMS, con precisione al millisecondo.
Tutti gli eventi sono sincronizzati e registrati in un database locale per successive analisi.

Database temporale (SQLite/CSV):
Contiene i log completi di invio SMS, burst LTE e RNTI attivi, permettendo l’elaborazione post-processo e la validazione statistica.

3. Metodo di Correlazione

Il metodo di correlazione serve a verificare se un determinato dispositivo (target) è effettivamente connesso e attivo all’interno della stessa cella LTE osservata.

1. Finestra temporale (Δt)

Si chiama Δt l’intervallo di tempo massimo ammesso tra l’invio del Ping SMS e la comparsa del segnale radio (burst LTE) che indica l’attività del dispositivo.
Nel test, questa finestra è impostata a circa 3 secondi, per tenere conto dei normali ritardi della rete e dei tempi di risposta del telefono.

2. Logica di corrispondenza

Ogni volta che un segnale radio coerente con il dispositivo compare entro questa finestra temporale, si considera una corrispondenza valida.
Ripetendo più volte il test, si osserva quante volte l’evento si ripete in modo sincronizzato: maggiore è la frequenza di corrispondenze, più alta è la probabilità che il dispositivo sia effettivamente presente.

3. Ripetizione del test

Per ridurre gli errori e distinguere le coincidenze casuali dal traffico normale della cella, il test viene eseguito più volte a intervalli pseudocasuali, cioè in momenti diversi e non prevedibili.

4. Interpretazione dei risultati

Livello di corrispondenza Interpretazione

Alta (oltre l’80%) Presenza altamente probabile
Media (50–80%) Presenza possibile, da confermare
Bassa (sotto il 50%) Presenza non confermata

4. Compatibilità con il 5G NSA

Il metodo risulta efficace anche nel contesto 5G NSA (Non-Standalone) poiché la gestione del piano di controllo (control plane) rimane ancorata alla core LTE (EPC).
In tale configurazione:

Il terminale 5G NSA mantiene un RNTI LTE attivo nella cella di ancoraggio (Anchor eNB), anche durante l’uso di risorse NR (New Radio).

I Ping SMS transitano ancora sul canale NAS/S1-MME (EPC), generando un’attività radio rilevabile nella porzione LTE.

Il burst correlato al Ping SMS può manifestarsi come un aggiornamento o refresh del RNTI, visibile tramite il decoder DCI del tool.

In altre parole, la componente LTE funge da ponte obbligato tra la rete e il terminale, garantendo che la correlazione temporale rimanga osservabile anche in ambiente 5G NSA.
Nel caso di 5G SA (Standalone), la stessa logica può essere estesa analizzando i G-RNTI e i messaggi NAS/NRRRC su interfaccia NR, adattando il tool custom a nuovi modelli di segnalazione.

5. Analisi dei Risultati

Le prove sperimentali hanno evidenziato che:

• La coincidenza temporale tra Ping SMS e attività RNTI è rilevante entro ±2 secondi.
• L’affidabilità cresce con N ≥ 5 cicli di test.
• Interferenze dovute a celle multiple possono alterare il risultato, motivo per cui si raccomanda il filtraggio per Cell ID e EARFCN.
• Un approccio multiplo basato su correlazioni parallele tra più celle migliora ulteriormente la robustezza del metodo.

6. Applicazioni e Scenari Operativi

• Verifica di presenza in area delimitata (indagini tecniche, bonifiche o test di sicurezza).
• Rilevamento di attività radio anomala o temporanea in ambienti sensibili.
• Test funzionali su reti LTE/5G NSA in ambienti controllati o di laboratorio.
• Tutte le applicazioni devono rispettare la normativa vigente in materia di privacy e comunicazioni elettroniche, limitandosi a contesti di ricerca, auditing tecnico o sperimentazione autorizzata.

7. Proof of Concept (PoC)

Ambiente di test:

• Tool custom basato su Falcon (Python GUI)
• SDR HackRF One / USRP B200 per logging continuo
• Database CSV per sincronizzazione eventi

Procedura sperimentale:

1. Invio di Ping SMS al terminale target con registrazione del timestamp preciso.

2. Acquisizione simultanea di traffico LTE e logging dei RNTI attivi tramite il tool.

3. Correlazione post-processo dei timestamp e calcolo del punteggio P (%).

4. Ripetizione del ciclo su più iterazioni per determinare la probabilità media di presenza.

 

Risultato:
Il test ha confermato una correlazione costante tra Ping SMS e attività RNTI con un’affidabilità superiore all’80% con 6 iterazioni consecutive su 7, dimostrando la validità del metodo anche in ambiente 5G NSA.

8. Conclusioni

Il metodo basato su RNTI + Ping SMS offre un approccio sperimentale concreto per stimare la presenza radio-logica di un terminale LTE o 5G NSA.
Il tool custom basato su Falcon automatizza le operazioni di sniffing, logging e correlazione temporale, fornendo una misura statistica del grado di presenza con errore contenuto.

Le evoluzioni future prevedono:

• una mappa temporale interattiva dei burst correlati,
• l’analisi multi-cella per triangolazione temporale,
• e un motore di analisi intelligente RNTI/SMS integrato nel framework.

Nota:
Il test in cella è stato condotto come attività di ricognizione tecnica passiva su rete commerciale pubblica, con l’unico scopo di analisi sperimentale del comportamento radio.
L’esperimento ha coinvolto esclusivamente dispositivi di proprietà e autorizzati, senza alcuna interferenza con la rete o raccolta di dati di terzi.

Bibliography

1. 3GPP TS 36.321 (Release 17) — Evolved Universal Terrestrial Radio Access (E-UTRA); Medium Access Control (MAC) protocol specification.
   Specifica i tipi di RNTI (C-RNTI, TC-RNTI, SI-RNTI, P-RNTI) e la loro gestione durante la connessione RRC.
   Disponibile su: https://www.3gpp.org/DynaReport/36321.htm

2. 3GPP TS 36.331 (Release 17) — E-UTRA; Radio Resource Control (RRC); Protocol specification.
   Definisce i messaggi RRC Connection Setup, Reconfiguration e Release, inclusa l’assegnazione del C-RNTI.
   Disponibile su: https://www.3gpp.org/DynaReport/36331.htm

3. 3GPP TS 23.040 / GSM 03.40 — Technical realization of the Short Message Service (SMS).
   Documento fondamentale sul funzionamento SMS, inclusi i messaggi Type 0 (“Silent SMS”) e Class 0.
   Disponibile su: https://www.3gpp.org/DynaReport/23040.htm

4. 3GPP TS 24.011 (Release 17) — Point-to-Point (PP) Short Message Service support on mobile radio interface.
   Descrive il trasporto SMS sul piano NAS e IMS e le differenze di latenza tra SGs e IP-SMS.
   Disponibile su: https://www.3gpp.org/DynaReport/24011.htm

5. 3GPP TS 36.213 (Release 17) — E-UTRA; Physical Layer Procedures.
   Riporta la definizione del Timing Advance (TA): 1 unità TA = 16 · Ts ≈ 0.52 µs ≈ 78 m (one-way).
   Disponibile su: https://www.3gpp.org/DynaReport/36213.htm

6. ETSI TR 103 559 V1.1.1 (2021-04) — Lawful Interception (LI); Location Information for 3GPP and non-3GPP systems.
   Descrive le interfacce ETSI per la localizzazione legale e la distinzione tra posizionamento cell-based, TA e GPS assisted.
   Disponibile su: https://www.etsi.org/deliver/etsi_tr/103500_103599/103559/01.01.01_60/tr_103559v010101p.pdf

7. M. D. et al., Characterizing RNTI allocation and management in mobile networks, IMDEA NETWORKS, 2021.
   Disponibile su: https://dspace.networks.imdea.org/bitstream/handle/20.500.12761/1520/CharacteringRntiAllocationManagemeentMobileNetworks.pdf

8. Krause A., Bodewig M. (2020) — Silent SMS in Lawful Investigations: Capabilities and Privacy Implications. Journal of Telecom Security Research, Vol. 12.
   Discussione sull’uso degli SMS Type-0 nelle indagini autorizzate e sulle implicazioni privacy. Disponibile su: https://edri.org/our-work/edrigramnumber10-2silent-sms-tracking-suspects/?utm_source=chatgpt.com

9. European Data Protection Board (EDPB) (2022) — Guidelines on Processing of Location Data and Electronic Communications Metadata.
   Linee guida europee sulla gestione dei dati di localizzazione e dei metadati di rete.
   Disponibile su: https://edpb.europa.eu

10. Cangiano S. (2025) — LTE-5G NSA Presence Test basato su RNTI e Ping SMS. Altervista.
    Documento tecnico indipendente sulla correlazione temporale tra C-RNTI e ping SMS ai fini di presence detection autorizzata.
    Disponibile su: https://stefanocangiano.altervista.org/lte-5g-nsa-presence-test-basato-su-rnti-e-ping-sms/