С 23 сентября в профильных сообществах активно обсуждают способ включения 5G на iPhone в России, делая это при помощи подмены операторского профиля. Я проверил это сам и снял, что заявляет телефон сети: в NSA‑режиме заявлены n1, n3, n7, n8, n20, n38 и n40. Профиль разрешает системе видеть n78/n79 (это можно легко подтвердить через «консоль»), но модем их блокирует из‑за регионального ограничения, в итоге сеть эти параметры не получает. Но, n79 запустить всё же получилось, с этим разберемся ниже.

• 5G на iPhone реально работает (n1, n3, n7, n8, n20, n38, n40)

• n79 запустить тоже удалось, но с получением нестабильной работы iOS

• Подтверждено данными со стороны сети (UECapabilityInformation), а не только тем, что показывает сам iPhone

• Как проверить это на своем iPhone — инструкция в конце статьи

1. Как все начиналось

23 сентября в сообществе «4cells» был впервые упомянут 5GFirst (проект, который на платной основе делает то, что делает CarrierSIM, но вышел он на неделю раньше). В тот же день я занялся реверсом данного приложения и выяснил следующее:

1. Работает это чудо через уязвимость в iOS (https://github.com/0xjohnnydev/airlift)

2. В коде имеется GitHub‑репозиторий (https://github.com/VCTGomes/ios‑carrier‑bundle/), содержащий в себе профили всех операторов с версии iOS 26.5 по версию iOS 27.2

Вечером того же дня я написал аналог 5GFirst, поставил профиль кувейтского оператора и поехал проверять результат в центр Нижнего Новгорода, где у оператора МТС заявлено покрытие n1/n79, а у оператора МегаФон — n1.

2. Профиль, модем и сеть: где же рвётся цепочка?

За то, какие диапазоны устройство может использовать отвечают 3 независимых слоя:

1. Тот самый профиль (carrier bundle). Это набор настроек, который Apple подписывает для конкретного оператора и привязывает по паре MCC+MNC (MCC — код страны, например 250 — Россия; MNC — код сети, например 01 — МТС). Профиль описывает логику UI и часть сетевых политик (роуминг, APN, Hotspot и др), но сам по себе не решает, какие именно частоты устройство физически может использовать, он лишь сообщает системе, какие частоты и режимы «разрешены» для данного оператора. 

2. Модем (baseband). Это отдельный физический модуль внутри iPhone со своей прошивкой, ограничения у которого делятся на «физические» и «программные». Например: модем для Китайского рынка физически не поддерживает диапазон mmWave, никакая прошивка это не изменит. А вот n78/n79 в российском профиле уже программное ограничение: физически модем их поддерживает, но прошивка блокирует по коду страны (MCC). Что это значит на практике — разберём в разделе про баги.

3. Сеть (Network) — зона ответственности оператора. Является финальным звеном, ведь при подключении именно она спрашивает у устройства UECapabilityInformation (список диапазонов, которые телефон готов использовать прямо сейчас). На этом этапе видно, что происходит на самом деле: профиль может «разрешать» диапазон на уровне системы, но если модем его не пропускает дальше, то сеть этого разрешения и не увидит. 

3. Как это работает: уязвимость в синхронизации Apple Books

5GFirst и его аналоги устанавливают чужой профиль (carrier bundle) через уязвимость в синхронизации Apple Books.

AirLift (https://github.com/0xjohnnydev/airlift) — это инструмент, который использует канал синхронизации Books для записи файлов вне той папки, для которой он предназначен (в нашем случае — системные папки). Именно так на устройство попадает профиль, не предусмотренный производителем для данного рынка. 

Сам профиль AirLift не создает, в решении 5GFirst он берётся готовым из открытого репозитория https://github.com/VCTGomes/ios‑carrier‑bundle, где лежат файлы профилей практически всех операторов за версии iOS с 26.5 по 27.2. Задача сводится к тому, чтобы взять из него подписанный профиль нужного оператора и положить его на устройство через AirLift. Вся подмена состоит из этих двух готовых компонентов, ничего специфического под 5G в них нет.

Но подмена профиля меняет только первый слой из трёх описанных выше. Она не может изменить прошивку модема и его региональные ограничения, а именно там, как выяснится дальше, зашита блокировка на n78/n79 для устройств с MCC 250.

4. Баги с n78/n79 в консоли iPhone

После установки профиля с разрешёнными n78/n79 (в моём случае — CarrierLab) внутренний лог (Console → CommCenter) прямо показывает, что модем считает эти диапазоны поддерживаемыми:

Далее модем начинает формировать список частот для сканирования, при этом n79 там тоже есть (4449.8 МГц):

То есть система отправляет в модем запрос на сканирование n79. Это тот шаг, который дальше не проверить со стороны устройства: сам факт отправки запроса есть, а вот заявляет ли модем этот диапазон сети — уже другой вопрос, ответ на который лог не дает. 

Также в логах встречаются частотные записи со значениями, не соответствующими ни одному реальному диапазону 5G (например 2147 ГГц), что похоже на артефакт обработки. Природу найденного восстановить не удалось. 

5. Capability со стороны сети

Всплывающий n79 в логах это, конечно, хорошо, но вот что на практике: что именно получает сеть? Пакет снят с профилем CarrierLab вместо родного профиля (это внутренний профиль Apple для лабораторного тестирования):

Видите n78/n79? Вот и я не вижу. Это ещё раз подтверждает тот факт, что эти диапазоны просто‑напросто не доходят до сети. Полный лог доступен здесь.

6. Значок ещё не значит, что вы подключены к 5G

В 5G есть два принципиально разных режима работы сети — это NSA и SA:

• В NSA работа сети осуществляется поверх существующей инфраструктуры: устройство подключается к базовой станции LTE как обычно, а NR‑несущая (несущая сети 5G) добавляется к этому соединению как дополнительная. Без прописанных параметров на LTE‑якоре 5G просто не включится.

• В SA ядро сети работает независимо от LTE, не опираясь на него ни на каком этапе соединения. Это архитектура, ради которой 5G задумывался первоначально, а сейчас такое применяют на предприятиях в рамках «Private Network».

В России коммерческие сети 5G запущены на базе NSA.

Но где же кроется подвох?
Раз для NSA обязателен LTE‑якорь, возникает техническая ловушка: сота может передать на телефон включение значка 5G и телефон будет отображать его даже в том случае, если NR‑несущей рядом физически не будет. Сейчас это можно наблюдать в сети оператора «Билайн»: есть станции, где прописан специальный флаг, который говорит телефону «надо включать 5G», но несущих рядом нет, то есть на экране горит 5G, а реального подключения нет:

Похожая картина встречается у МегаФона: флаг 5G у них преимущественно прописан на band3 (диапазон 1800МГц), если же устройство подключается к band7/8/20, то флаг устройству не отдается и 5G не включается вовсе, хотя формально сота та же самая и NR‑несущая физически рядом есть:

7. n79 всё же можно включить — но надо ли оно?

На устройстве iPhone 16 Pro (A3294) с iOS 27 Release Candidate при определенной последовательности переключения профилей и режима сети мне удалось поймать баг: модем не успевает закончить проверку регионального ограничения профиля и ввиду [часть деталей намеренно удалена, воспроизводить баг я не рекомендую] происходит перезапись на профиль, где n79 доступен по‑настоящему:

Обратите внимание на поле «Network Capabilities» — его значение «LTE», хотя чуть ниже видны реальные показания n79. Это ещё одно проявление того же бага: модем перестаёт нормально обрабатывать состояние сети и поле просто зависает на предыдущем значении, то есть даже интерфейс диагностики начинает врать о состоянии сети.

Публиковать как именно можно повторить данный эксперимент со своим iPhone и включить n79 я не буду, потому что не знаю, как поведёт себя данный баг на других iPhone и на других конфигурациях модема, в том числе на устройствах с mmWave, где похожий сбой теоретически может увести модем в состояние, выйти из которого помогает только полное восстановление через iTunes. Какие последствия я заметил на своём устройстве:

1. Модем и сеть начинают жёстко лагать;

2. Батарея разряжается кратно быстрее обычного (~40% за час);

3. Консоль заваливается ошибками (до нескольких тысяч сообщений в секунду), из‑за чего быстро забивается память устройства.

Поэтому о стабильной работе речи тут и не идёт.

8. Пришло время полевых тестов!

Посмотрим, как 5G справляется в реальных условиях:

1. 23 сентября. Нижний Новгород, оператор «МегаФон»: имеется покрытие n1, якорь b3, чтобы подключиться надо попотеть. Скорость скачивания — 139.56 Мбит/с, скорость выгрузки — 38.10 Мбит/с, задержка — 33 мс.

   

2. 23 сентября. Нижний Новгород, оператор «МТС»: имеется покрытие n1, якорь b3. Скорость скачивания — 68.40 Мбит/с, скорость выгрузки — 21.67 Мбит/с, задержка — 37 мс, при этом на Android‑устройстве скорости немного выше.

   

3. 26 сентября. Москва, ВДНХ, оператор «МегаФон»: имеется покрытие n1, якорь b3. Скорость скачивания — 141.35 Мбит/с, скорость выгрузки — 43.82 Мбит/с, задержка — 26 мс.

   

4. 27 сентября. метро Москвы, станция Марьина Роща (переход на Большую Кольцевую Линию), оператор «Билайн»: без Field Test нельзя подтвердить, что в этот раз значок реальный — Билайн уже был замечен в похожем ранее. Но, в любом случае, результаты неплохие: скорость скачивания — 394.16 Мбит/с, скорость выгрузки — 67.73 Мбит/с.

   

5. 27 сентября. метро Москвы, станция Рижская Большой Кольцевой Линии, оператор «Т2»: имеется покрытие n40 (50/60MHz полоса) почти по всему метрополитену, якорь b1. Скорость скачивания варьируется до 419.94 Мбит/с, скорость выгрузки в среднем до 50 Мбит/с.

   

6. 27 сентября. Москва, ВДНХ, оператор «МегаФон»: реальный 5G отсутствует, есть только значок. Скорость скачивания — 114.92 Мбит/с, скорость выгрузки — 0.09 Мбит/с, задержка — 34 мс.

9. Как снять лог с модема самому

Всё, что показано в разделе про capability можно повторить на своём устройстве, но с оговорками, которые на практике и показывают, почему всё же потребовался захват со стороны сети. Для этого необходимо:

1. Установить сертификат Apple для диагностики (без него в sysdump не будет данных), после чего перезагрузить устройство

2. Снять sysdump (системный лог) — необходимо зажать кнопку питания вместе с кнопкой громкости вниз и вверх, должен быть характерный виброотклик. Важно: захватывается окно в 15–20 секунд до зажатия кнопок и 5–10 секунд после, то есть, перед тем, как снимать системный лог лучше включить и выключить режим полета.

3. Через 2–3 минуты лог должен быть готов, получить его можно через Настройки: перейти в раздел «Конфиденциальность и безопасность» → «Аналитика и улучшения» → «Посмотреть журналы аналитики» → в поиске ввести «sysdump». Если есть лог IN_PROGRESS_..., значит лог ещё записывается. Экспортируем лог через любой удобный Вам канал связи.

4. Используем Python‑скрипт из данного репозитория Github, инструкция по запуску есть там же. Должны получить .pcap файл, который можно открыть через Wireshark и проанализировать, что происходит в сети на Вашем iPhone:)

Есть нюанс: если открыть .pcap и найти там UECapability, то поле окажется пустым, потому что модем не отдает эту информацию. Но, доступна сигнализация и процесс обмена (уровни сигнала, параметры сектора и радиомодуля, RRC‑сообщения, handover'ы, поднятия сессий APN и VoLTE и множество других фишек, которые могут пригодится, например, для определения вендора радиомодуля)

ВАЖНО! Прежде чем делиться этим файлом с кем‑либо либо публиковать его, проверьте и вычистите его, так как в захвате встречаются сообщения, в которых может быть открыт IMSI или IMEI устройства, CellID базовой станции и другие данные, которые привязывают захват к конкретному человеку и месту.

10. Нестабильность и проблемы после замены профиля

При подмене профиля были замечены моменты, которые возникают даже без попыток сломать региональное ограничение (то самое ограничение, из‑за которого n79 не заводится):

1. VoLTE работает нестабильно. Сессия периодически отваливается, необходимо включать и выключать режим полета; проблема замечена на операторах «Мегафон» и «МТС» с профилем CarrierLab. Во время звонка через VoLTE интернет может быть недоступен, причину не нашёл так как глубоко не копал.

2. voWiFi на Мегафоне с профилем Vodafone отваливается через 2–3 часа работы. Возможно, дело в том, как именно «Мегафон» работает с voWiFi, потому что подобное поведение наблюдается и на некоторых Android‑смартфонах.

3. После переключения режима полета телефон может с некоторым шансом упасть в EDGE и упорно сидеть в нём несколько минут, пока не начнется интенсивная передача данных. Причина не установлена, поведение одинаково воспроизводится на всех операторах.

4. Режим модема с профилями может стать недоступным вовсе, помогает либо перезагрузка, либо сброс данных сети. Причины неизвестны, глубоко не копал.

5. Проблемы возникают не только у меня, как пример: есть пользователи, у которых 5G отсутствует в выборе, но при этом значок горит, то есть проблемы с модемом возникают не только у меня.

11. Выводы

В конечном счёте мы имеем следующее: подключить 5G на iPhone, который работает на диапазонах n1/n3/n7/n8/n20/n38/n40 — реально, но стабильность устройства может быть нарушена. Обычный человек разницу между «Реально работающим 5G» и «Значком 5G» не заметит, а в некоторых случаях скорость в 5G ниже, чем в LTE на одной площадке. Тесты, в целом, я прикреплял) Думаю, операторам нужно время чтобы всё это обкатать и запустить уже в нормальном виде. n79 через iPhone поймать всё же удалось, но работоспособность устройства в целом была нарушена, из‑за чего пользоваться телефоном в нормальном понимании уже невозможно. Так что мой вывод такой: если Вы и хотите «включить 5G» на своём iPhone, то вначале посмотрите, есть ли 5G в Вашем городе, а потом уже решайте, стоит ли ради этого жертвовать стабильностью системы. Скорее всего — нет.