卫星导航系统赛博安全技术发展

● 文 | .中国卫星导航系统管理办公室 .北京空间科技信息研究所 杨宁虎 刘春保

一、概述

随着网络技术与应用的发展，赛博空间（也称为网络空间、网际空间）已经成为继陆、海、空、天之后的第五维空间，已经成为信息时代国家间政治、经济、军事与外交竞争、博弈的新舞台，保护、拓展国家战略利益的制高点。作为全球信息技术最发达的国家，美军高度重视赛博空间攻防与安全技术和能力，不断加强赛博空间力量建设。2010年，美国空军颁布了首个《赛博空间作战条令》（AFDD 3-12），2013年，美军参联会发布面向三军的赛博作战条令——《赛博空间作战条令》（JP 3-12），力图主导、控制赛博空间，并籍此获得影响、甚至决定陆、海、空、天四大空间作战优势的能力。

就卫星导航领域而言，赛博空间正在成为卫星导航系统导航战能力与卫星导航系统控制权争夺最重要的战场，赛博空间的对抗将成为影响、决定卫星导航系统服务能力与控制权的重要因素。

二、赛博空间与赛博安全

1.赛博空间的概念与作用

美国政府和军方对于赛博空间的认识经历了不断深化与完善的过程，赛博空间的定义经多次修订、调整，2008年后基本趋于一致。当时美国政府将赛博空间定义为“信息环境中的一个全球性域”，由相互依赖的信息技术基础设施网络组成，包括互联网、电信网、计算机系统及重要产业中的嵌入式处理器和控制器等；美国军方关于赛博空间的定义与政府定义基本一致，其差别在于除去了“重要产业”的这一限定语。

此后，美军再次对网络空间的定义进行了修订，在赛博空间的组成中增加了“承载的数据”这一重要的内容。根据美军2016年版《国防部军事术语词典》，赛博空间的最新定义是：信息环境中一个全球性的域，由相互依赖的信息技术基础设施网络及其承载的数据组成，包括互联网、电信网、计算机系统以及嵌入式处理器和控制器等。

由赛博空间的定义可以看出，与陆、海、空、天等具有明确物理属性的四大作战空间不同，赛博空间由具有明确物理属性的“信息技术基础设施网络”和具有信息属性的“数据”组成，“信息技术基础设施网络”是人类创造的虚拟空间，而信息属性的“数据”则是赛博空间内唯一的活动主体。因此，信息或“数据”的操作是赛博空间的关键。

提供赛博服务是赛博空间的唯一作用。从军事角度上看，赛博空间应至少具有如下三类赛博服务功能或能力：其一，构成提供赛博服务的体系。其中每个相对独立的赛博空间均可响应、满足用户的赛博服务需求，实现用户间的交互；独立赛博空间的交互，即多个乃至无限独立赛博空间的交互，可构成更大的新赛博空间，并实现新赛博空间内部的“数据”交互，满足现代信息化战争对“体系”定义的全部要求；其二，支撑体系化、信息化作战。即嵌入作战体系、应用于作战的赛博空间，其产生、传递的信息或“数据”可支撑战术、战役乃至战略目标的实现，形成体系化、信息化的作战能力；其三，构成独立的作战空间，即第五大作战空间。当交战方以赛博应用与服务能力、信息与“数据”操作过程与结果、赛博空间基础设施为作战对象进行对抗时，即形成了所谓赛博空间作战。赛博空间作战主要利用电子信息技术和电磁频谱的手段或方法访问、利用赛博空间，进而获得赛博空间的控制权，以确保已方能够自由地访问和利用赛博空间，以及限制、拒绝甚至阻断敌方进入、利用赛博空间的能力。

2.赛博安全

就军事角度而言，赛博安全涉及三个方面的内容，分别为赛博访问、赛博利用与赛博控制。赛博访问是指进、出我方/敌方赛博空间的能力，是实现赛博利用的前提和必要条件。从赛博访问的角度看，军事赛博空间的访问难度远高于对传统互联网的赛博访问，涉及访问信号的物理到达、赛博地图与导航、赛博侦察与漏洞扫描众多技术或方法。赛博利用是赛博服务的目的，如形成支撑陆、海、空、天与赛博空间作战的作战体系，实施、遂行基于信息系统的体系作战等，而且赛博服务能力决定了赛博利用的能力。赛博控制可看作为赛博空间的攻防能力，由赛博进攻与赛博防御两个方面构成，赛博控制能力决定着已方能够有效地进入和利用赛博空间，决定着能否有效地限制、阻止敌方有效地进入和利用赛博空间。

赛博进攻主要是利用信息手段，攻击敌方的赛博空间与赛博服务能力，从而达到削弱、控制敌方赛博服务能力的目的，支撑在陆、海、空、天等作战空间遂行军事行动的目的。包括对敌方赛博空间的侦察、赛博服务能力的判断、赛博进攻方式选择与指挥控制、赛博攻击和攻击效果评估等。

赛博防御是指防范、削弱敌方赛博进攻的作用或效果，保存、保护、恢复以及重建己方的赛博能力，确保赛博利用能力等所采取的各种行动的统称，主要包括赛博攻击威慑、赛博攻击防护和赛博生存能力、赛博攻击源的探测跟踪与定位，已方赛博空间脆弱性检测与改进，网络数据与电子系统防护、电磁和网络基础设施防护等。

卫星导航系统的赛博安全属于赛博空间作战中赛博安全防护范畴，主要任务是在敌方的攻击过程中，对己方关键网络基础设施和电子系统进行安全防护，提高抗毁能力，如远距离支援干扰、脆弱性检测与响应、入侵检测、电子系统防护等。赛博攻击属于软、硬结合类型，包括摧毁、中断、削弱和欺骗敌方的网络基础设施和电子系统等方式与手段，达到破坏传感器、数据控制、指挥控制、武器系统降级的目标。因此，赛博安全防护一般采取多层次、多手段结合的方式，如运行控制系统（OCX）系统即采取了防火墙、入侵探测、加密、安全操作系统、跨领域防护、安全代码等多种、多层次的防护措施，其关键技术主要包括入侵探测术、加密技术和安全操作系统技术及其实现跨领域防护的技术等。

鉴于赛博空间在国家安全中的重要地位，赛博作战力量将成为未来夺取赛博优势，剥夺或削弱敌方赛博能力，控制赛博空间，主导全维作战行动的重要力量。为此，美军已经成立赛博空间司令部，组建了赛博空间作战部队，建设“国家网络靶场”，开展“网络风暴”等系列赛博作战演习。俄罗斯加强赛博空间作战能力，提出了建设一支攻防兼备的赛博空间作战力量，构建赛博空间威慑力量等要求，并已将赛博空间作战推进到实战化阶段。

赛博空间的对抗具有广泛性、知识性、不对称性、平战界限模糊性等特点，随时都有可能发生。作为重要的空间基础设施，卫星导航系统安全、稳定的运行关系到国家安全的各个方面，极有可能成为敌方赛博攻击的重点。美国军方对GPS系统的赛博安全给予了高度重视，正在研发GPS系统的赛博安全技术，预计将于2022年左右完成GPS系统赛博安全功能与能力的部署，使GPS系统成为全球首个具有赛博安全保障能力的全球卫星导航系统。

三、卫星导航系统赛博安全

1.卫星导航系统赛博安全背景

卫星导航系统由空间段、地面运行控制段与用户段组成。按照赛博空间的定义，地面运行控制系统、卫星导航系统运行管理与控制链路、卫星导航系统星间/星地链路均属于赛博空间，而上述部分也是运行管理人员赖以运行、管理、控制卫星导航系统正常运行与执行导航战操作的关键基础设施。

卫星导航系统地面运行控制段一般采用分布式IT网络结构，利用IT网络将全球分布的各个运行管理基础设施连结起来，从而完成卫星导航系统空间星座卫星运行数据的采集、处理，星历的生成与上传，卫星的运行控制、卫星系统时间同步等。

地面运行控制系统各站点之间、地面运行控制系统与空间星座、星间/星地链路采用有线或无线的方式进行信息、数据、指令的传输，从而成为赛博攻击的重要途径，也使卫星导航系统的运行安全处于赛博威胁之中。为保证GPS系统的运行安全，美国空军要求在GPS新一代运行控制系统（GPS OCX）的研发中，构建GPS运行控制系统的赛博安全能力。

2.GPS OCX的赛博安全威胁与防护结构

2012年底，美国空军完成了GPS地面运行控制系统的体系结构演进计划（AEP），实现了从大型主控计算机控制结构向分布式IT网络控制结构的转变。这种控制结构的转变提升了GPS运行控制系统的可靠性、稳健性与GPS星座的运行控制能力，也为GPS新一代运行控制系统（OCX）的建设与发展奠定了基础，同时也使赛博安全成为GPS系统运行控制系统必须解决的问题。

美国空军认为，GPS运行控制系统面临着来自4个方面的安全威胁（图1），分别为赛博威胁、内部威胁、物理威胁与供应链威胁（如图2所示），GPS OCX必须同时拥有对抗上述4种威胁的能力。依据2010年美国空军发布的《赛博空间作战条令》（AFDD 3-12）和2013年美军参联会发布的《赛博空间作战条令》（JP 3-12），以及美国参联会发布的《信息作战条令》（JP3-13）和美国国防部标准《信息保证》（DoDD 8500.1）和《多层管理结构》（DoDI 8500.2），美国空军为GPS OCX系统设计了5层防护结构组成了多层防御体系，分别为防火墙与入侵探测、公共关键信息与加密、安全操作系统、跨领域防护和安全代码等。从安全防护结构来看，赛博威胁的防御是GPS OCX系统赛博安全的重点。依据针对OCX系统赛博攻击的可能的路径，OCX系统首先采取了赛博访问的防火墙与入侵探测措施，实现对OCX系统的大量非法或非授权访问，完成对高威胁入侵或恶意访问的甄别；第二层主要采取加密的方式对OCX系统的各种信息、数据进行保护，以防止赛博攻击对系统信息和数据的操作；然后，通过安全操作系统、跨领域防护与安全代码等三层防护手段进一步加强对GPS OCX系统核心的赛博攻击防御能力，从而保证GPS OCX系统的安全，保证GPS系统的控制权与运行安全。

图1 GPS运行控制系统面临4个方面的安全威胁

从当前OCX系统研发情况看，赛博安全是OCX系统重要的新增核心能力，也是造成OCX研发时间拖延、经费超支最重要的因素，已经违反纳恩·麦柯迪法案。在此情况下，美国军方仍坚持OCX系统的方案，表明赛博安全对GPS系统及其安全、稳定的运行，保证美国军方对GPS系统的控制权至关重要。

四、赛博安全——卫星导航系统的安全盾牌

卫星导航系统是重要的空间基础设施，是国家天地一体化信息体系的重要组成部分，其提供的覆盖地球及近地轨道空间的高精度定位导航授时服务与统一的时间、空间基准是军事能力的倍增器，国民经济高效、稳定运行与增长的助推器。因此，卫星导航系统的安全、稳定运行是保障国家安全与经济发展的重要基础。

作为赛博空间的组成部分，卫星导航系统的地面运行控制段与通信、指挥链路正面临着日益严重的赛博安全问题。特别是在赛博空间成为与陆、海、空、天并列的作战空间后，世界各国均在大力发展赛博空间作战能力，赛博空间的作战能力已经成为影响战争胜负的重要因素，卫星导航系统也必将成为敌方赛博攻击的重要目标。因此，卫星导航系统赛博安全防护已经成为影响、甚至决定卫星导航系统能否安全、稳定、可靠地运行并提供服务的重要保障，甚至成为影响或决定卫星导航系统控制权的重要因素。

从卫星导航系统运行的角度看，卫星导航系统安全、稳定、可靠的运行需要地面运行控制系统的全面支持，包括精确的定轨定姿、时间同步、导航电文与数据等，如果运行控制系统不能有效地防御赛博攻击，则卫星导航系统只能采取自主导航模式，而在此情况下，卫星导航系统的服务性能将随时间的增加降低。

从导航战功能实现的角度看，包括导航拒止、功率增强、在轨可编程与信号重构等当前卫星导航系统已经具备或正在研发的全部导航战功能均需按照地面运行控制系统的指令运行，如果不能有效地防御赛博攻击，运行控制系统将不能对空间星座、卫星实施有效的运行管理与控制，从而不能按需求启动上述导航战功能。

综上所述，如果卫星导航系统不能有效地防御赛博攻击，将难以保证卫星导航系统安全、稳定、可靠地运行，部分、甚至全面失去卫星导航系统运行、管理的控制权。显然，这种情况是任何卫星导航系统拥有方均无法接受与承受的。

五、结束语

赛博安全是信息化战争条件下体系作战重要的使能能力，既能全方位地降低、削弱敌方的陆、海、空、天与赛博空间的能力，又可为已方提供有效的保障。就卫星导航系统而言，赛博空间将成为高精度卫星导航能力对抗最重要的战场。赛博安全能力的缺失甚至可能导致丧失卫星导航系统的控制权。因此，必须对卫星导航系统赛博安全问题给予高度重视，才能保证卫星导航系统运行与服务的安全。