无人机系统安全保密体系研究*

2020-09-27廖竣锴程永新

通信技术 2020年9期

廖竣锴，程永新，付江

（中国电子科技集团公司第三十研究所，四川成都 610041）

0 引言

无人机相对于传统的有人飞机，成本低廉，使用灵活，能够适应各种危险场合，可以完成很多有人飞机无法完成的任务，因此在多个行业得到了爆炸式发展。尤其在军事领域，无人机已是局部战争中非常重要的武器。

无人机在日益广泛的使用中，也面临着严重的安全漏洞和隐患问题，尤其在对抗环境下更易受到攻击。例如，在军事环境中，敌方可能截获篡改无人机的信息或俘获无人机为己所用。因此，针对无人机系统的安全威胁与防护技术一直是近年来无人机领域的研究热点。无人机通信网络的抗干扰通信、通信加密、攻击检测、安全认证等技术的研究及成果不断出现，但是对无人机系统的安全保密防护体系和架构研究较少。因此，本文首先简要介绍无人机系统的组成和无人机网络，其次分析当前无人机面临的安全威胁，并在此基础上提出无人机系统的安全保密体系架构，同时分析其中的关键技术，最后对全文进行总结。

1 无人机系统及网络

1.1 无人机系统组成

无人机系统分为无人机和地面控制系统两大部分。

无人机按照飞行器构型可分为固定翼、扑翼、旋翼和混合翼等不同类型，一般包括动力系统、传感器、控制系统、通信系统和任务载荷。其中，动力系统为无人机提供动力；传感器主要包括陀螺仪、GPS、磁力计等；控制系统接收传感器数据和地面控制指令，控制无人机飞行；任务载荷是执行任务的部件，根据具体任务搭载不同载荷[1]。

地面控制系统可以是一个遥控器，也可以是一个地面站，一般包括通信系统、控制系统以及数据处理系统等。其中，通信系统与无人机建立通信链接；控制系统控制无人机飞行和任务执行；数据处理系统负责航线规划和任务数据处理。如图1 所示。

图1 无人机系统组成及网络

1.2 无人机网络

无人机网络可看作飞行的无线网络。每架无人机是一个网络数据收发节点，也可提供网络中继。无人机网络可以是自组织，也可以基于地面或卫星基础设施支撑。其中，多架无人机组成的空中通信网络被称作空中移动自组织网络（Mobile Ad hoc Network，MANET），多采用Ad-Hoc 模式架构[2]。MANET 网络根据拓扑类型范分为平面拓扑结构和分级拓朴结构。平面拓扑结构中，网络各节点在路由计算、消息收发等方面的地位是对等的。平面拓扑路由协议一般包括AODV、DSR 以及OLSR 等。在分级拓扑结构中，网络中的无人机节点被分成多个群，每个群有一个群首，负责群内拓扑管理和群间通信。多个群的群首可组成一个更高一级的网络，并选择高一级的群首，最终构成一个多级网络。每一个群中的群首是由群成员动态自组织选出的，是动态变化的。分级拓扑路由协议一般包括ZRP、LANMAR 以及CGSR 等。

1.3 无人机系统工作流程

无人机工作信息流程如图2 所示。

图2 无人机工作信息流程

①陀螺仪等传感器从物理域感知环境信息，并反馈给数据处理模块。

②数据处理模块对数据进行校正后传递到导航模块，同时与GPS 信号等数据融合。

③传感器的数据也会直接传送给控制器，辅助控制器进行调整。

④导航模块获取GPS 信息。

⑤导航模块将传感器数据与定位数据融合，生成航向信息发送给控制器。

⑥⑦地面控制系统与通信模块和控制模块通过无线通信手段交换信息，包括控制命令、飞行状态以及任务信息等。

⑧控制器向任务载荷发送控制指令，使任务载荷按照命令执行任务。

2 无人机安全威胁分析

无人机系统涉及到空中系统和地面系统两部分，且无人机及网络直接暴露在不安全的外部环境中。因此，无人机平台、系统内部的信息传递以及系统间的通信过程都可能成为攻击者关注的焦点。无人机系统的安全威胁主要包括以下几个方面。

2.1 传感器攻击威胁

无人机的传感器从物理域采集环境数据反馈给无人机控制系统，辅助无人机下达控制指令。当传感器被攻击时，将采集错误的数据，控制系统将无法做出正确的决策，致使无人机的飞行失控或执行任务失败。

2.1.1 干扰陀螺仪攻击

陀螺仪提供无人机飞行姿态信息，以保持无人机平衡。MEMS 陀螺仪利用共振原理把角速率转换成一个被感测物体的位移。攻击者利用外部声波使无人机的陀螺仪发生共振，从而扰乱无人机的平稳飞行。韩国先进科学技术研究院研究人员给无人机接上一个扬声器，控制扬声器发声。当扬声器发出与陀螺仪匹配的噪声时，正常飞行的无人机会失控坠落。

2.1.2 电机浪涌攻击

电机浪涌攻击是一种短程爆发式攻击手段。攻击者通过篡改单个变量，在短时间内给系统注入可产生影响的最大偏差值，企图对攻击目标产生尽可能大的伤害。例如，攻击者使用浪涌攻击篡改控制器的控制输入，无人机的执行电机通常会出现超限运转或者近乎停转的情况，使得无人机出现激烈的簸动甚至直接坠毁。

2.2 定位系统攻击威胁

GPS 是无人机一个重要的传感器，负责为无人机提供准确的位置信息。针对无人机GPS 模块的攻击可造成无人机失控。例如，攻击者发送与GPS 同频率的干扰信号，可使无人机GPS 模块无法接收到正常GPS 信号。攻击者还可以发送大功率伪造GPS信号，使无人机GPS 模块接收到伪造GPS 信号，解出错误的位置信息[3]。

GPS 欺骗攻击。攻击者掌握公开发布的GPS 系统信号定义、通信链路、通信协议等信息后，根据攻击目标可计算出每个GPS 信息发送位置、时间，从而伪造出有特定指向的GPS 信号，通过大功率发射，可欺骗无人机选择接收强度更高的欺骗信号，从而达到欺骗攻击的目的。

2.3 通信网络攻击威胁

无人机通信和网络直接暴露在无线空间中，很容易被攻击者利用而发起信号干扰、无线网络欺骗攻击和拒绝服务攻击[4]等。

2.3.1 信号干扰

无人机网络通信具有节点高速移动、信道切换频繁、通信能量受限的特点，网络拓扑快速变化，无线通信链路随时切换。干扰器通过发射足够大功率的干扰信号即可覆盖正常通信，使得网络通信质量下降，通信双方连接中断，导致任务失败或无人机失控。

2.3.2 信息欺骗

链路劫持。攻击者截获传感器回送给控制器的实时数据信息将其篡改为恶意信息，再将其发送给控制器。控制器解析恶意数据后会影响数据融合的正确性和完整性，可能导致无人机的合法控制权被直接剥夺。

女巫攻击。这种攻击中，一个恶意的无人机节点通过创建大量的虚假身份充当网络中多架无人机。由于网络中其他合法的无人机节点接收到恶意节点的虚假信息误以为接收到多架合法无人机节点的正确信息，可能会根据虚假信息做出决策。

虫洞攻击。虫洞攻击通过在两个恶意节点之间搭建一条“隧道”，其中一个攻击节点记录该节点流经数据和位置信息，然后通过隧道将这些数据信息传递到另一个攻击节点。由于这条隧道中传输的数据比合法节点传输的数据更多，因此根据路由算法会有更多的数据流量分配给这条隧道，从而由这条虫洞隧道控制了网络中的大部分路由，此时攻击者可以轻松获取网络中的大多数数据。

2.3.3 拒绝服务

无人机地空信息通信经常会用到以Wi-Fi 等无线局域网技术为底层的通信，在网络层也会使用到TCP/UDP 协议等常见协议。攻击者可针对网络层固有的缺陷发起泛洪式拒绝服务攻击，阻断无人机正常通信，或导致飞行控制系统瘫痪。

2.4 无人机软件攻击威胁

无人机的基础软件、飞控软件等都存在一定的软件安全漏洞，可被黑客利用攻击无人机系统。例如，飞控系统Maldrone 无人机软件漏洞，攻击者可以通过该漏洞进入无人机系统，在控制端安装后门程序，利用程序监听无人机传感器的数据采集或者进行远程操控。此外，Zigbee 芯片威胁、键盘木马威胁等也是针对无人机软件的攻击手段[5]。

3 无人机安全保密体系

通过以上无人机的安全威胁分析，考虑无人机动态性、移动性和分布式处理等特点，设计无人机系统安全保密体系，如图3 所示。

图3 无人机安全保密体系架构

无人机安全保密体系包括无人平台安全、无线网络安全、应用控制安全、安全保密运维和安全保密支撑5 部分。无人平台安全主要提供安全可信的无人机软硬件平台，抵御针对部件、传感器的抵近式恶意破坏；无线网络安全以轻量级密码认证为基础，构建从物理层到网络层的无人机网络可信互联，抵御窃听、假冒、篡改等网络攻击；应用控制安全通过软件可信和数据加密保护等措施，防止非法软件滥用和数据窃取；安全保密运维提供无人机设备、安全策略、密钥的管理，并可呈现无人机系统的整体安全态势；安全保密支撑提供认证和加密等手段需要的密码算法、密码芯片和身份管理支撑。

3.1 无人平台安全

无人平台安全基于可信计算技术，以可信模块（Trusted Platform Module，TPM）为基础，构建可信软硬件平台，建立自底向上的可信链，确保无人机平台软硬件环境的安全可信，将可信度量结果与基线核查结果共同作为安全度量参数构建可信网络环境，如图4 所示。

图4 无人平台安全架构

3.1.1 可信模块与可信软件栈

可信模块作为软硬件可信度量的信任基础，通过可信软件栈为上层应用实现可信度量提供支撑。

3.1.2 可信引导

通过与无人机平台的一体化设计，建立贯穿硬件模块、操作系统及应用的信任链，实现对硬件启动和软件引导过程的完整度量，确保无人机平台基础软硬件环境的可信。

3.1.3 传感器可信度量

无人机传感器包括GPS、陀螺仪等，通过可信度量实现对传感器硬件的可信管控。

3.1.4 可信波形度量

对无人机的软件波形进行可信度量，防止对软件波形文件的替换、破坏等。

3.1.5 可信安全基线核查

综合对无人机平台软硬件的可信度量结果，形成对本机的综合安全度量结果，作为无人机网络接入的基本条件之一，从而为构建可信安全的无人机网络提供重要支撑。

3.2 无线网络安全

无线网络安全主要保障无线空口机密性、完整性和可用性，通过射频指纹识别、抗干扰、轻量级认证、无线接入控制、传输加密、无线攻击检测以及针对MANET 网络的组网安全防护，从物理层、链路层和网络层等各个层面保障合法无人机入网，抵御窃听、假冒、篡改等网络攻击，如图5 所示。

图5 无线网络安全

3.2.1 射频指纹识别与信号抗干扰

通过建立无人机射频指纹库，通信双方利用射频指纹识别与检测方法，发现和阻断非法无人机或实体的连接。利用跳扩频控制加密、频谱资源优化等手段，加强无人机抗干扰抗截获能力。

3.2.2 轻量级认证与互联控制

针对无人机通信带宽窄的特点，使用轻量级认证协议实现无人机之间组网互联的安全认证，防止非法和假冒用户的接入。

3.2.3 无线传输加密

对无线空口实施链路层加密、网络层加密等手段，确保数据在空口传输的机密性和完整性。

3.2.4 无线攻击检测

无线网络攻击检测通过畸形协议攻击检测、网络行为异常检测和流量拥塞攻击检测等技术，发现针对无线通信协议格式、协议交互、通信行为以及网络流量的攻击。

3.2.5 分布式组网安全

针对MANET 网络分布式组网，通过对路由协议增强、路由攻击检测等技术，发现和阻断针对路由组网的攻击。

3.3 应用控制安全

应用控制安全通过身份认证和授权访问控制确保合法用户能够访问和使用控制软件。软件可信基于软件可信度量实现应用软件运行控制，防止非法软件的运行，对存储在无人机内的敏感数据进行加密存储，防止攻击者窃取。

3.3.1 软件可信

基于软件白名单和数字签名机制，为应用软件运行提供安全保证，实现软件的来源可信、运行可控，并提供软件的发布、更新等管理手段。

3.3.2 数据加密

对存储在无人机内的敏感数据进行加密存储，防止攻击者窃取。

3.3.3 身份认证与授权访问

对数据资源的访问进行安全管控，对访问行为进行记录和审计，保证合法的用户访问合法的数据。

3.4 安全保密运维

安全保密运维通过设备管理、策略管理、密钥管理和安全态势，实现无人机状态监控、安全策略的调整与分发、无人机秘钥管理与分发以及无人机安全态势分析与呈现，如图6 所示。

3.4.1 策略管理

通过策略的分组管理，可依据实际情况对多个无人机进行分组，为每组无人机制定相应的策略，并在无人机执行任务之前批量下发每组无人机，同时可在线调整个别无人机安全策略。

图6 安全保密运维

3.4.2 安全态势

地面控制中心通过在线或离线方式收集无人机的安全事件、系统日志、状态监控以及策略参数等数据，通过综合分析形成安全态势，进行可视化展现。

3.4.3 密码管理

实现密钥管理、密钥分发，能够根据无人机执行不同任务动态调整密钥分发策略。

3.5 安全保密支撑

安全保密支撑为无人机平台、组网、数据存储等提供密码算法、密码芯片和身份管理支撑。

3.5.1 密码算法

密码算法为安全保密提供加密、签名、杂凑等算法，可用于加密、认证、消息完整性保护等。

3.5.2 密码芯片

密码芯片是密码算法的物理载体，并提供高速密码运算能力。

3.5.3 身份管理

身份管理提供无人机用户、设备的管理功能，并提供无人机系统身份认证支撑。

4 无人机安全保密关键技术

4.1 可信加固的无人机系统平台技术

无人机系统包括无人机硬件平台和嵌入式操作系统。无人机飞行控制软件等运行在无人机操作系统上，一旦攻击者利用系统漏洞侵入操作系统取得控制权，则可获取无人机数据或控制无人机行动，造成严重的危害。

安全无人机系统平台技术的研究主要集中在两个方向——可形式化证明的无人机系统和基于可信计算的无人机系统。其中，可形式化证明的无人机系统的关键在于验证无人机操作系统内核的正确性，确保内核代码没有存在潜在的安全漏洞，从而保证其代码完全符合设计规范，达到消除潜在漏洞的目的。美国加州大学、卡内基梅隆大学等将形式化验证技术引入无人机系统，用于验证控制器等模块功能的正确性，从而达到提高无人机可靠性的目的。美国国防高等研究计划署（Defense Advanced Research Projects Agency，DARPA）在髙可信网络军事系统项目（High-Assurance Cyber Military Systems，HACMS）中提出建立一套完整的经过形式化验证的无人机系统，但可形式化证明的方法在实现时开发流程复杂，难以应用于实际场景。

无人机平台可信计算通过嵌入在平台中的TPM和可信软件栈，构建基于可信度量的信任链传递架构，可确保平台中的关键硬件、固件、系统内核、关键程序都是未被篡改、真实可信的。ARM 公司的TrustZone 技术在嵌入式内核中植入可信代码区域，加固系统安全性；德国波鸿鲁尔大学研究人员针对嵌入式系统提出了一种基于微内核的可信虚拟区域构造方法；Denk 等人设计开发了轻量级的、具备可信引导功能的系统引导程序DasU-boot，可对操作系统内核镜像进行可信度量，防止非法代码的执行[6]。

可信加固的无人机系统平台可结合嵌入式平台可信技术和操作系统形式化验证技术，构建可信、可靠的无人机运行环境，主要研究方向包括可信嵌入式可信平台的实时性等性能提升以及可形式化验证操作系统内核的可扩展性提升等。

4.2 无人机网络抗干扰技术

目前，国内外对无人机网络抗干扰技术的研究方向主要集中在跳扩频、频谱资源分配优化等方面。

跳频扩频技术（Frequency-Hopping Spread Spectrum，FHSS）长期被用来提高无线通信的抗干扰能力，主要通过快速切换频率载波来积极躲避干扰攻击。对于无人机移动Ad Hoc 网络，每个节点具有移动性和能量受限性，且网络容量有限，导致跳扩频存在一定的局限性。

频谱资源优化与FHSS 不同，通过对可用频谱资源的最佳使用实现抗干扰。频谱资源优化利用自适应方法达到最优资源分配效果。通常通过同时在几个不同的信道上分配资源来尝试最大化链路的信息理论容量，每个用户能够独立使用迭代学习算法动态计算，使控制信道能够抵抗特定的破坏性攻击。

以上方法的思路聚焦于发送方采取抗干扰措施，但随着干扰技术的发展，越来越准确的干扰攻击将压缩发送方的抗干扰空间。为此，可从无人机接收方的角度考虑，借鉴固定网络中的“蜜罐”思路，在无人机网络中引入针对干扰攻击的欺骗机制，使网络中的空闲节点伪装成传输节点，通过诱骗干扰方对其进行干扰，吸引干扰功率以提高网络中传输对的传输性能，可有效扩展无人机网络的干扰对抗空间。

4.3 无人机无线网络轻量级认证技术

无人机MANET 网络极易受到假冒接入的攻击威胁，而身份认证技术是极为重要的安全防护技术。由于MANET 网络分布式、动态变化的特性，轻量级认证技术是其研究重点。

无人机的组网认证包括有中心的无人机网络认证和无中心的无人机网络认证两类[7]。有中心的无人机认证架构中，管理中心为无人机分发密钥，并提供无人机身份认证功能。无中心的无人机认证架构利用门限密钥技术，由网络中多个节点共同参与密钥生成和身份认证。

在两种认证模型中，重点研究的是轻量级的认证算法，主要思路集中在简化认证交互次数、交互数据量，同时兼顾通信的机密性、完整性及不可否认性。

4.4 无人机网络密钥管理与通信加密技术

鉴于无人机网络的自身特殊性和网络结构限制，无人机网络的密钥管理需要适应密钥怕丢失、成员动态变化、资源受限等需求。目前，无人机网络密钥管理包括以下几种[8]。

（1）基于证书的分布式密钥管理。分布式CA将系统私钥分为n 份，并随机分发给n 个节点，构成分布式证书颁发机构（Distributed Certificate Authority，D-CA），为所有无人机节点生成和分配证书。

（2）基于身份ID 的密钥管理。用户公钥由用户ID、身份证号或电子邮箱等具有独特属性的身份标识构成，而不再与证书绑定，可避免复杂的证书管理开销，并降低计算开销和通信成本。

（3）无证书公钥管理。在基于身份ID 公钥密码的基础上，将门限密码学与无证书公钥密码相结合，实现无证书MANET 密钥管理。

基于以上密钥管理模型，针对无人机网络特点，主要研究方向集中在分布式密钥管理和降低密钥管理开销等方面。例如，基于Blom 算法设计的密钥分配方案通过组间和组内的双空间密钥管理，降低了计算开销，提高了密钥计算速度，提升了通信效率和安全性。

4.5 无人机基于行为的攻击检测技术

无人机系统是一种典型的、应用广泛的信息物理系统（Cyber Physical Systems，CPS）。与普通计算机相比，它的系统组成与信息处理环节更多，也更复杂，导致针对无人机的攻击途径更加多元化，攻击目标也更加多样。攻击者在拥有专业知识背景的前提下，攻击产生的影响或造成的危害更加严重。传统的攻击检测技术主要集中在信息域，对网络数据、日志数据等进行分析建模，无法直接用在无人机这种典型的信息物理系统。

无人机的攻击检测应结合信息域和物理域的信息，分别采用适合的检测手段，同时考虑资源受限条件下采取的入侵检测策略。例如，对无人机网络行为的攻击检测可采用基于机器学习的网络行为分析技术，通过机器学习算法分析无人机间的数据通信和路由交换，构建正常行为模型，发现异常行为。对无人机系统内部信息处理可使用基于图形算法的入侵检测模型，选取无人机中各模块间信息传递的时间戳作为特征来源，将这些特征图形化，形成散点图子模型和多边形图子模型，检测信息欺骗攻击和拒绝服务攻击。对无人机物理域的攻击检测，可基于粒子滤波算法的入侵检测模型对无人机的飞行状态进行评估，通过粒子滤波算法的估计和阈值的设定检测入侵的发生和发生时刻[9]。

多种检测方法可相互融合、补充，需要考虑资源受限条件下的入侵检测的策略。入侵检测模型的加入不能影响对象本身的控制实时性和稳定性，可通过非合作静态博弈算法选择恰当的入侵检测策略，降低资源消耗的影响。

4.6 无人机安全组网技术

无人机MANET 网络存在分布式、多跳、拓扑变化快等特点，针对MANET 的安全组网技术，研究的最多的是通信传输保护、路由安全增强等。

文献[10]提出了无人机MANET 网络的安全路由增强方法，考虑了网络信道开销的因素，在提供路由节点身份认证、数据加密的同时，降低了信息交互的开销。也有人针对MANET 网络提出性能最优AODV 协议，在MSAODV、AODV-SEC 协议的基础上引入对称和非对称的加密方法，实现路由协商过程的机密性、完整性和真实性保护。

以上方法主要针对的是组网路由协议和数据传输的安全。随着无人机蜂群技术的不断成熟，无人机蜂群网络的协同组网防护是下一个研究的重点。