卫星通信系统安全技术综述

卫星通信系统安全技术综述

1、引言

卫星通信系统是指具有空间通信能力的卫星或星座，与地面站及用户终端协同合作，实现全球移动通信、广播电视通信、定位导航、气象测绘、军事国防等多种业务的网络通信系统。从 1957 年第一颗人造地球卫星“伴侣号”成功发射，到 1994 年 GPS（global positioning system）正式布设完成，卫星通信业务实现了区域化向全球化的转变，系统结构也从单星中继转向了星座互联。近几年，伴随互联网技术的快速兴起和多网融合趋势的显现，卫星通信网以其区域覆盖面广、通信不受地理条件所限、信道链路成本低、可用频率资源丰富等优势，成为了构建全球无缝通信互联网络的重要组网。据统计，近 10 年间，世界各国提出的卫星宽带综合业务通信方案多达 80~100 个。可以预见，新一代卫星通信系统将向通信宽带化、业务综合化、移动终端多样化、与 Internet（国际互联网）一体化方向发展。

在此背景下，卫星通信系统的安全面临更大挑战。由于空间通信环境特殊，现有的互联网安全技术并不完全适用于卫星通信。而以往的研究更多关注于卫星通信的可用性和效率，对于安全机制的讨论尚不充分。近年来频发的卫星安全事件足以印证这一点：2006 年印尼黑客通过自制的信号终端成功入侵商用卫星。[1] 2007年欧洲 Galileo 导航系统中 GIOVE-A 卫星的编码算法被攻破；

[2]2009年我国北斗导航系统的 M1 民用编码被破解；[3]可见卫星通信系统亟需多层次、系统化、综合性的安全防护体系。

2 、卫星通信系统安全弱点

卫星通信系统由地面段和空间段组成，地面段包括主控中心、监测中心及信关站，空间段包括卫星星座、星间链路和星地链路。空间段通过微波通信进行数据及信令的传输、转发和交换，是整个系统的核心部分，也是安全隐患最大的部分，其安全弱点归纳如下。

（1）物理通信环境恶劣

星座网络位于据地面高度 2000km （低地球轨道）至35800 km（同步卫星

轨道）的太空近地轨道，通信链路容易受到宇宙射线、大气层电磁信号或恶意电磁信号的干扰。具有信号传输误码率高（ 10 ˉ8--10ˉ3）、时延大（ 10--300 ms）、通信不稳定等特点。由于无线链路具有开放性，缺乏物理保护，容易遭受干扰、截获、伪造等恶意攻击。

（2）卫星节点能力受限

相比地面系统，卫星节点的硬件处理能力较低，星上系统的计算能力、存储空间、电能功率等都受到一定限制，这直接制约了星上运算的复杂度和通信开销，使得安全性高的复杂协议难以在卫星网络中实现。

（3）网络动态性变化

星座网络拓扑具有无中心、自组织、周期性的特点，而地面部分用户终端具有移动性，可扩展性。这些因素使得网络通信实体间的信任关系不断变化，增大了身份认证、密钥管理、访问控制的难度，地面用于静态网络的安全措施往往不适合这种拓扑结构。

3、卫星通信系统安全性概述

根据 OSI 分层通信模型，卫星通信系统的主要通信协议、安全威胁和防护技术如表 1 所示。从低层向高层，安全威胁呈现出手段更丰富、技术更复杂、隐蔽性更强、防护难度更高的发展趋势。具体包括硬件设施损毁、压制干扰、欺骗干扰、频段窃听、数据截获、数据篡改、重放攻击、中间人攻击、身份仿冒和非授权访问等。卫星系统的安全技术应该在不同通信层级各有侧重，主要保障系统的可用性、数据机密性、完整性、身份认证性、不可抵赖性和访问可控性等，技术细节及研究进展将在下文详述。

表1 卫星通信系统主要协议及安全技术汇总

（请注意：本表6个通信层级提示的安全技术是为行云项目通信安全系统建设应考虑的）

4、物理层/数据链路层安全

4.1抗损毁技术

由于在军事领域的重要作用，卫星系统经常成为军事打击的目标。目前攻击在轨卫星的武器主要有反卫星导弹、反卫星激光和核辐射粒子束[4]。最主要的抗损毁策略是卫星冗余备份和高轨道分散化星座设计。例如 GPS星座由分布在 6 条轨道上的 21 颗卫星和 3 颗备份卫星构成，备份卫星可在任意卫星损毁的情况下保障定位精度不受损；GLONASS 星座[5]运行在离地约 20 000 km 的中轨道，相较于多数运行在低轨道的卫星，更不易遭受反卫星导弹的攻击；涉及军事应用的星座往往采用多条轨道分散化布局的拓扑结构，可以减少星座运行时出现两颗以上卫星聚拢的现象，从而防止多颗卫星被同一导弹摧毁。

对于卫星地面站的防护除了加强设施安保、多站备份等方式外，还可以通过星座自主运行技术来减少卫星对地面站的依赖，通过更复杂的星间链路协议使卫星与地面站交互的频次降低，甚至可以实现在应急条件下，星座脱离地面站自主运行。这种技术在星座导航系统中应用较多，如未来的 GPSⅢ将实现星座在与地面控制中心失去联系的情况下，仍能在 180 天内按系统规范精度发送

导航信号。

4.2抗干扰技术

针对卫星无线链路的干扰分为两类：压制干扰和欺骗干扰。

压制干扰是指无意或蓄意的干扰源通过产生与卫星信号同频段大功率噪声，导致卫星信号信噪比降低，从而失去可用性的干扰手段。

压制干扰技术含量不高，但实现成本低、可操作性强，在对卫星信号特征了解不多的情况下，也可以对局部区域形成有效干扰。最直接的抗击手段是提高卫星信号的发射功率，但是由于星载供电系统功率有限，并且 ITU（国际电信联盟）对卫星广播功率有规定限额[4]，使得这种抗干扰方式效果并不明显。自适应多波束天线[6]弥补了这种不足，该技术通过星上感应器感知通信环境的变化，在信号信噪比下降时可以自适应改变通信波束的方向、范围或强度，其效果取决于自适应算法的设计，常见的有最小均方（LMS）、多重信号分类（MUSIC）和径向基函数（RBF）神经网络等方法[7]。

另一种思路是采用近地设备对卫星信号进行中继加强，从而提高接收端信号的信噪比，比较典型的应用是星座导航系统中的伪卫星技术[8]。伪卫星是一部设在地面或机载的发射机，发射和卫星信号相同载频和伪随机码的更大功率信号。由于伪卫星与用户的距离比卫星近得多，往往可提高卫星信号强度达数百倍，从而有效应对压制干扰。

欺骗干扰是通过对卫星信号重放转发或模仿伪造，使用户终端做出错误判断的干扰攻击。由于无需大功率的干扰信号，因此它在空间上比压制干扰作用域更广，但这种攻击需要对卫星信号编码特征具有一定了解。

Warner 等人在参考文献[9] 中介绍了针对 GPS 中 C/A 码的欺骗干扰手段，并提出了能量鉴别、角度鉴别、认证加密等反制措施。能量鉴别是对干扰信号中的真实信号进行残留检测，该方法只有在真实信号没有被完全抑制的情况下才能奏效[10]；角度鉴别是通过干扰源与星座信号发射角度的差异来检测真实信号，该方法只能鉴别单一方向的干扰源；向卫星信号中加入密文传输的认证码是最为有效的防护手段，但认证码并不能防护重放式欺骗干扰，因为重放干扰的干扰信号和真实信号完全相同。此时可以通过在认证码中添加“新鲜因子”实现抗重放性[11]。这些认证机制均依赖于网路层、传输层等高层设计，这将在下