3. 无人机网络安全概述
无人机网络安全并不是把地面信息系统的安全措施简单“搬上天”。无人机系统由飞行器、机载飞控与任务计算机、数据链、地面控制站、云平台和运维终端共同组成，其安全目标既要覆盖传统信息系统的CIA三要素，又要叠加身份认证、授权、不可否认性，并受到资源受限、物理暴露、链路开放和实时飞行约束的强烈影响。理解这些目标之间的差异与冲突，是后续威胁建模、测试用例设计和评估指标选取的基础。
一、核心安全目标：从CIA到AAA与不可否认性
机密性（Confidentiality）要求遥测、遥控、任务载荷数据和密钥不被未授权方读取。无人机链路以无线广播为主，若遥控指令或视频流未加密，攻击者可在数公里外被动截获。完整性（Integrity）要求数据在传输和存储中未被篡改，例如攻击者注入伪造的航点或修改高度指令，可能导致偏航、坠机或闯入禁飞区。可用性（Availability）要求无人机在任务期间持续可操控、可通信、可定位，干扰、压制和欺骗都会直接破坏可用性。
认证（Authentication）解决“你是谁”，包括地面站对无人机、无人机对地面站、操作员对地面站、无人机对云平台之间的双向身份确认。授权（Authorization）解决“你能做什么”，例如某操作员只能查看视频而不能上传航点，某维护账号只能读取日志而不能刷写固件。不可否认性（Non-repudiation）要求关键操作可追溯、可审计，例如起飞、返航、投放、固件升级和权限变更都应有带时间戳的签名记录，防止事后抵赖。
安全目标速记：CIA解决“数据不被看、不被改、不中断”；认证解决“身份可信”；授权解决“权限最小”；不可否认解决“行为可追责”。
二、无人机安全特殊性：为什么不能照搬IT安全
第一，资源受限。小型无人机机载计算、存储和电量有限，难以直接运行重量级TLS栈或频繁的非对称签名运算，需要轻量密码、硬件安全模块或预共享密钥与证书混合方案。第二，物理暴露。无人机可能被击落、捕获或维修时被接触，机载密钥和调试接口面临提取风险，必须考虑防拆、密钥销毁和安全启动。第三，链路开放。无线信号可被截获、干扰、重放和欺骗，GPS/北斗信号尤其脆弱，需要抗欺骗与多源融合定位。第四，实时性约束。加密和认证会引入时延，飞控闭环对时延敏感，安全机制必须与实时性折中。第五，供应链复杂。飞控固件、图传模块、云平台和第三方SDK都可能引入后门或漏洞。第六，法规与空域约束。无人机涉及空域管理、隐私采集和地理围栏，安全策略必须与合规要求联动。
三、方法流程：把安全目标落到测试与评估
在工程实践中，可把安全目标转化为可测试、可度量的评估流程：
- 资产与边界识别：列出飞控固件、密钥、航点、视频流、地面站账号、云API和升级通道，标注信任边界。
- 目标映射：把每个资产映射到CIA、认证、授权、不可否认性中的一项或多项，形成安全需求清单。
- 威胁建模：针对链路、物理、供应链和软件四个面，识别截获、篡改、重放、干扰、欺骗、越权和抵赖等威胁。
- 测试用例设计：为每个威胁设计可执行用例，例如弱口令爆破、遥控重放、GPS欺骗、固件签名绕过、越权API调用。
- 评估与打分：按影响、可利用性和现有控制措施计算风险值，输出整改优先级。
- 复盘与加固：验证修复效果，更新密钥、策略和审计规则，形成闭环。
四、案例场景：一次“看似正常”的返航
某巡检无人机在任务中突然返航，地面站日志显示“返航指令由操作员发出”，但操作员否认操作。排查发现：攻击者通过未加密的遥控链路重放了此前捕获的返航指令，由于系统未对指令做序列号与时间戳校验，飞控将其当作合法指令执行。该事件同时暴露了三个问题：链路机密性缺失导致指令被截获，完整性保护不足导致重放未被识别，不可否认性缺失导致无法区分“真实操作”与“伪造重放”。修复措施包括：遥控链路启用加密与消息认证码，加入单调递增序列号和时效窗口，关键指令要求操作员二次签名，地面站与飞控记录带签名的操作审计日志。
常见误区：只加密不认证，攻击者仍可篡改密文或重放旧包；只做认证不做授权，合法账号可能越权控制；只关注链路安全而忽略物理接口和固件供应链，攻击者可通过调试口直接刷写恶意固件。
五、安全目标与无人机场景对照清单
| 安全目标 | 典型无人机场景 | 常见威胁 | 评估关注点 |
|---|---|---|---|
| 机密性 | 遥测、视频流、任务载荷、密钥存储 | 无线截获、存储介质窃取 | 加密算法强度、密钥管理、链路加密覆盖率 |
| 完整性 | 遥控指令、航点、固件、日志 | 篡改、重放、注入 | MAC/签名、序列号、时效窗口、固件校验 |
| 可用性 | 飞控、数据链、定位、地面站 | 干扰、压制、DoS、GPS欺骗 | 抗干扰能力、冗余链路、失效切换时间 |
| 认证 | 人-机-站-云双向身份确认 | 伪造地面站、仿冒无人机、弱口令 | 证书体系、双向认证、多因素认证 |
| 授权 | 操作员、维护员、云API角色 | 越权控制、权限提升 | 最小权限、角色分离、API鉴权 |
| 不可否认性 | 起飞、返航、投放、升级、权限变更 | 事后抵赖、日志篡改 | 数字签名、时间戳、审计日志完整性 |
六、从目标到测试的落地建议
在后续章节的测试与评估中，建议把上述目标转化为可验证的检查项。例如，机密性可检查遥控与图传是否启用加密、密钥是否硬编码；完整性可检查指令是否带MAC和序列号、固件是否验签；可用性可检查干扰下的链路切换与返航策略；认证可检查地面站与无人机是否双向认证；授权可检查不同角色能否越权调用云API；不可否认性可检查关键操作日志是否带签名且不可删除。只有把抽象的安全目标落到具体对象、接口和参数上，无人机网络安全测试才具备可重复、可度量和可审计的工程价值。
# 示例：检查遥控链路是否具备完整性与时效保护（伪代码）
if not packet.has_mac():
report("完整性缺失：遥控指令无MAC保护")
if packet.seq <= last_seq:
report("重放风险：序列号未递增")
if abs(now - packet.timestamp) > TIME_WINDOW:
report("时效异常：指令超出允许时间窗口")
if not operator_signature.verify(packet):
report("不可否认性不足：关键指令缺少操作员签名")
综上，无人机网络安全的核心不是单点加密，而是围绕CIA、认证、授权和不可否认性构建分层防护，并充分认识资源受限、物理暴露、链路开放、实时约束、供应链复杂和空域合规等特殊性。只有把安全目标与无人机真实运行场景对齐，才能在测试与评估中准确发现风险、合理定级并有效整改。