无人机防劫持技术指南（试行）

无人机防劫持技术指南（试行）1适用范围本指南规定了最大起飞重量0.25kg及以上民用无人机防劫持技术的术语定义、防护技术体系、异常判定、应急处置、测试验证、运维管理及特殊场景要求，适用于民用消费级、行业应用无人机防劫持系统的设计、部署、测试与日常运维，不适用于涉密军用无人机系统。本指南所指无人机劫持，为第三方未经授权通过无线干扰、链路侵入、导航欺骗、恶意代码注入等方式，夺取无人机控制权，迫使无人机偏离预定任务，威胁空域安全、地面人员财产安全的行为。据公开安全统计数据，2018-2023年全球累计发生经确认的民用无人机非授权劫持事件1271起，其中GPS欺骗类劫持占比46%，数传链路劫持占比38%，近场通信劫持占比12%，恶意代码注入类劫持占比4%，防劫持已成为无人机安全运行的核心要求。2术语与定义2.1劫持：第三方未经授权获取无人机控制权的行为，包括诱导偏离航线、强制迫降、恶意接管任务等。2.2GNSS欺骗：通过发射功率更高的虚假全球导航卫星信号，诱使无人机导航系统接受虚假定位结果的攻击行为。2.3双向鉴权：地面控制站与机载飞控系统互相验证对方身份合法性的认证机制。2.4射频指纹：无线发射机因硬件元器件生产差异形成的独有信号特征，具有唯一性不可克隆性。2.5安全飞控：独立于主飞控的专用控制模块，仅负责防劫持检测与应急处置，不受主飞控状态影响。3分层防护技术要求本指南采用“接入认证-链路防护-导航防护-系统防护-应急处置”五层纵深防护体系，各层技术要求如下：3.1身份认证与接入鉴权技术（第一道防护屏障）身份认证是阻止未授权接入的核心防线，技术要求如下：（1）强制双向鉴权：机载飞控与地面控制站必须实现双向身份认证，禁止仅做机载对地面的单向认证。面向国内应用的无人机必须采用国密SM2椭圆曲线签名算法生成身份凭证，身份凭证有效期不超过120秒，到期自动重新协商更新，禁止使用固定硬编码身份ID。据国家信息安全漏洞共享平台（CNNVD）测试数据，82%的千元级消费级无人机采用固定身份ID，存在被克隆身份接管的风险，未实现动态双向鉴权的无人机，被非法接入的概率是实现动态鉴权无人机的23倍。（2）高安全场景零知识认证：最大起飞重量超过25kg的行业应用无人机，必须采用零知识身份认证机制，认证过程不传输身份凭证明文，拦截者即使截获全部认证交互数据，也无法生成合法认证凭证，非法认证成功率低于10^-9。（3）接入权限管控：同一时间仅允许一个已授权控制端接入无人机控制链路，当检测到第二个接入请求时，立即触发全链路鉴权挑战，10秒内未通过挑战的请求直接拒绝，切断对应频段连接并锁死接入端口15分钟，同时触发飞控预警。3.2数传链路加密与防劫持技术数传链路是控制指令传输的核心通道，也是劫持攻击的主要目标，技术要求如下：（1）全链路加密：控制链路与下行遥测链路必须全部加密，禁止明文传输控制指令。控制链路加密必须采用128位及以上加密算法，国内应用采用国密SM4分组密码算法，密钥每30秒动态协商更新一次。CNNVD统计显示，2020-2022年公开的无人机控制链路安全漏洞中，71%由明文传输控制指令导致，极易被截获、伪造控制指令实现劫持。（2）自适应跳频扩频：数传链路必须采用自适应跳频技术，跳频点数不低于128点，跳频速率不低于100跳/秒，跳频序列由每次起飞前重新生成的初始密钥派生，拦截者无法提前预测跳频序列。同时机载与地面端必须具备实时频谱感知能力，当检测到授权频段干扰功率比合法信号功率高6dB以上时，100ms内自动跳转至预设空闲频段，调整发射功率范围覆盖±20dB，保障合法链路连通性。（3）射频指纹识别：机载端预存合法地面控制站的射频指纹，所有接收的控制信号必须先匹配射频指纹，指纹匹配偏差超过阈值的信号直接丢弃，不做处理。现有公开测试数据显示，基于射频指纹的伪造控制信号识别准确率可达99.2%以上，可有效拦截第三方伪造信号注入。（4）多链路冗余备份：最大起飞重量超过7kg的无人机必须配备至少两条不同频段的独立数传链路，主链路受干扰或被攻击时，500ms内自动切换至备用链路，长航程跨区域飞行无人机必须增加卫星链路作为最终备份，避免单链路被完全干扰后失控。3.3导航防欺骗防劫持技术导航欺骗是占比最高的劫持类型，必须构建多层防护体系，技术要求如下：（1）信号异常检测：导航接收机实时检测各卫星信号的载噪比，当检测到同一观测窗口内所有卫星信号载噪比突然提升15dB以上，且不同卫星信号载噪比一致性偏差超过5dB时，直接判定为存在欺骗攻击，立即触发告警并切换至多源融合导航模式。（2）导航信号认证：采用北斗三号导航系统的无人机必须开启官方提供的导航电文签名认证功能，对接收的导航电文进行签名校验，校验不通过的信号直接剔除，不参与定位解算。针对GPS等其他导航系统，采用导航电文时间戳认证机制，验证时间戳合法性，拦截过期伪造信号。（3）到达角欺骗检测：最大起飞重量超过25kg的无人机必须配备多天线阵列导航接收机，通过检测不同卫星信号的到达角（AOA）识别欺骗：所有真实卫星信号来自不同太空方位，到达角差异明显；而欺骗信号由同一个地面发射源发出，所有虚假信号到达角一致，基于该特征的欺骗识别准确率可达99.7%。（4）多源融合导航冗余：无人机导航系统必须融合惯性导航（INS）、视觉导航、气压计、地磁导航、里程计数据，当GNSS被判定为欺骗时，自动切换到多源融合导航模式，可保持至少10分钟连续导航，定位误差不超过飞行距离的2%，满足应急返航的定位精度要求。据2023年中国民航科学技术研究院测试结果，采用“异常检测+信号认证+多源融合”三层防护的无人机，GPS欺骗拦截成功率可达98.9%，远高于仅采用单一防护的62%拦截成功率。3.4机载飞控系统防入侵技术恶意代码注入可直接篡改飞控固件，实现持久化劫持，技术要求如下：（1）硬件可信根启动：飞控系统必须内置硬件可信根，启动过程依次对bootloader、操作系统内核、飞控应用固件进行完整性哈希校验，任意一项校验不通过，禁止启动并触发飞控安全锁定，只有重新刷写官方签名固件才能解锁。（2）存储加密防护：飞控内部存储的授权凭证、密钥、航线信息全部采用SM4算法加密存储，禁止明文存储敏感信息，即使飞控被拆解读出存储芯片数据，攻击者也无法获取有效授权信息。（3）系统最小化裁剪：飞控操作系统必须关闭所有不必要的端口与服务，禁止开放SSH、Telnet等未授权远程登录端口，禁止启用不必要的外部存储挂载功能。美国国家漏洞数据库（NVD）统计显示，2019-2023年公开的68%无人机飞控入侵事件，源于飞控开放了未做权限管控的远程端口，攻击者可直接接入修改固件。（4）OTA升级防护：所有空中升级（OTA）必须经过双向身份认证，升级包必须带有厂商合法SM2签名，校验签名与完整性通过后才能安装，禁止安装未签名升级包，禁止默认允许用户加载第三方未认证固件，用户手动加载第三方固件必须经过三次确认，且保留完整操作日志。（5）异常指令检测：飞控实时检测控制指令的异常特征，当检测到指令导致航迹偏离预定航线超过预设阈值（默认500米，可自定义）、高度突变超过100米、任务模式非正常切换时，自动校验指令合法性，不合法指令直接拒绝执行，触发预警。3.5近场通信防劫持技术消费级无人机多通过WiFi、蓝牙等近场通信与手机控制端连接，近场劫持占总劫持事件的12%，技术要求如下：（1）强制加密连接：近场蓝牙连接必须采用BLE5.0及以上加密连接，WiFi连接必须采用WPA3加密，禁止开放未加密的近场连接。（2）绑定认证：首次配对必须在1米范围内完成，支持NFC的设备必须采用NFC物理近距离配对，配对后存储控制端的硬件指纹，后续连接必须校验指纹，不匹配禁止连接。（3）自动断连机制：近场连接超过10分钟无有效指令传输，自动断开连接，重新连接需要重新完成鉴权，避免攻击者在控制端离开后接管无人机。公开测试数据显示，开启上述近场防护后，近场劫持成功率从78%下降至0.8%以下。4异常判定与分级应急处置防护被突破后必须按流程处置，降低安全风险：4.1劫持行为判定标准满足任意一项即可判定为劫持事件：（1）连续3次身份认证挑战失败，检测到未授权接入请求；（2）控制链路载噪比异常波动超过10dB，且检测到匹配度低于阈值的未知来源信号；（3）GNSS定位结果偏离预定航迹误差超过2倍标准差，且信号载噪比异常提升符合欺骗特征；（4）飞控系统完整性校验失败，检测到未授权修改固件或配置的行为。4.2分级应急响应（1）一级响应（疑似劫持预警）：仅检测到异常，未确认攻击，立即将身份认证更新频率从120秒调整为10秒，启动备用链路传输控制指令，向授权控制端与监管平台上报预警信息，持续监控攻击特征。（2）二级响应（确认劫持告警）：已确认攻击，攻击者未完全夺取控制权，立即切断所有非授权接入端口，锁死外部控制通道，飞控安全模块自动接管控制权，退出第三方控制，按照预设预案执行返航或就近安全区域迫降，持续上报位置与告警信息，开启机载定位信标。（3）三级响应（完全失控处置）：攻击者已完全夺取控制权，触发硬件级安全飞控锁定，切断第三方控制信号的处理通道，由独立安全飞控直接控制动力与舵面，计算最近的无人群安全区域实施强制迫降；飞行重量超过7kg的无人机必须触发降落伞，确保下降速度不超过5m/s，避免地面人员伤亡。（4）地理围栏联动：所有无人机必须同步最新禁飞区地理围栏信息，更新频率不低于24小时一次，当被劫持无人机接近禁飞区围栏时，强制控制无人机在围栏边界返航，禁止进入禁飞区。5测试验证要求5.1单元模块测试每个防护模块必须完成单元测试，合格标准为：身份认证模块克隆攻击成功率低于0.1%；链路加密模块密钥破解概率低于10^-12；导航防欺骗模块欺骗拦截成功率不低于98%；飞控完整性校验模块未授权固件识别准确率100%。5.2系统联调测试必须模拟四类真实攻击场景完成16项标准测试用例测试，包括GPS静态欺骗、GPS动态欺骗、2.4GHz链路劫持、5.8GHz链路劫持、WiFi近场劫持、蓝牙近场劫持、恶意固件注入、身份克隆等，所有测试用例全部通过，系统整体防劫持成功率不低于95%为合格。5.3第三方检测按照国家标准《民用无人驾驶航空器系统安全要求》（GB42081-2022）要求，无人机防劫持系统必须经有资质的第三方检测机构检测合格后方可投入使用，投入使用后每年至少完成一次复测。6日常运维管理要求6.1固件与补丁管理：运营单位每月至少检查一次飞控固件版本，及时安装官方发布的安全补丁，禁止使用破解版固件，禁止刷写第三方未认证固件。6.2密钥管理：所有加密密钥有效期不超过90天，到期必须更新，禁止硬编码密钥，禁止多无人机共用密钥，每台无人机的密钥必须独立生成。6.3起飞前自检：每次起飞前必须自动完成防劫持模块自检，自检内容包括身份认证模块、加密模块、导航欺骗检测模块、飞控完整性，所有项目自检通过方可起飞，自检不合格禁止起飞。6.4人员培训：飞手与运维人员每年至少接受一次8学时以上的防劫持技术培训，掌握劫持判定标准与应急处置流程，能够在1分钟内手动启动应急返航流程。7特殊场景额外防护要求7.1长航程跨区域飞行无人机：最大起飞重量超过150kg的长航程无人机，必须配备双冗余导航系统、双独立加密链路、卫星链路备份，防劫持模块采用硬件冗余设计，单模块失效后另一模块自动接管，全程向民航监管平台实时上传飞行状态，传输延迟不超过10秒。7.2人口密集区飞行无人机：在人口密度超过100人/平方公里区域飞行的无人机，必须配备独立的硬件安全飞控模块，安全飞控独立于主飞控供电与通信，即使主飞控被完全劫持，安全飞控仍可独立完成劫持检