在无人机黑客世界，专注、热爱、天分和动手能力才是硬通货。
在传统飞控黑客画像中，沉默、不修边幅、独来独往常常是出现其中的词汇。这些在电脑面前工作的人们，靠红牛和奥利奥没日没夜调试屏幕上的各色代码、以极大的热情和专注力探索热衷的领域、又在现实世界人与人的沟通中扮演或木讷或敏感的角色。或者这只是存在于电影世界中的刻板印象？世上没有相同的人，无人机黑客也是如此。他们中有些谈到《EVA》便会滔滔不绝，有些喜欢拿小技巧毫无恶意的捉弄你的小飞鸡，还有些善于和人沟通且爱笑——比如杨卿。然而初见杨卿就毫无生疏的对坐聊天、快过常人近一倍的语速和缜密的思维、将研究内容深入浅出的讲述，你很难将他同黑客挂上钩。连帽衫？我行我素？无政府主义？真正走近他们你会发现，这些与黑相连的符号只是用以塑造角色的表象，不受束缚、崇尚技术、不断向上探索事物才是无人机黑客的核心所在。
没有动手能力的程序员不是好无人机黑客
大部分看过爱因斯坦那张在自己杂乱办公桌前著名照片的人，都会得出桌面不整洁的人一定很聪明的结论。在Unicorn团队的办公区，你很难找到一张整洁的办公桌。电路板、工具、放大镜……错综复杂堆在每个人的面前，成员之一正紧盯屏幕对桌上架着的最新飞行器做接口测试，一旁的瘦男生正在用电烙铁在电路板焊元器件。
图为一种新型的能伪装成皮塔饼的无线电窃听装置（Radio Bug）结构，能通过无线窃走附近的电脑中的安全密钥信息。
为什么国内很少有人研究无线领域？杨卿认为很大原因是国内教育方式及国人动手能力。以最基础的Wi-Fi破解为例，即便拥有软件工具仍需要特定芯片的无线网卡的配合。并不是所有的无线网卡都能支持工具，甚至有时还需要对网卡进行硬件改装，所以必要的硬件知识也必不可少——当然还要烧钱，信号越好的无线网卡价格也就越贵，更专业的设备价格自不必说。
从地铁和一张公交卡开始
在 2007 年的 T00ls(又名土司) 安全技术论坛曾形成过一个核心圈子，每个人钻研的领域各不相同，有人擅长Web渗透、有人擅长病毒木马。当时刚刚从网络安全专业毕业的杨卿，最感兴趣的是无线局域网安全。
电影里黑客在大街上或马路上直接用笔记本嗒嗒嗒就把某个东西黑掉了，都是通过无线，此前的采访中杨卿曾以此解释自己踏入无线安全领域的原因。然而与Web渗透等技能相比，无线网络安全的职业发展要窄得多——对Wi-Fi的熟知能提供什么商业价值呢？但其能产生的影响不可衡量，比如——黑掉地铁。
适逢60周年国庆，北京拥有了第一条带有Wi-Fi网络的地铁线路。并非提供给乘客、而是列车通信使用的无线局域网，会不会存在安全漏洞？乘坐地铁尝试用笔记本电脑破解，结果成功进入了地铁线路无线内网。如果在内网中进行进一步的网络扫描、渗透攻击，地铁的正常通信将被扰乱甚至连列车运行都会被恶意控制。意识到问题严重性的杨卿立刻写下漏洞报告转交相关的通报渠道，很快漏洞就被修复。
无线网络研究了好几年，公交卡成了他新兴趣。与地铁相比，公交卡实在微不足道，但同属无线通信研究范围之一的NFC（近场通信）技术最广泛的应用方式正是这张卡片。薄薄的公交卡虽没有电源，但其自身就是一个能够处理、计算、存储并能交换数据的终端设备。
如果你将IC卡一层一层地剥开，会发现几条互不相交的金属细线围成的矩形线圈，它既是传送信息的天线，也是接触读卡器发射的电磁波时产生电能的装置。一块大约10平方毫米的矩形芯片是卡片的核心所在，封装其中的 MPU 负责将接收到的信号进行解密、分析、加密，FLASH ROM 则负责存储加密数据。
一卡通的新片位于卡片右上角，通过破解加密算法找到密钥、不断测试找到不同存储区中数据的含义、再修改其中的数据，杨卿和他的同事们最终能将过期的公交卡变成正常使用的卡片、普通卡能变为学生卡或工作人员卡，甚至金额也能被随意修改。漏洞被找到，可已经发放的几千万张公交卡怎么办？和硬件迭代类似，新卡片不再有漏洞，旧卡片也会慢慢退出自己的舞台。
接下来是无人机、汽车和GPS
在国内的大型安全会议上，杨卿的Unicorn团队成员常常会现场演示用一台电脑打开宝马、奔驰、奥迪及Smart等车的车门。其实也没有多复杂，特别是几年前破解汽车很简单，因为大部分厂商都使用固定码——车和车钥匙都存储一串不改变的密码，两者一致时车门就会打开。只要用无线电设备抓取车钥匙的信号再重放，就像新配了一把门钥匙，车门就能反复开关。经历了白帽子的不断挑刺和算法的演进，现在的汽车钥匙往往使用滚动码，一个周期很长的伪随机码。每开一次车门钥匙和车存储的密码都会一同向前滚动一格，两者一致时车门才会打开——即便如此仍有取巧的方式。比如离车在较远的地方按下车钥匙，同时用设备接收信号，走到尚未收到过密码的车辆前重放这段信号就能打开车门。只能打开一次不算真正的破解？想要多次打开车门？最快的办法是分析解码控制器的功耗，结合 KeeLoq算法推导出控制器中的密钥以及算法，只要几秒钟就能破解车门密码。但接触并拆解车钥匙、测量控制器功耗、调整算法，每一件都不是容易事。
现在杨卿专注的是无人机GPS信号的伪造和欺骗。
GPS 通过同时出现在空中的 4 颗卫星确定设备位置
2011年12月4日，美国一架RQ-170无人机飞行至伊朗领空，伊朗军方通过GPS欺骗让这架飞机降落在伊朗东北部的Kashmar，这架完好的无人机使得伊朗军方获取了不少技术和军事机密。可 GPS不是天上24颗卫星来回运转，怎么会被欺骗？通过测量与空中同时出现的4颗卫星的距离，GPS就能确定接收设备的位置。但GPS卫星的广播信号从太空抵达地面时已变得非常微弱，如果接收设备旁有一个模拟器发出和GPS一样的信号假装自己是卫星，强度更高的信号就会被当成真的GPS信号。原本攻击者想要拥有伪造GPS信号的设备非常困难，信号发射器的成本往往在千万元、使用范围也仅是用于科研、生产等测试。近几年软件无线电技术的兴起加上安全联盟研究的代码和算法，使得几百美元的设备也能制造出GPS信号。不仅如此，GPS技术的广泛使用使得伪造GPS信号带来更广泛的威胁。让一辆在海淀区行驶的汽车以为自己正在西藏、跟踪车辆不断向其发射伪GPS信号引导它开向预先设置好的地点，或者在某一路段制造大量GPS信号，让数据中心误以为此处拥堵将车流疏导到更拥堵的路段从而制造混乱都有可能。扰乱空间只是伪造GPS信号带来的危害之一。写有时间信息的GPS还是一个对时系统，使用GPS信号作为时间源的网络对时服务器广泛应用于电力电网、通信网络、金融交易系统等基础设施。让设备接收带有错误时间的伪造GPS信号——比如1900年，没有考虑过时间异常情况的水位传感器就会作出异常反应，以精确时间完成金融交易系统同样会轻易崩溃。
在无线电频谱上穿梭
GPS欺骗的研究结果是Defcon大会（每年举办于拉斯维加斯的黑客盛会）的议题之一，其所能带来的危害暂时不必担心——为防止信号泄漏，Unicorn团队的伪造信号实验一直在一个金属立方体的暗箱中进行。
从无线网络、公交卡、到GPS信号、劫持无人机、开汽车车门，这些看上去毫不相关的东西怎么成为他的研究课题？如果你仔细观察过无线电频谱，就会发现导航、通信、广播、雷达、电视、电话、近乎人类全部的信息传输都基于无线电，100多年前人类发现所发现的能承载信息的电磁波如今已经渗透到每个人生活的方方面面。Wi-Fi和手机是最常见的应用，GPS、NFC只是间接存在于种种设备之中而很少被被人们注意到，飞机遥控器、电脑上的网卡、手机上的蜂窝、车钥匙的射频等通信全部包含在这庞大的频谱中。
无线电频谱
Wi-Fi是2.4GHz，做的多了就觉得 Wi-Fi 没什么可研究的，看向其他频谱的协议是很自然的事。飞机ADS-B的1080MHz、常用的射频433MHz、315MHz、868MHz，一个频段搞清楚了，自然会去研究其他频段。
无线安全是一个大课题，但这个领域很多公司都不太重视。因为大多涉及基础公共设施又很难商品化，无线安全研究一直不是安全类公司的重点。
使用计算机以及所有有助于了解这个世界本质的事物都不应受到任何限制。任何事情都应该亲手尝试。——黑客伦理（hacker ethic) 第一条，《黑客与画家》
成立于2009年的Unicorn团队一度只有杨卿和生于92年的Wi-Fi小黑客柴坤哲两人。直到2014年精通硬件安全的孤独小白、简云定的加入，一个月后在又在软件无线电安全会议上遇见志同道合的黄琳博士，团队才开始逐渐扩大。在此之前，黄琳已经在法国电信工作了7年。在通信领域钻研多年的她将与杨卿以GPS欺骗攻击为演讲主题一同前往Defcon，同时她也是第一位现身Defcon的中国女黑客。
黄琳博士近照
一同前往Defcon的还有生1995年的单好奇。刚刚毕业的好奇一直有写技术博客的习惯。从Unicorn的微博上得知招聘信息、投递简历到加入，杨卿欣赏他的热情——自己写代码、在Github做项目，博客的字里行间透露着钻研技术潜力。想成为一名出色的数据链安全人员，学校很难提供有效的知识和攻防实践经验。聪明专注、不断学习、对技术的绝对热爱，只有这些品质才能让他们抵挡现实的诱惑和寂寞。好奇也将与团队的另外一名安全老将郑玉伟以另外一个题目前往Defcon演讲——Hack飞蜂窝设备劫持GPRS。一部分负责钻研安全攻防技术、一部分负责将技术转变为软硬件的产品，已经有15个人的Unicorn团队有条不紊的忙碌着。以《高达》中拥有精神骨架甚至能终结战争的Unicorn机甲之名命名的这个团队，正在以自己的热情不断钻研存在于空气中的无线电和看得见摸得着的硬件，守护一个更安全的无人机世界。
长按识别图中二维码关注我们！
内容转载自公众号
极客公园
了解更多
加载中