6.1 物理层安全：开放信道的窃听与抗窃听

6.1 物理层安全：开放信道的窃听与抗窃听

深夜的冲突地区，一部卫星电话的通话被第三方截获——这类新闻背后没有密码学失守，失守的是更底层的东西：卫星波束本来就是广播。本节从窃听几何讲起，算清"听得见"与"听得懂"之间的物理鸿沟（信噪比差），再过一遍抗干扰三件套。读完你会明白：物理层安全的本质不是保密算法，而是让合法信道的质量显著优于任何窃听信道。

窃听几何：波束之外还有多少信号

窃听者的第一问是"我在哪能收到多少"。传统 GEO 广播波束覆盖数千公里直径，波束内任何位置的窃听者接收质量与合法用户几乎相同——物理层对窃听者零门槛，安全只能全押上层加密。低轨点波束改变了这个几何：2.3 节讲过相控阵多波束，单波束直径压缩到几十到几百公里，波束外信号以旁瓣形式存在，且被方向增益压制。这带来物理层安全的第一个核心量——信噪比差：合法用户信噪比减去窃听者信噪比。点波束中心与旁瓣区的信噪比差可以轻松做到几十分贝，意味着窃听者要么进入波束覆盖区（物理暴露），要么用巨大天线弥补增益差（成本暴露）。物理层安全的第二条守则随之而来：加密要做，但先让窃听变贵。

不过波束几何也有反例要警惕：波束边缘的用户自己就在低信噪比区，与波束外窃听者的信噪比差被压缩——运营商的边缘用户群是窃听者的最佳掩护身份。另一个现代变量是低成本的宽域监测：多站点协同接收可以把分散的微弱信号拼出可用信噪比，波束外的"绝对安全区"比十年前小得多。

抗干扰：比窃听更常见的攻击

干扰（jamming）比窃听常见得多，因为它不需要解密任何东西，只需要在卫星上行或下行频段里注入噪声。攻击面有三处，对策各有侧重。下行干扰：攻击者在对准地面用户的频段发噪声，用户侧对策是跳频扩频（信号在宽频带内按伪随机序列跳变，干扰方跟不上跳变节奏）与终端天线指向滤波；星座侧对策是换波束换星——头顶几十颗可换（2.3 节的可见星数），干扰一台设备的成本被多星分摊。上行干扰：攻击者把噪声打向卫星接收机，影响面是整片波束，危害更大；对策是 4.1 节的零陷成形（相控阵在干扰方向压增益）加上行功率管控与信号认证（6.2 节，验证"这是我的星、我的用户"）。信关站与馈电链路干扰：打的是星座的"喉咙"，属于战略性攻击；对策是信关站地理分散与站点分集（2.2 节的雨衰对策在这里兼任抗毁对策——一份数据双站发的机制，平时防雨、战时防打）。

动手算：窃听者要多大的天线

把"让窃听变贵"变成数字。下面的小算例比较合法用户与波束外窃听者到同一信噪比所需的天线口径差：

import math

def required_gain_db(snr_deficit_db, flux_ratio_db):
    """窃听者需额外补偿的增益 = 信噪比差 + 功率通量差"""
    return snr_deficit_db + flux_ratio_db

def dish_diameter_m(gain_db, freq_ghz, eff=0.6):
    """抛物面口径估算：G = 10*log10(eff*(pi*D/lambda)^2)"""
    lam = 0.3 / freq_ghz
    linear = 10 ** (gain_db / 10)
    return math.sqrt(linear / (eff * (math.pi / lam) ** 2))

# 点波束中心合法用户 vs 波束外 300 km 处的窃听者
deficit = 30.0        # 信噪比差 30 dB
flux_ratio = 20.0     # 距离与旁瓣带来的通量差 20 dB
extra = required_gain_db(deficit, flux_ratio)
d = dish_diameter_m(extra, 20.0)
print(f"窃听者需额外增益约 {extra:.0f} dB，折合 20 GHz 口径约 {d:.1f} 米")
​

三十分贝的信噪比差让窃听者从"一口锅"变成"一座站"——这就是物理层安全的经济学表达：不禁止窃听，只把窃听成本抬到不合理区间。点波束、功率控制、旁瓣压制三个参数，每一分贝都在写这条成本曲线。

前瞻：当窃听者也有星座

公平起见要指出威胁的演化方向：窃听方的技术水位也在涨。低轨侦听星座可以把"接收机"搬到天上，与目标星座同轨道面伴飞，波束旁瓣的几何保护被从头顶突破；软件定义接收机让窄带跳频的跟随干扰变得便宜。应对思路相应升级：密钥协商的信息论安全（利用信道差直接生成密钥的物理层密钥生成技术）、星座级的波束加密调度（波束指向伪随机跳变）、以及把安全设计从"单星对抗"提升到"体系对抗"——第 6.3 节的生存性思维在这里提前入场。量子密钥分发（QKD）在星地链路上的试验也已上星验证，它对密钥分发的长期价值值得跟踪，但当前成本与速率仍限星地干线场景，不到接入层。

保密分级：哪些流量必须加密，哪些可以裸奔

物理层安全是概率防御，上层加密是确定防御，两者怎么分工？按流量敏感度分三档。绝对敏感档（政府专线、金融指令、军事通信）：端到端强加密是底线，物理层手段只是纵深防御的一层——密钥管理按 6.2 节的信任锚体系走，物理层信噪比差作为额外缓冲。商业敏感档（企业数据、个人账户流量）：传输层标准加密（TLS 类）已够，物理层免检，成本敏感场景可以不配。公开档（广播内容、公开数据分发）：不加密，物理层防的是完整性与可用性而非保密性——重点转向抗干扰。这个分档的实际意义在于成本：全量加密的密钥管理与算力开销对星座并不便宜，按档配置才能把安全预算花在刀刃上。

一个值得记住的边界案例是元数据：即便内容加密，"谁在何时通过哪颗星通信"的元数据本身就可能敏感。元数据的保护不在物理层，而在系统设计（信关站聚合、最小化记录）——安全设计要同时看内容面与元数据面，只盯内容加密是常见盲区。

本节要点回顾

• 广播是天性，安全靠几何：点波束把窃听门槛从"听得见"抬到"听得懂"，核心量是信噪比差。
• 干扰比窃听常见：下行靠跳频与多星切换，上行靠零陷与认证，馈电靠站点分集。
• 物理层安全的经济学：不禁止窃听，把窃听所需的天线口径抬到不合理区间。
• 威胁在升级：伴飞侦听与软件化干扰推动安全设计走向体系对抗。

物理层挡住了"听"，协议层要挡住"骗"——假星历、伪基站、测控劫持，是下一节的对象。