如何杜绝“免定位”？直播卫星北斗“户户通”可管可控及安全性分析
2018，千千万万粉丝最伟大！《卫星与网络》文章合集【附链接，收藏专用】
作者 | 孙功宪
具备北斗定位功能的新一代“户户通”（也称“第四代‘户户通’”）已成为当下行业最新热门话题。本文将从TVOS操作系统、北斗芯片SiP封装、 ROM版及其安全性三方面，对北斗“户户通”进行分析，看看它能否有效解决北斗“户户通”定位的可管可控及安全性问题，保证广播电视安全播出。
目前，全国直播卫星“户户通”用户已达到1.1亿户，“户户通”作为广电的重大惠民工程，一直都是政府重点监管的地带。广播电视作为党和政府的喉舌，必须要保护其安全、绿色健康、可管可控。2015年6月，国家新闻出版广电总局科技司发布《关于严格按照标准生产销售卫星直播系统综合接收解码器的通知（技科字【2015】242号）》，明确指出我国的“户户通”卫星电视接收机都强制安装GPRS模块，具备基站定位功能，一旦出现跨区域使用，就不能正常收看电视。然而，市面上屡屡出现免定位破解型机顶盒，给广播电视的安全播出、“户户通”业务的正常开展带来巨大隐患；也给行业主管部门、正规的“户户通”机顶盒厂家、经销商带来了很大困扰。
作者在网上搜索了“户户通定位破解方法”，得到186,000个结果，各种“攻略”一步步指导用户如何破解，包括教程、视频、PPT、文章等一应俱全。甚至有些厂家的机顶盒，只要在遥控器上按次序输入某些字母组合，就可以自动切换到免定位工作模式。管理部门虽然严厉打击免定位、非法破解，但是利益的趋势使得部分厂家屡屡以身试法，免定位机“野火烧不尽、春风吹又生”，严重扰乱了“户户通”产业的发展。
图1 现有“户户通”机顶盒面临的巨大挑战
为此，新闻出版广电总局成立了TVOS工作组专门负责推进新一代“户户通”系统工作，并于2017年颁布了北斗机顶盒、北斗LNB行业技术标准（GD/J071、072、073-2017），明确采用TVOS操作系统及北斗定位。
那么新一代采用北斗定位的“户户通”是否会面临和上一代GPRS定位模式一样的问题呢，这些安全性问题如何才能从根本上得以根治？笔者试着就北斗“户户通”如何保障安全播出、可管可控、防止免定位等问题，进行初步的探讨。
一、TVOS2.0系统将有效保障“户户通”安全播出，防刷机、防翻墙、无法自行安装第三方软件
2015年12月，国家新闻出版广电总局科技司、工业和信息化部电子信息司在湖南长沙举办了“智能电视操作系统TVOS2.0发布会暨TVOS2.0产业化规模应用启动仪式”。
2016年8月，国家新闻出版广电总局审查通过了《智能电视操作系统第1部分：功能与架构》与《智能电视操作系统第2部分：安全》两项行业标准。我国第四代“户户通”机顶盒将采用TVOS2.0操作系统。
TVOS2.0是我国自主研发的可管可控、安全高效、开放兼容的电视操作系统，将使得广电终端更加安全。TVOS2.0构建了以硬件可信执行环境为基础的开放、自主的安全技术体系，并有针对性地加强了DCAS、DRM和在线支付等的相关安全，将支撑广电有线、无线、卫星的智能融合一体化和广电业务生态的构建。
图2 TVOS2.0基础安全架构
图3 TVOS2.0沙箱隔离安全架构
TVOS2.0具有可管可控的特点，从底层锁死root，用户无法自行安装第三方软件，无法刷机、无法翻墙，无法收看明令禁止的内容，所输出的内容都是正规合法的。和Android操作系统的机顶盒相比，更加容易对系统内容进行管理。
二、北斗定位的防破解技术
1）SiP封装的安全性问题
图4 北斗“户户通”机顶盒主CPU与北斗定位的SiP封装
新一代“户户通”机顶盒主CPU将与北斗定位芯片采取SiP封装的方式，合封在一颗芯片中。在SiP封装过程中，北斗芯片Die需要保证信息安全性，其关键测试管脚和功能配置管脚只能在裸片时可见，封装后不可见，确保无物理条件进行切换。北斗芯片输出定位信息给机顶盒主CPU，主CPU只能接收NEMA0183格式的数据，而无法对北斗芯片发出指令，这种传输是单向的。
2）ROM版与FLASH版的差异
新一代“户户通”机顶盒主CPU合封的北斗定位Die，从业内情况看，有FLASH版、ROM版两种形式，这里推荐使用ROM版进行合封。首先，北斗芯片 Die的ROM版程序在ROM中运行，直接固化，无任何条件修改运行程序；其次，FLASH版本相当于在主CPU中合封了两个Die，成本高而且可靠性下降，并且在遇到某些情况（如开关机、断电、严重干扰等）下可能会发生FLASH改写问题，造成主CPU无法工作。
3）伪基站的高成本及易发现问题
新一代“户户通”机顶盒主CPU与北斗Die合封，北斗芯片采用的是射频基带一体化方案，进入CPU的是卫星定位射频信号，而不是数字信号。一般卫星定位需要接收四颗或以上的信号才能定位。如果采用伪基站的方式模拟卫星定位的射频信号来破解定位，面临如下的问题：
● 首先，违法成本高。需要采用北斗/GPS信号模拟器、信号发射设备，覆盖某片区域，发射的定位导航信号强度高于正常的卫星定位信号强度，设备投资较大，预计达到数十万的规模。而伪基站是我国行业主管部门一致重点打击的违法行为，目前，管理部门各种伪基站探测设备和技术逐渐成熟，违法行为一经发现，违法者将面临法律的处罚，所投设备也会血本无归。
● 其次，破解新一代“户户通”定位的商业模式不成立。现有的免定位机顶盒因为采用移动基站定位，破解后即可随意到各个地区销售流通。考虑到“户户通”经销是“省-地市-县级”三级模式。如果采用伪卫星定位基站的破解方式，需要在全国所有准备销售免定位机的地区都安装卫星定位伪基站。那么谁来投资？省级经销商在全省统一建伪基站，投资大、风险大、可能性小，而且通常在一个省内会存在多个省级经销商；各个地区、市县，更是存在多个大大小小的经销商，彼此属于竞争关系，单个经销商自己建设，不符合其商业利益；破解机顶盒定位是非法行为，因此不可能由政府或者行业联盟主导组织投资建设。
可以预见，具备北斗定位功能的新一代“户户通”面临着爆发性的增长，其安全性备受关注。TVOS2.0操作系统与北斗定位的完美结合，将从根本上保障可管可控的问题，而目前“户户通”市场的免定位机乱象也有望得以根治。我国“户户通”产业即将迎来新的春天。
作者简介：
孙功宪，博士、高级工程师，长期从事卫星定位导航、数字电视、集成电路设计领域技术研究，参与广电总局北斗“户户通”三项行业标准制定。现任深圳市北斗万方信息技术有限公司总经理。