直播卫星北斗“户户通”可管可控及安全性分析

+ 孙功宪

(深圳市北斗万方信息技术有限公司 )

具备北斗定位功能的新一代“户户通”（也称第四代“户户通”）已成为当下行业最新热门话题。本文将从TVOS操作系统、北斗芯片SiP封装、 ROM版及其安全性三方面，对北斗“户户通”进行分析，看看它能否有效解决北斗“户户通”定位的可管可控及安全性问题，保证广播电视安全播出。

北斗户户通 TVOS2.0操作系统 可管可控 SiP系统级封装

直播卫星“户户通”安全性面临巨大挑战

目前，全国直播卫星“户户通”用户已达到1.1亿户，“户户通”作为广电的重大惠民工程，一直都是政府重点监管的地带。广播电视作为党和政府的喉舌，必须要确保其安全、绿色健康、可管可控。2015年6月，国家新闻出版广电总局科技司发布《关于严格按照标准生产销售卫星直播系统综合接收解码器的通知（技科字【2015】242号）》，明确指出我国的“户户通”卫星电视接收机必须安装GPRS模块，具备基站定位功能，一旦出现跨区域使用，就不能正常收看电视。然而，市面上屡屡出现免定位破解型机顶盒，给广播电视的安全播出、“户户通”业务的正常开展带来巨大隐患；也给行业主管部门、正规的“户户通”机顶盒厂家、经销商带来了很大的困扰。

作者在网上搜索了“户户通定位破解方法”，得到186,000个结果，各种“攻略”一步步指导用户如何破解，包括教程、视频、PPT、文章等一应俱全。甚至有些厂家的机顶盒，只要在遥控器上按次序输入某些字母组合，就可以自动切换到免定位工作模式。管理部门虽然严厉打击免定位、非法破解，但是利益的趋势使得部分厂家屡屡以身试法，免定位机“野火烧不尽、春风吹又生”，严重扰乱了“户户通”产业的发展。

为此，新闻出版广电总局成立了TVOS工作组专门负责推进新一代“户户通”系统工作，于2017年颁布了北斗机顶盒、北斗LNB行业技术标准（GD/J071、072、073-2017），明确采用TVOS操作系统及北斗定位。

那么新一代采用北斗定位的“户户通”系统是否会面临和上一代GPRS定位模式一样的问题呢，这些安全性问题如何才能从根本上得以根治？笔者试着就北斗“户户通”如何保障安全播出、可管可控、防止免定位等问题，进行初步的探讨。

北斗“户户通”的安全关键技术问题

一、TVOS2.0系统将有效保障“户户通”安全播出，防刷机、防翻墙、无法自行安装第三方软件

2015年12月，国家新闻出版广电总局科技司、工业和信息化部电子信息司在湖南长沙举办了“智能电视操作系统TVOS2.0发布会暨TVOS2.0产业化规模应用启动仪式”。

2016年8月，国家新闻出版广电总局审查通过了《智能电视操作系统第1部分：功能与架构》与《智能电视操作系统第2部分：安全》两项行业标准。我国第四代“户户通”机顶盒就将采用TVOS2.0操作系统。

TVOS2.0是我国自主研发的可管可控、安全高效、开放兼容的电视操作系统，将使得广电终端更加安全。TVOS2.0构建了以硬件可信执行环境为基础的开放、自主的安全技术体系，并针对性地加强了DCAS、DRM和在线支付等的相关安全，将支撑广电有线、无线、卫星的智能融合一体化和广电业务生态的构建。

TVOS2.0具有可管可控的特点，从底层锁死root，用户无法自行安装第三方软件，无法刷机、无法翻墙，无法收看明令禁止的内容，确保所输出的内容都是正规合法的。和Android操作系统的机顶盒相比，更容易对系统内容进行管理。

二、北斗定位的防破解技术

1、SiP封装的安全性问题

图1 TVOS2.0基础安全架构

图2 TVOS2.0沙箱隔离安全架构

新一代“户户通”机顶盒主CPU将与北斗定位芯片采取SiP封装的方式，合封在一颗芯片中。在SiP封装过程中，北斗芯片Die需要保证信息安全性，其关键测试管脚和功能配置管脚只能在裸片时可见，封装后不可见，确保无物理条件进行切换。北斗芯片输出定位信息给机顶盒主CPU，主CPU只能接收NEMA0183格式的数据，而无法对北斗芯片发出指令，这种传输是单向的。

图3 北斗“户户通”机顶盒主CPU与北斗定位的SiP封装

2、ROM版与FLASH版的差异

新一代“户户通”机顶盒中与主CPU合封的北斗定位Die，从业内情况看，有FLASH版、ROM版两种形式，这里推荐使用ROM版进行合封。首先，北斗芯片 Die的ROM版程序在ROM中运行，直接固化，无任何条件修改运行程序；其次，FLASH版本相当于在主CPU中合封了两个Die，成本高而且可靠性下降，并且在遇到某些情况（如开关机、断电、严重干扰等）下可能会发生FLASH改写问题，造成主CPU无法工作。

3、伪基站的高成本及易发现问题

新一代“户户通”机顶盒主CPU与北斗Die合封，北斗芯片采用的是射频基带一体化方案，进入CPU的是卫星定位射频信号，而不是数字信号。一般卫星定位需要接收四颗或以上卫星的信号才能定位。如果采用伪基站的方式模拟卫星定位的射频信号来破解定位，面临如下的问题：

首先，违法成本高。需要采用北斗/GPS信号模拟器、信号发射设备，覆盖某片区域，发射的定位导航信号强度高于正常的卫星定位信号强度，设备投资较大，预计达到数十万元的规模。而伪基站是我国行业主管部门一致重点打击的违法行为，目前，管理部门各种伪基站探测设备和技术逐渐成熟，违法行为一经发现，违法者将面临法律的处罚，所投设备也会血本无归。

其次，破解新一代“户户通”定位的商业模式不成立。现有的免定位机顶盒因为采用移动基站定位，破解后即可随意到各个地区销售流通。考虑到“户户通”经销是“省-地市-县级”三级模式。如果采用伪卫星定位基站的破解方式，需要在全国所有准备销售免定位机的地区都安装卫星定位伪基站。那么谁来投资？省级经销商在全省统一建伪基站，投资大、风险大、可能性小，而且通常在一个省内会存在多个省级经销商；各个地区、市县，更是存在多个大大小小的经销商，彼此属于竞争关系，单个经销商自己建设，不符合其商业利益；而破解机顶盒定位是非法行为，因此政府或者行业联盟也不可能出面主导组织投资建设。

综上所述，北斗“户户通”将能够有效解决免定位接收机扰乱市场的难题。

展望

可以预见，具备北斗定位功能的新一代“户户通”面临着爆发性的增长，其安全性备受关注。TVOS2.0操作系统与北斗定位的完美结合，将从根本上保障可管可控的问题，而目前“户户通”市场的免定位机乱象也有望得以根治。我国“户户通”产业即将迎来新的春天。

1、新闻出版广电总局，GD/J 072—2017，《卫星直播系统综合接收解码器（智能基本型—卫星地面双模） 技术要求和测量方法》，2017年3月

2、新闻出版广电总局，GD/J 073—2017， 《卫星直播系统综合接收解码器（智能基本型）技术要求和测量方法》，2017年5月

3、新闻出版广电总局，GY/T 303.2-2016，《智能电视操作系统 第2部分：安全》，2016年12月