Daktyloskopia RF do trwałego śledzenia emiterów: poza częstotliwością i modulacją

Operator radiowy zmienia częstotliwość. Stacja przekaźnikowa retransmituje sygnał przez inną antenę. Urządzenie fałszuje identyfikator sieciowy. W każdym z tych przypadków warstwa analizy SIGINT oparta na częstotliwości i modulacji gubi trop -- emiter zdaje się znikać lub stawać się nowym podmiotem. Daktyloskopia RF likwiduje tę lukę, wykorzystując warstwę, której operatorzy nie mogą przekonfigurować: fizyczne niedoskonałości samego sprzętu nadajnika. Każdy oscylator, wzmacniacz mocy, przetwornik cyfrowo-analogowy i mikser w radiu zawiera tolerancje produkcyjne, które dają unikalne, mierzalne odchylenia od idealnego zachowania. Odchylenia te utrzymują się niezależnie od tego, na jakiej częstotliwości radio nadaje, jakiego przebiegu używa ani jaki identyfikator deklaruje. Ten artykuł analizuje, jak techniki identyfikacji konkretnych emiterów (SEI) wydobywają i wykorzystują te sygnatury sprzętowe do trwałego śledzenia emiterów w operacyjnych przepływach pracy SIGINT.

Dlaczego częstotliwość i modulacja są niewystarczające dla trwałej tożsamości emitera

Tradycyjne śledzenie emiterów SIGINT traktuje częstotliwość, typ modulacji, interwał powtarzania impulsów oraz identyfikatory warstwy protokołu (znaki wywoławcze, adresy MAC, ID urządzeń) jako podstawowe dyskryminatory. Podejście to dobrze sprawdza się wobec emiterów, które działają według stałych lub przewidywalnych harmonogramów i nie podejmują aktywnych działań w celu ukrycia tożsamości. Wobec zdyscyplinowanego przeciwnika zawodzi w przewidywalny sposób. Radia z rozproszonym widmem i przeskokami częstotliwości (FHSS) zmieniają kanał kilkadziesiąt razy na sekundę. Radia definiowane programowo mogą przełączać formaty modulacji dla każdej transmisji z osobna. Identyfikatory sieciowe są łatwe do sfałszowania w większości taktycznych protokołów radiowych. Emiter, który rozumie rzemiosło SIGINT, potrafi rotować przez wszystkie te parametry na tyle szybko, by rozbić tradycyjne metody korelacji.

Konsekwencją operacyjną jest fragmentacja śladów: to samo fizyczne urządzenie pojawia się jako kilkadziesiąt odrębnych emiterów w bazie danych SIGINT, ponieważ każda zmiana identyfikatora generuje nowy ślad. Analitycy próbujący zbudować wzorzec aktywności życiowej (pattern-of-life) lub powiązać emiter z platformą, jednostką czy osobą muszą ręcznie korelować fragmenty na podstawie geolokacji, czasów i osądu kontekstowego -- proces wolny, pracochłonny i podatny na błędy przy operacyjnym tempie. Daktyloskopia RF rozwiązuje problem fragmentacji śladów na warstwie zbiórki, a nie analizy, wiążąc spójną tożsamość z fizycznym nadajnikiem zamiast z którymkolwiek z jego konfigurowalnych parametrów.

Teoretyczna podstawa daktyloskopii opiera się na obserwacji, że analogowe niedoskonałości sprzętowe nie są adresowalne programowo. Oscylator kwarcowy o konkretnej krzywej starzenia, wzmacniacz mocy o charakterystycznym punkcie przecięcia trzeciego rzędu, para kanałów ADC ze stałym niezrównoważeniem wzmocnienia -- są one określone przez fizykę wyprodukowanych komponentów, a nie przez oprogramowanie układowe. Jeśli nie wymieni się komponentów, urządzenie nie może uciec przed swoim odciskiem. To czyni daktyloskopię RF fundamentalnie różną od -- i komplementarną wobec -- metod klasyfikacji sygnałów, które operują na parametrach przebiegu kontrolowanych przez emiter.

Sygnatury niedoskonałości sprzętowych: dryf zegara, nieliniowość wzmacniacza mocy i niezrównoważenie IQ

Trzy kategorie niedoskonałości sprzętowych są najbardziej przydatne operacyjnie w daktyloskopii RF. Przesunięcie i dryf częstotliwości oscylatora wynikają z kryształu referencyjnego lub oscylatora kwarcowego z kompensacją temperatury (TCXO), który generuje częstotliwość nośną radia. Tolerancje produkcyjne dają przesunięcie częstotliwości -- zwykle od 0,5 do 10 części na milion (ppm) względem wartości nominalnej -- które jest stabilne dla danego urządzenia, lecz odmienne między urządzeniami tego samego modelu. Bardziej diagnostycznie użyteczny jest współczynnik dryfu: tempo, w jakim przesunięcie częstotliwości zmienia się wraz z temperaturą lub w czasie. Krzywa dryfu urządzenia, zmierzona w wielu transmisjach w zmiennych warunkach termicznych, jest bardziej dyskryminującym odciskiem niż pojedynczy pomiar przesunięcia częstotliwości, ponieważ zachowanie dryfu zależy od charakterystyki starzenia konkretnego kryształu i masy termicznej zespołu wokół niego.

Nieliniowość wzmacniacza mocy (PA) generuje produkty zniekształceń harmonicznych i intermodulacyjnych, których amplitudy względem sygnału podstawowego są charakterystyczne dla konkretnego urządzenia PA i jego punktu pracy. Punkt przecięcia drugiego rzędu (IP2) i punkt przecięcia trzeciego rzędu (IP3) kwantyfikują zachowanie kompresyjne wzmacniacza i są mierzalne z zawartości widmowej transmitowanego sygnału bez znajomości poziomu mocy wejściowej. Dwa radia z tej samej partii produkcyjnej z tym samym modelem PA będą miały wartości IP3 skupione w wąskim zakresie; wartości IP3 w większej populacji tego samego modelu obejmą zakres od 3 do 8 dB. To rozproszenie, choć umiarkowane, wystarcza, by wnieść moc dyskryminującą w połączeniu z innymi cechami. Przy nasyceniu -- gdy operator mocno wysteruje PA -- sygnatura nieliniowości staje się silniejsza i stabilniejsza, co czyni transmisje o wysokiej mocy szczególnie informacyjnymi dla celów daktyloskopii.

Niezrównoważenie IQ powstaje w każdym radiu, które używa architektury miksera kwadraturowego (zasadniczo we wszystkich nowoczesnych odbiornikach i nadajnikach superheterodynowych oraz z bezpośrednią konwersją). Ścieżki sygnału w fazie (I) i kwadraturze (Q) są idealnie identyczne w amplitudzie i przesunięte o 90 stopni w fazie; w praktyce tolerancje komponentów dają niezrównoważenie wzmocnienia od 0,1 do 1 dB oraz niezrównoważenie fazy od 0,5 do 3 stopni między obiema ścieżkami. Efektem na transmitowanym sygnale jest lustrzane zakłócenie -- tłumiona, odwrócona w fazie kopia sygnału przy ujemnym przesunięciu częstotliwości od nośnej. Współczynnik tłumienia obrazu (IRR), mierzony jako różnica mocy między pożądanym sygnałem a jego obrazem, jest precyzyjną, stabilną cechą odcisku. Wartości IRR są powtarzalne w granicach 0,5 dB między transmisjami z tego samego urządzenia i różnią się o 2 do 10 dB między urządzeniami tego samego modelu, zapewniając użyteczną dyskryminację międzyurządzeniową.

Wydobywanie cech w daktyloskopii RF: podejścia statystyczne, widmowe i z uczeniem głębokim

Wydobywanie wiarygodnych cech sprzętowych z surowych nagrań IQ wymaga starannej uwagi wobec łańcucha przetwarzania sygnału. Pierwszym wyzwaniem jest separacja kanału: obserwowany sygnał jest splotem transmitowanego przebiegu z kanałem bezprzewodowym i własnymi niedoskonałościami sprzętowymi odbiornika. Odbiornik z własnym niezrównoważeniem IQ nałoży swoje charakterystyki tłumienia obrazu na te nadajnika, zawyżając lub zaniżając obserwowane IRR. Skalibrowane odbiorniki o znanych charakterystykach sprzętowych mogą zastosować współczynnik korekcyjny; nieskalibrowana zbiórka polowa wymaga albo podejścia dywersyfikacji wieloodbiornikowej (zbiórki z wielu odbiorników i wzięcia części wspólnej cech, które są spójne między odbiornikami), albo etapu estymacji kanału, który próbuje oddzielić wkład nadajnika od wkładu kanału i odbiornika.

Statystyczne wydobywanie cech oblicza momenty, kumulanty i miary entropii na szeregach czasowych amplitudy, fazy i częstotliwości wybuchu. Statystyki wyższego rzędu -- kumulanty czwartego rzędu (kurtoza) i kumulanty szóstego rzędu -- są wrażliwe na nieliniowość PA i niewrażliwe na addytywny szum Gaussa, co czyni je użytecznymi w warunkach zbiórki o niskim SNR. Analiza cech cyklostacjonarnych wykorzystuje okresowość właściwą sygnałom modulowanym cyfrowo, aby wydobyć cechy na konkretnych częstotliwościach widmowych związanych z szybkością symboli, szybkością chipów i przesunięciem nośnej. Cechy te są deterministyczne dla danej konfiguracji nadajnika i mogą być zmierzone z wysoką precyzją z krótkich wybuchów, ale wymagają znajomości parametrów modulacji sygnału do poprawnej interpretacji.

Podejścia z uczeniem głębokim traktują daktyloskopię RF jako problem uczenia metryki: sieć neuronowa konwolucyjna lub rekurencyjna jest trenowana do produkowania osadzeń (embeddingów) nagrań wybuchów IQ w taki sposób, że osadzenia z tego samego fizycznego urządzenia skupiają się razem, a osadzenia z różnych urządzeń są dobrze rozdzielone. Zaletą tego podejścia jest to, że sieć domyślnie odkrywa, które kombinacje charakterystyk sygnału są najbardziej dyskryminujące dla konkretnej populacji emiterów w danych treningowych, bez konieczności jawnego modelu określającego, które niedoskonałości sprzętowe są obecne. Wadą jest wymóg danych treningowych: dobrze generalizujący głęboki model daktyloskopii wymaga nagrań od setek do tysięcy odrębnych urządzeń, zebranych w szeregu warunków SNR i typów kanałów. Do identyfikacji konkretnych emiterów wobec znanej populacji docelowej uczenie transferowe z dużego wstępnie wytrenowanego modelu dostrojonego na kilkudziesięciu nagraniach urządzeń docelowych jest praktyczną alternatywą dla trenowania od zera.

Zarządzanie bazą odcisków: budowa i utrzymanie biblioteki referencyjnej w warunkach operacyjnych

Odcisk, którego nie da się znaleźć w bibliotece referencyjnej, jest operacyjnie bezużyteczny. Budowa i utrzymanie wiarygodnej biblioteki to problem zarządzania danymi w równym stopniu co przetwarzania sygnału. Każdy wpis referencyjny musi nieść metadane pochodzenia: znacznik czasu zbiórki, konfigurację odbiornika, szacowany SNR, znany identyfikator emitera w chwili zbiórki (znak wywoławczy, częstotliwość, geolokacja jeśli dostępna) oraz warunki środowiskowe (temperatura, czy zbiórka była bliskiego czy dalekiego pola). Bez tych metadanych analityk nie może ocenić, czy słabe dopasowanie odzwierciedla autentyczne podobieństwo odcisku o niskiej pewności, czy też nieaktualną referencję zebraną w innych warunkach.

Nieaktualność jest centralnym wyzwaniem zarządczym. Charakterystyki sprzętowe dryfują przez cały okres eksploatacji urządzenia. Oscylatory kwarcowe starzeją się w tempie od 0,5 do 5 ppm rocznie; cecha przesunięcia częstotliwości zebrana dwa lata temu może różnić się o więcej niż margines dyskryminacji międzyurządzeniowej od bieżącej wartości. Charakterystyki PA zmieniają się, gdy urządzenie pracuje blisko granic termicznych lub po naprawie komponentu. Polityka zarządzania biblioteką powinna przypisywać każdej cesze wagę zaniku nieaktualności, która z czasem zmniejsza jej wkład do wyników dopasowania i flaguje wpisy starsze niż konfigurowalny próg do zadania ponownej zbiórki. Tempo zaniku powinno różnić się w zależności od typu cechy: współczynnik dryfu oscylatora jest stabilniejszy w skali lat niż bezwzględne przesunięcie częstotliwości; niezrównoważenie IQ jest stabilniejsze niż nieliniowość PA przy zmiennych poziomach mocy.

Wzrost biblioteki w warunkach operacyjnych wymaga polityki obsługi nieznanych emiterów. Gdy przechwyt daje wektor cech, który nie pasuje do żadnego istniejącego wpisu powyżej progu pewności, system tworzy wpis tymczasowy oznaczony jako nieznany i ustawia go w kolejce do przeglądu przez analityka. Analityk koreluje nieznany emiter z innymi danymi wywiadowczymi -- geolokacją, wzorcem czasowym, powiązaną aktywnością sieciową -- aby ustalić, czy jest to autentycznie nowe urządzenie, czy wcześniej śledzone urządzenie, którego odcisk uległ dryfowi lub został zebrany przy obniżonym SNR. Potwierdzone nowe wpisy są promowane do aktywnej biblioteki; wpisy korelujące z istniejącymi śladami uruchamiają procedurę aktualizacji odcisku, która zastępuje lub uzupełnia nieaktualną referencję nowym pomiarem.

Daktyloskopia międzyczęstotliwościowa: utrzymanie tożsamości, gdy emiter zmienia pasmo lub tryb

Obietnica daktyloskopii RF w śledzeniu emiterów z przeskokami częstotliwości lub przełączających pasma zależy od tego, czy wydobyte cechy są niezależne od częstotliwości. Niektóre są, a niektóre nie. Przesunięcie częstotliwości oscylatora, wyrażone jako ułamkowe odchylenie ppm zamiast bezwzględnego przesunięcia w Hz, jest niezależne od częstotliwości: przesunięcie 2 ppm na 400 MHz pojawia się jako 2 ppm na 900 MHz. Współczynnik dryfu oscylatora jest podobnie przenośny między częstotliwościami. Amplituda i faza niezrównoważenia IQ natomiast zależą od konkretnego obwodu miksera i jego zachowania na częstotliwości pracy -- urządzenie może wykazywać niezrównoważenie amplitudy 0,3 dB na 400 MHz i 0,7 dB na 2,4 GHz z powodu odpowiedzi częstotliwościowej elementów pasywnych w sieci rozdzielacza kwadraturowego. Daktyloskopia międzyczęstotliwościowa wymaga modelu wartości każdej cechy indeksowanego względem częstotliwości zamiast pojedynczego skalara, przynajmniej dla cech zależnych od częstotliwości.

Cechy nieliniowości PA są szczególnie wrażliwe na efekty zależne od częstotliwości. Charakterystyki wzmocnienia i kompresji PA zmieniają się z częstotliwością z powodu pasożytniczych indukcyjności i pojemności w obudowie urządzenia. Na częstotliwościach harmonicznie powiązanych wewnętrzne mechanizmy sprzężenia zwrotnego PA mogą wytwarzać wzmocnienie lub tłumienie zawartości harmonicznej względem tego, co przewiduje prosty model potęgowy. Odporny międzyczęstotliwościowy odcisk PA wymaga zbierania danych referencyjnych w każdym paśmie częstotliwości, w którym emiter pracuje, a nie tylko na podstawowej częstotliwości pracy. W przypadku systemów z przeskokami częstotliwości, które pokrywają szerokie pasmo (na przykład od 50 do 512 MHz), oznacza to zbieranie nagrań referencyjnych w wielu punktach zestawu przeskoków i budowanie mapy cech dla każdej częstotliwości.

Odporność na działania przeciwnika: wykrywanie, gdy emiter celowo randomizuje swój odcisk

Wyrafinowany przeciwnik świadomy daktyloskopii RF może próbować środków zaradczych. Najbardziej wykonalnym jest celowe rozmywanie parametrów (dithering): dodawanie losowych zaburzeń do częstotliwości nośnej, poziomu mocy lub taktowania modulacji nadajnika w próbie ukrycia stabilnych cech sprzętowych. Wobec prostego dopasowywacza opartego na progu może to być skuteczne, jeśli amplituda rozmycia przekracza margines dyskryminacji. Wobec właściwie zaprojektowanego systemu daktyloskopii rozmywanie jest w dużej mierze nieskuteczne dla cech najbardziej na nie odpornych. Współczynnik dryfu oscylatora -- tempo zmiany przesunięcia częstotliwości w czasie -- jest określony przez fizykę starzenia kryształu i nie może być randomizowany bez wymiany oscylatora. Wartość niezrównoważenia IQ jest określona przez pasywną sieć rozdzielacza i nie może być zmieniona programowo. Przeciwnik może rozmywać jedynie cechy będące pod kontrolą oprogramowania, które są dokładnie tymi cechami, jakie odporny system daktyloskopii traktuje jako wtórne, a nie podstawowe dyskryminatory.

Poważniejszym scenariuszem działania przeciwnika jest celowe wstrzyknięcie odcisku: przeciwnik pozyskuje nagranie odcisku emitera własnego i używa radia definiowanego programowo z precyzyjną kompensacją IQ, aby generować sygnały naśladujące niedoskonałości sprzętowe celu. Obrona przed tym atakiem wymaga wykrycia braku autentycznej losowości sprzętowej. Niezrównoważenie IQ prawdziwego nadajnika nieco fluktuuje wraz z temperaturą; jego dryf oscylatora podąża za fizyczną krzywą starzenia; jego nieliniowość PA zmienia się przewidywalnie wraz z mocą wyjściową. Sfałszowany sygnał generowany przez system cyfrowy naśladujący odcisk zwykle wytwarza sygnatury niedoskonałości sprzętowych, które są zbyt stabilne -- fałszujące SDR ma niższe resztkowe niedoskonałości sprzętowe niż urządzenie, które imituje, a jego wartości "odcisku" będą zbyt spójne w zmiennych warunkach. Algorytmy wykrywania, które modelują oczekiwaną zmienność statystyczną autentycznych niedoskonałości sprzętowych, mogą oflagować anomalnie stabilne wartości odcisku jako potencjalnie sfałszowane.

Ataki typu replay -- nagranie autentycznej transmisji i jej retransmisja -- są wykrywalne poprzez kontrole spójności czasowej. Sygnał odtworzony niesie znacznik czasu i charakterystyki kanału oryginalnego nagrania, a nie bieżącego środowiska propagacji. Odbiornik, który oblicza cechy stanu kanału (profil opóźnień wielodrogowych, przesunięcie Dopplera, siłę odbieranego sygnału) i sprawdza ich spójność z deklarowanym kontekstem transmisji, może z dużą niezawodnością odróżnić transmisję na żywo od odtworzenia. Integracja wykrywania ataków replay z potokiem daktyloskopii, zamiast traktowania go jako oddzielnego etapu przetwarzania końcowego, zapewnia odporność end-to-end na klasę ataków przeciwnika najprawdopodobniej spotykanych w spornym środowisku SIGINT.

Integracja z zarządzaniem zadaniami zbiórki SIGINT i systemami zarządzania śledzeniem

Daktyloskopia RF nie zastępuje szerszego łańcucha zbiórki i przetwarzania platformy SIGINT -- dodaje do niego warstwę trwałej tożsamości. Architektura integracji ma dwa kierunki: wyniki odcisków płynące w dół strumienia do zarządzania śledzeniem oraz zarządzanie śledzeniem przesyłające wytyczne priorytetowe w górę strumienia do zarządzania zadaniami zbiórki. W kierunku w dół strumienia dopasowanie odcisku z pewnością powyżej progu operacyjnego uruchamia stwierdzenie tożsamości na powiązanym śladzie: rekord emitera śladu jest aktualizowany dopasowanym wpisem biblioteki, a wszystkie fragmenty śladu, które wcześniej były przechowywane jako oddzielne nieznane (ponieważ dzieliły tę samą sygnaturę sprzętową, lecz różne parametry częstotliwości lub identyfikatora), są scalane w jeden ciągły ślad. Ta operacja scalania jest podstawową wartością operacyjną daktyloskopii -- zamienia kilkadziesiąt fragmentów śladu w jeden spójny podmiot z kompletnym wzorcem aktywności życiowej.

W kierunku w górę strumienia potwierdzone wysokopriorytetowe dopasowanie odcisku podnosi priorytet zbiórki dla bieżących parametrów pracy emitera, kierując zasoby czujników na utrzymanie kontaktu. Jeśli emiter zmienia częstotliwości (frequency hopping), system zarządzania śledzeniem aktualizuje zadanie zbiórki w czasie rzeczywistym, aby podążać za bieżącą częstotliwością przeskoku, zamiast czekać na nowy cykl wykrywania emitera. Niedopasowany przechwyt, który daje wektor cech w obrębie konfigurowalnej odległości od priorytetowego wpisu biblioteki -- bliskie dopasowanie, które nie czyści progu pewności -- generuje notatkę zadaniową żądającą dodatkowej zbiórki przy wyższym SNR lub z bliższej geometrii zbiórki w celu poprawy pewności dopasowania. Ta pętla sprzężenia zwrotnego między pewnością daktyloskopii a zarządzaniem zadaniami zbiórki jest tym, co umożliwia trwałe utrzymanie kontaktu zamiast epizodycznego ponownego wykrywania.