原载阿里聚安全公众号,现在看措辞略浮夸啊,懒得改了。

工作日,上班路上,看一眼情人节女友刚送的六局电波表。咦,出门明明还早,怎么眼看要迟到!别慌,可能只是你被“黑”了。

什么,你戴iWatch?那可以看看这篇

电波钟/表顾名思义就是通过接收电波授时信号实现自动对时的钟表。以“电波表”为关键字在淘宝搜索,可以看到相关产品很多。其中主要是几个日系的手表大厂,如卡西欧、西铁城、精工、东方双狮等,此外国产品牌也有几个,就不一一列举了。我们后面实验中用到的是一台挂钟,由国产品牌康巴丝生产。

授时电波一般由国家负责标准时间的专门机构进行播发。所广播的时间是国家标准时,由多台高精度原子钟组成的守时钟组产生。授时电波采用频率低于100千赫的长波波段,不易被遮挡,因此一个发射站就可以基本覆盖一国国土。中英美日德等国有各自标准的长波授时服务,不仅名称不一,所用的频率和编码也不同,也就是开头提到的所谓六局(日本面积虽小,但有两局).

我国的长波授时服务BPC,由中科院国家授时中心与某企业合作建立,面向民用。BPC广播站设立在河南商丘,频率为68.5千赫。采用脉宽调制,码率1赫兹。每个编码脉冲宽度为0.1s,0.2s,0.3s或0.4s,分别代表四进制的 0,1,2,3。而这一串四进制的数字是由播发时刻的秒、时、分、星期、日、月、年插入几个校验位组成的,长度为20s,并无任何加密手段。也就是说20秒的信号才可以完整传达当前日期和时间。这一编码方式相比其他各国60秒一帧的方法,对时过程更快。另外需要提醒一下,BPC电波授时编码属于某企业的专利技术,不能私自用于商业盈利。既然是专利,就不妨再公开引用一次,编码示意图如下。

说了这么多,同学们应该对电波授时和电波钟表也有了大概的了解。下面讲讲如何“黑”的问题。思路很简单:伪造授时电波信号,盖过真正的BPC电波,电波钟也就乖乖听咱的了。

如何产生信号呢,我们采用了一台安捷伦最新款PSG系列信号发生器——开玩笑的,我司怎会有这,只有笔记本电脑。好吧,就用笔记本。是的,就用笔记本!

笔记本电脑就位后,照着专利说明书写一个程序,将日期时间翻译成BPC编码,然后将编码通过电脑自带的音频输出播放出来。为了避免笔记本自身杂散电磁辐射造成干扰,我们利用耳机作为播放设备。为了增强信号强度,我们把耳机粘在钟表背后靠近接收天线的位置,把音量调到最大。编造一个错误的时间,运行程序开始发播信号,人耳可以听见脉冲通断的声音。按下电波钟背后的对时按钮三秒钟,表针暂停,进入对时模式。静待几分钟,电波钟从信号中获取错误的时间,表针快速旋转至指定时间,对时成功!

讲到这里,肯定有同学要说,声卡最高只能输出22千赫的声音,怎么能发出68.5千赫,还是电波信号,你不要骗我!且慢,其实是笔者刚有意漏掉一个关键点现在来讲。电脑所播放的音频信号实际上是有讲究的,我们选择了68.5千赫的5分频,13.7千赫,以此作为载波在上面加载BPC编码。耳机发声就是靠线圈产生变化的磁场推动振膜实现的,因此发出听得见的声音的同时,也在发出听不见的电磁波。当我们把输出音量调至最大,耳机的非线性效应显著起来,频率成分中不仅有基频成分(13.7千赫)还有倍频成分,其中也就包含13.7千赫的5倍频信号68.5千赫,也就是BPC的载波频率。这样也就实现了标题所说的“零成本”。

作为一名合格的白帽,讲了“攻”怎么能不讲“防”?实际上仅仅从BPC的编码上来说,由于其非常简单透明,是很难防止类似攻击行为的。好在现在获取时间信息的手段多种多样,通过移动网络、有线网络、GPS、北斗等都可以获得非常准确的时间,因此采用多个时间来源相互参照,能够大大降低因被攻击造成损失的概率。

最后来段代码:


# -*- coding: utf-8 -*-
"""
Created on Tue Jan 19 15:26:45 2016

@author: zhengbowang
"""
import pyaudio
import struct
import datetime
import math

def dropandfill(l,s):return '0'*(l - len(s[2:])) + s[2:]#用0补位
def time2code(date_time, dt = datetime.timedelta(0)):
'''
将时间转换成BPC编码。
'''
    date_time -= dt
    date = [date_time.day, date_time.month, date_time.year]
    timet = [date_time.hour,date_time.minute,date_time.weekday()+1]
    date[2] = date[2]%100#year
    timet[0] = timet[0]%12#am.pm
    p1 = dropandfill(2,bin(date_time.second/20))#seconds
    p2 = '00'#reserved
    sec1 = (p1+p2)+''.join(map(dropandfill,[4,6,4],map(bin,timet)))
    p31 = str(int(date_time.hour>=12))
    p32 = str((sec1.count('1'))%2)
    p3 = p31 + p32
    sec2 = ''.join(map(dropandfill,[6,4,6],map(bin,date)))
    p41 = str(int(date_time.year%1000>100))
    p42 = str(((sec2.count('1'))%2))
    p4 = p41 + p42
    code2 = sec1 + p3 +sec2 + p4
    bin2four = {'00':'1','01':'2','10':'3','11':'4'}#to base4
    return '0'+''.join([bin2four[code2[2*i:2*i+2]] for i in range(len(code2)/2)])

dt = datetime.timedelta(hours = 1)#fake time shift
samp_rate = 68500
freq = 6850 * 2 #in Hertz
ttime =20 #in Sec
SAMPLE_LEN = samp_rate * ttime # 20 seconds of cosine
value = ampl = 32725
div = samp_rate/freq/2
data = 32725
# 打开声音输出流
p = pyaudio.PyAudio()
stream = p.open(format = 8,
                channels = 1,
                rate = samp_rate,
                output = True)

while True:
    date_time = datetime.datetime.now()+dt
    print date_time
    sec = (date_time.second+1)%20
    code_str = time2code(date_time)
    start = sec * samp_rate
    for i in xrange((start), SAMPLE_LEN):
        #if i % div == 0:value = -value#carrier generate
        value = ampl * int(math.cos(math.pi / float(div) * float(i)))
        pulse = (i - sec * samp_rate)/(samp_rate / 10)
        packed_value = struct.pack('h', int(pulse >= int(code_str[sec]))*value)
        stream.write(packed_value)
        if i % samp_rate == 0 and i != start: 
            sec = sec + 1