一万米上，有一台机器在自报家门
第 1 节一句没有回执的晚安
2014年3月8日凌晨，吉隆坡空管中心的值班管制员按下话筒键。
屏幕上那个绿色的亮点正穿过 IGARI 航路点。那是一架飞往北京的波音 777 客机。他听见的回答只有一句：「Good night Malaysian Three Seven Zero」。
说这句话的人是机长扎哈里·沙阿。他没有复诵被指派的新频率，按通话规矩这不合程序。
那是这架飞机最后一次从无线电里出声。
四分钟后，胡志明的雷达屏幕上，那个亮点没了。再过一会儿，吉隆坡和曼谷也先后丢了它。值班的管制员当时没有察觉。
马来西亚交通部公布的初步报告把时间钉得很细：最后一次二次雷达回波出现在凌晨一点二十一分十三秒，飞机已经越过 IGARI 航路点三点二海里。
报告的附属时间线在这一条底下加了一句注：飞机没有消失，消失的是雷达屏幕上的那个符号。
在他看来，那只是一次普通的管制移交。飞机早该归胡志明管了，亮点掉不掉，轮不到他盯着。
问题在于，那架飞机是靠一台机器反复对着空气报告位置，才被地面看见的。老式一次雷达把脉冲打出去、听回声，飞机不说话也能被画出来；这架飞机不说话，屏幕上就是空的。
第 2 节不需要对方答话的信号
这机器叫 ADS-B，名字里三个英文词各管一层意思。
Automatic 是自动。老式二次雷达要先从地面发问，机上的应答机才回一句；ADS-B 不问自答。
Dependent 是相关。位置不是它自己测出来的，是从卫星导航信号里取来的。卫星那头出错，它跟着错，而且它不知道。
Broadcast 是广播。它对着一整片空域说，不指定收件人。谁在听，它不关心，也无从知道。
报文很短，一百一十二位，走 1090 兆赫，每秒往外发两次左右。里面装着飞机的二十四位地址码、呼号、经纬度、气压高度与几何高度、地速、航向和升降率。
那串二十四位地址码是关键。它相当于硬件的身份证，写死在设备里，跟民航空器登记册上的机主对得上。
整套东西没有加密，没有签名，也没有握手。接收端拿到一条报文，能验的只有校验位算得对不对。
它怎么保证说话的是本人？它不保证。协议里根本没有这一栏。
收这一端便宜到什么程度：一根巴掌大的 RTL-SDR 接收机，几十美元，配一段公开的开源解码软件，就能把一座城市上空的信号全收下来。
这套设计是 1990 年代定的。当时的取舍摆在明处：要便宜、要人人能收发，就不能加密码。评估威胁时得出的结论是，蓄意利用的可能性很低。
第 3 节屋顶上多了几根天线
2006 年，斯德哥尔摩，两个航空爱好者买了几台接收机架在自家屋顶上。他们只想看清窗外飞过去的到底是哪一班。
这两个人叫米卡埃尔·罗伯特松和奥洛夫·林德贝里。第一张实时地图挂在他们的机票比价网站上，用的是下班时间。
第二年地图独立成了一个网站。2009 年他们把网络对外开放，谁有接收机，谁都能往上传数据。后来网站自己做了一批小接收机，白送给愿意在阳台、阁楼、仓库顶上架天线的人。
志愿者图什么？图上能看见自家头顶的飞机，设备自己掏钱，位置也是自己的。
2010 年冰岛埃亚菲亚德拉火山喷发，欧洲空域大面积关闭。记者盯着这张图看天空一天天变空，网站第一次被全世界注意到。
2013 年，他们加上多点定位：几座地面站同时收到同一架飞机的应答，用信号到达的时间差反推它的位置。老式应答机也能被画到图上。
2016 年，南极的 Troll 研究站上线第一台接收机，同年他们接入天基 ADS-B，把接收机装到了卫星上。
2022 年 9 月，运载伊丽莎白二世灵柩的那架飞机从苏格兰飞往伦敦。五百多万人盯着它落地，是这家网站有史以来被追得最多的一班。
到 2025 年，网络上跑着五万多台接收机，一天处理二十多万架次。网站还在 2024 年上线了一张 GPS 干扰地图，谁都能看到哪一片空域的卫星信号出了问题。
第 4 节同一个信号，两张不同的地图
同一段 1090 兆赫的广播，在不同的网站上看到的画面不一样。
美国有一套隐私程序管这件事。前身是 1990 年代末由全国公务航空协会自己办的登记资料屏蔽申请，2013 年交给交通部和联邦航空局接管。广播式监控铺开后，程序改名叫 LADD，意思是限制航空器资料展示。
流程不算复杂。机主提交申请，联邦航空局维护一份 ICAO 地址名单，发给签过数据使用协议的追踪网站。FlightAware 遵守，Flightradar24 也遵守。名单每月初更新一次，申请最好赶在当月 15 号前递交，全网生效最长要等一个月。
联邦航空局另开了第二个口子，叫隐私 ICAO 地址。符合条件的飞机可以换一个临时的地址码，它不跟机主的名字一起挂在公开登记册上。
两套程序都只管显示这一层，管不到空气里那段广播。
2016 年，亚利桑那州的丹·施特罗伊费特办了一个不筛选的网站，叫 ADS-B Exchange。他不接联邦航空局的数据源，只用志愿者架设的接收机，因此不受那份协议约束。政策就一句话：「We don't block anything.」
按他的说法，凡是拿不出法院命令的屏蔽请求，一律不办。志愿者那边的设备多半是一台树莓派加一个软件无线电，总价不到一百美元。
同一时期，佛罗里达念大学的一个年轻人杰克·斯威尼，用公开广播加公开登记册，写了个机器人账号，专门播报一架湾流 G650 的起降。
2021 年 11 月，马斯克本人找上门，出价五千美元让他关掉，说自己不喜欢被疯子开枪打中的想法。斯威尼还价五万，或者一份实习。钱没拿到，账号先被拉黑，2022 年底推特把它封了。
屏蔽做在显示这一层，信号仍旧留在空气里。把天线对准自家机场的人，不需要谁的批准，也不用签任何协议。
第 5 节他往天上放了一架假飞机
2012 年 7 月，拉斯维加斯的 Black Hat 大会上，法国 EURECOM 研究所的博士生安得烈·科斯京和奥雷利安·弗朗西永上台演示了一件事。
他们用一台 USRP 软件无线电外设，自己写了收发链路，按规范把报文拼出来，对着空气发出去。
接收机规规矩矩地把那架飞机画了出来。那架飞机不存在。
同一套设备还能干别的：把空中收到的报文原样重发一遍；或者干脆把频道灌满，让真实信号被压掉。他们拿商用接收机和爱好者手里的接收机都试过。
科斯京会后对媒体说，整套设备大约一千美元，难度算中等，真正卡人的是数字信号处理那部分知识。
为什么防不住，又该怎么分辨？报文格式是公开标准，频道是公开资源，报文里没有任何一个字段能证明发送者是谁。这个协议从设计上就没打算回答「你是谁」。
分辨的办法不在协议里，在物理世界。同一架飞机的信号会被好几座地面站收到，用到达时间差算一遍，就能得到它真实的位置。幽灵飞机没有能被动点的实体信号。
后续的测试论文把攻击门槛又压低了一档：用一台 HackRF 发射、用开源软件解码，全套设备三百美元左右。验证的那一边要摆一张能互相校时的地面网，成本回到雷达的量级。
美国联邦航空局在 2010 年发布规则，要求指定空域内的航空器从 2020 年起具备 ADS-B 发射能力。
欧洲的期限晚几个月，定在那年 6 月，因疫情推到当年 12 月。一部分机队又多得了两年半的宽限。
强制装备的另一面，是广播面从爱好者的天空扩到了整支机队。
学界的清点来得更早。马丁·施特罗迈尔、文森特·伦德斯和伊万·马蒂诺维奇在 2013 年 7 月挂出一份综述，把已知攻击逐类列出，也把可能的防御逐条列出，结论是当时没有一种能直接落地。
他们自己维护的 OpenSky 网络能说明规模：中欧十一台传感器，覆盖七十二万平方公里，抓到欧洲商业航班的三成。
第 6 节哪些已经证实，哪些还不知道
- 已证实：ADS-B 报文长度、频点、更新率与地址码字段，见国际民航组织 Doc 9871 与 RTCA DO-260B。
- 已证实：MH370 最后无线电通话 2014-03-08 01:19:30，01:20:31 越过 IGARI，01:21:13 吉隆坡与曼谷雷达同时丢目标、已越点 3.2 海里。来源为马来西亚《MH370/01/2018》安全调查报告。
- 已证实：伊丽莎白二世灵柩航班的追踪人次，见 Flightradar24 官方博客与关于页。
- 已证实：科斯京与弗朗西永的演示是 Black Hat USA 2012，一千美元的设备成本出自 SecurityWeek 会后访谈。
- 已证实：OpenSky 的 11 台传感器、72 万平方公里、约 30% 欧洲商业航班，出自 IPSN 2014 演示论文与 IEEE Communications Magazine 2014 年 5 月号。
- 已证实：LADD 取代旧的屏蔽申请程序，隐私 ICAO 地址提供临时地址码，见联邦航空局与全国公务航空协会的公开说明。
- 已证实：三百美元级的攻击方案出自后续的 ADS-B 安全测试论文，发射端用 HackRF、解码端用 dump1090。
- 仍存疑：MH370 广播中断之后飞机的去向与原因。官方 2018 年报告未给出结论，本文只用广播与雷达的时间戳，不采用任何推测航线。
- 仍存疑：马斯克的出价金额。多家媒体报道为 5000 美元，另有二手材料写作 10000 美元，未见一手截图。
- 仍存疑：ADS-B Exchange 的成立日期。同一份资料里，公司注册写作 2016-03-17，网站上线写作 2016-08-05。
- 仍存疑：「只在法院命令下屏蔽飞机」是平台自述，未见公开判例佐证。
- 仍存疑：各家商业平台实际屏蔽清单的规模从未公开，外部无法核对。
- 仍存疑：科斯京的一千美元与后续论文的三百美元口径不同，差别在软件无线电型号与是否计入接收端设备。
施特罗伊费特在 2022 年对《卫报》讲了平台的立场：「我们不解释数据，那是记者、媒体、研究者的事。但数据我们想给多少给多少。」
❖