Анонімізація БпЛА DJI: Remote ID, «канадка», прошивка 1001

Серійний дрон DJI одразу після ввімкнення починає передавати в радіоефір службовий пакет із координатами борта, точки зльоту та пульта керування. Вимкнути цю передачу через налаштування неможливо — вона вбудована в протокол зв'язку. Анонімізація — це набір методів, які підміняють, обмежують або блокують ці дані, щоб противник не міг прив'язати політ до реального місця розташування розрахунку.

Звідки взявся Remote ID

Вимога віддаленої ідентифікації безпілотників сформувалася в цивільній авіаційній регуляторці. У квітні 2019 року EASA ввело вимоги Direct Remote Identification у масштабі ЄС. У грудні 2019 FAA опублікувала NPRM — формальну пропозицію правил для громадського обговорення, а 15 січня 2021 року Remote ID став офіційним нормативним документом FAA.

Практичний наслідок для виробників: кожен комерційний дрон після ввімкнення зобов'язаний передавати ідентифікаційне повідомлення, яке користувач не може відключити. Пілоти проходять реєстрацію апаратів вагою понад 250 г, в окремих країнах ЄС додатково сплачується щорічний збір і потрібне навчання для отримання дозволу.

Задум був цивільний: ідентифікація в повітряному просторі, контроль польотів у зонах обмежень, ситуаційна обізнаність диспетчерських служб, розбір інцидентів. На фронті та сама функція перетворилася на канал витоку.

DJI пішла попереду регуляторів. Власну систему ідентифікації компанія реалізувала ще у 2017 році — задовго до обов'язкових стандартів. AeroScope не є стандартом ASTM чи EN, це закрита екосистема під власні протоколи DJI. Тобто виробник зробив дрони й одночасно зробив систему, яка бачить саме його дрони.

Що саме передається

У складі ідентифікаційних повідомлень DJI (як і Autel) передає:

• унікальний ідентифікатор борта;
• поточні GPS-координати дрона;
• висоту, швидкість, курс;
• статус польоту;
• координати точки зльоту (Home Point);
• координати пульта оператора;
• тип і модель БпЛА;
• часові мітки та службові прапори стану системи.

Залежно від моделі й режиму частина даних може не передаватися, але в більшості випадків передається все.

Роками існувало переконання, що ці дані зашифровані й доступні лише правоохоронцям. Дослідники з Ruhr-Universität Bochum і CISPA у роботі, представленій на NDSS 2023, реверс-інжинірили прошивку та фізичний рівень протоколу OcuSync і побудували повний ланцюжок прийому, демодуляції та декодування пакетів DroneID. Висновок однозначний: дані не зашифровані, координати пілота й борта зчитуються відносно простими засобами. Приймач вони зібрали на стандартному SDR — не тільки на дорогому Ettus, а й на значно дешевшому HackRF. Раніше, у 2022 році, DJI підтвердила виданню The Verge, що передача насправді не шифрувалася, після демонстрації Кевіна Фіністерра.

Це ключовий момент для розуміння всієї теми. Загроза не зводиться до наявності в противника фірмового приймача AeroScope. Протокол відкритий для будь-кого, хто має SDR і софт.

AeroScope як інструмент

AeroScope — пасивна система радіомоніторингу, яка приймає, демодулює й декодує службові радіоповідомлення дронів DJI. Вона не встановлює з'єднання з бортом, не передає команд і не втручається в канал керування, працює виключно на прийом.

Стаціонарний блок за ідеальних умов моніторить радіус до 50 км і отримує ключову інформацію з дрона за 2 секунди. Портативна версія G8 розгортається на радіус близько 30 км.

Як це виглядало на практиці для українських розрахунків. У березні 2022 року віцепрем'єр Михайло Федоров публічно звернувся до DJI із заявою, що комплекси AeroScope використовуються для наведення на українських операторів. Представник «Аеророзвідки» підтвердив RFE/RL, що приклади ураження й загибелі пілотів існують. Речник підрозділу повітряної розвідки «Карлсон» описував C4ISRNET цикл ураження: п'ять-шість хвилин від виявлення до початку роботи артилерії або РСЗВ. У квітні 2022 DJI призупинила продажі в Україні, а в березні 2023 припинила виробництво й продаж самого AeroScope — портативну версію зняли ще в серпні 2022.

Припинення випуску мало що змінило. Наявні комплекси працюють, а декодування DroneID більше не потребує фірмового заліза.

Чому не можна просто вимкнути GPS

Тут працює конструктивне обмеження DJI. Якщо після ввімкнення дрон не отримав координати й не зафіксував Home Point, він іде в аварійний режим із жорстким обмеженням дальності та висоти — у різних моделей це 30–50 метрів. Тобто просто заглушити GPS означає позбавити себе польоту.

Home Point потрібен ще й для визначення регіону роботи радіоканалу. Стандарти FCC (США) і CE (Європа) задають різні межі потужності передачі в dBm, і FCC дозволяє більшу потужність та роботу на 5,8 ГГц, тоді як у більшості країн ЄС для БпЛА доступний лише діапазон 2,4 ГГц. Прив'язка координат до потрібної локації відкриває режим із вищою потужністю та кращою дальністю зв'язку.

Звідси базовий принцип усіх методів анонімізації: якщо передачу координат вимкнути не можна, треба підмінити вихідну точку, від якої дрон рахує все інше. Борт відбиває Home Point у зміщених координатах і далі передає в ефір усе те саме, але зі зсувом.

«Канадка»

Перше масове рішення, розроблене в Україні під потреби фронту. Між GPS-модулем дрона й материнською платою встановлюється додаткова невелика плата, яка на етапі ввімкнення підсовує борту потрібні координати замість реальних супутникових. Назва пішла від локації зсуву; існують варіації з іншими назвами — «монголка», «австралійка», «болотка» — і різні виконання: на чипах, на шлейфах, на Arduino. Єдиного стандарту немає, кожна майстерня тримає власну реалізацію, і це прямо впливає на якість.

Класична «канадка» має два режими: повне апаратне відключення GPS і зсув координат.

За оцінкою ЦПД «Боривітер», правильно виконана «канадка» дає анонімний режим із повним відключенням GNSS-навігації, що виключає GPS-спуфінг, дозволяє зліт без супутників і піднімає стелю до 1500 м. Зсув при цьому робиться в локацію, де на тисячі кілометрів немає зон заборони польотів, тож борт не потрапляє під обмеження NFZ.

Мінуси організаційні: потрібне фізичне розбирання дрона, робота тільки в майстерні, черги, пересилання бортів поштою. Вартість у різних виконавців коливається від безкоштовної до 50–150 доларів за борт. Для підрозділу це означає, що борт вибуває з роботи на час логістики.

Паралельно українські інженери працювали над схожими за задачею апаратними рішеннями. Голова ГО «Всеукраїнська Федерація підтримки та розвитку БПЛА» Дмитро Гнап описував розробку чипа «Телепорт», який працює за принципом, близьким до «канадки», підміняючи реальні координати на зміщені, але з акцентом на антиспуфінг і збереження роботи GPS. Заявлена перевага — політ із увімкненою навігацією, що дає стабільніше утримання борта.

«Прищепка» і чому від неї відмовились

Метод з'явився навесні 2023 року. Зсув реалізується через конфігураційний файл GNSS-модуля, без впаювання плати, і саме простота встановлення забезпечила йому швидке поширення.

ЦПД «Боривітер» у звіті LL-319 прямо називає його технологічно застарілим і вкрай небезпечним для операторів. Порівняння в звіті:

• «Канадка»: повне відключення GPS, зліт без супутників, стеля 1500 м.
• «Прищепка»: вразлива до спуфінгу, потребує GPS, стеля 500 м.

Рекомендація сформульована жорстко: відмовитися від «прищепки», використовувати «канадку» та фізично вилучати GPS-модулі.

Прошивка 1001

Назва походить від часу, коли на «мавіках» третьої серії з'явилася стокова оновлена прошивка під номером 1000.

Функціонально 1001 дозволяє з пульта відправити борту команду, яка вимикає GPS-модуль, причому дрон показує нуль супутників білим кольором і не сприймає це як помилку. Модуль так само швидко вмикається назад. Крім цього прошивка автоматично відбиває Home Point при ввімкненні, знімає обмеження висоти й дальності (критично для третьої серії), а при втраті зв'язку з пультом піднімає борт на задану висоту 500 або 1000 м, щоб вийти із зони дії РЕБ і збільшити шанс відновити керування.

Прошивка потрапила до українських фахівців із трофейним дроном. Сергій Флеш описував подальшу роботу так: спершу він публічно радив не поспішати ставити її на українські борти, поки не буде підтверджена безпека; згодом велика група волонтерів-програмістів перевірила код повторно й переписала більшу частину, а питання загроз він окремо обговорював із ключовим розробником. Українські версії — 34, 36, 37, перевіряються командою version, на команду about борт відповідає «Slava Ukraini».

Практична перевага української версії — безкоштовність і можливість встановлення на місцях. Флеш прямо радив шукати людину у своєму ОТУ, яка допоможе з установкою.

Обмеження, які вказує той самий автор:

1. Прошивка ставиться не на всі моделі DJI, тому «канадка» залишається актуальною для частини бортів.
2. Деякі режими можуть увімкнути спуф-вразливість — інструкцію треба читати уважно.
3. Оскільки 1001 повністю відключає GPS, підвіс може не витримувати сильні пориви вітру, і картинка починає смикатися.

Хронологія впровадження прив'язана до фронту. Перші «канадки» на третю серію робили влітку 2023 під Бахмут, під Enterprise-версії 3T/3E їх довели ближче до осені, у листопаді 2023 з'явилася 1001, масове поширення почалося на початку 2024. Тоді ж склалася система розподілу через «коробочки» з прошивкою під координацією одного з відомих благодійних фондів, який фактично вирішував, кому надавати можливість прошивати борти. Після виходу 1001 під 3T/3E попит на «канадки» різко впав: прошивка не вимагала розбирання борта, ставилася швидко й безкоштовно, і майстерні на певний час залишилися без цього напряму роботи.

Головна вразливість: спуфінг

Це той пункт, який найчастіше недооцінюють.

Архітектура рішень типу «канадки» не вимикає GPS-модуль дрона на сто відсотків і не дозволяє випаяти GPS-антену. Модуль продовжує працювати. За достатньо потужного сигналу борт здатен прийняти реальні або підмінені координати.

Цифри пояснюють, чому це працює. Рівень сигналу від реальних супутників GPS коливається близько −130…−120 dBm, тобто фактично на рівні шуму. При потужному спуфінгу рівень може перевищувати 0 dBm залежно від відстані до джерела, а з урахуванням особливостей навігаційних діапазонів це десятки кілометрів.

За спостереженнями українських майстерень, у 2026 році почастішали втрати бортів із «канадкою», причому в тилових районах, де оператор такого не очікує. Симптоматика при цьому нетипова: розрахунок не розпізнає її як спуфінг і списує втрату на відмову двигунів, ESC, обмерзання чи програмну помилку.

Практичний висновок звідси такий самий, як у рекомендації «Боривітера»: анонімізація зі зсувом координат і анонімізація з фізичним вилученням GPS — це різні рівні захисту.

Четверта та п'ята серії

DJI постійно змінює конструкцію, і рішення для третьої серії на нову не переносяться.

У третій серії GPS-модуль можна було без проблем переставляти з одного борта на інший, і все працювало. У четвертій цей прийом не проходить — потрібна перепрошивка. Про прошивку рівня 1001 для четвертої серії говорити складно: технічно це майже неможливо без участі виробника.

Поточний стан:

• Matrice 4 — рішення типу «канадка» з дефектами, які залежать від майстерні. Перенесення почалося після презентації борта 8 січня 2025, у травні перші апарати пішли працювати.
• Mavic 4 Pro — теж «аля канадка», яку робить обмежена кількість майстерень, із тими самими зауваженнями.
• П'ята серія — військовими не використовується.

Третя серія на ринку представлена фактично лише моделлю 3TA; решту нових бортів у кількості знайти майже неможливо. Це означає, що підрозділи поступово переходять на техніку, для якої найкраще відпрацьоване рішення (1001) недоступне.

Окремо варто зазначити: у Autel ситуація простіша, там передачу можна вимкнути через прошивки для військових, зокрема Overlord.

Що анонімізація не вирішує

Підміна координат прибирає прив'язку до карти, але не прибирає сам факт випромінювання. Якщо комплекс радіомоніторингу зафіксував борт, можна впевнено стверджувати, що дрон перебуває в зоні дії антен — залежно від модифікації це від 1 до 25 км. Це вже пеленгаційне завдання, і воно вирішується іншими засобами.

Друге: анонімізація не є заміною радіодисципліни, зміни позицій та рознесення точки зльоту з місцем розташування розрахунку.

Третє: облік. У профільному середовищі звучить вимога вести контроль прошивок кожного борта, визначати відповідальних осіб і припинити практику купівлі дронів для підрозділів через відкриті майданчики оголошень. Борт із невідомою прошивкою невідомого походження — це відкрите питання щодо того, куди насправді йдуть його дані. Історія самої 1001 показує, чому це не формальність: код перевіряли й переписували перед тим, як допустити до масового використання.

Зведення

Практичні орієнтири

Третя серія DJI. Базовий варіант — 1001, якщо модель підтримується. Для решти бортів — «канадка». Комбінація «канадка плюс фізичне вилучення GPS-модуля» дає найвищий рівень захисту від спуфінгу.

Четверта серія. Вибору фактично немає: «канадка» у виконанні конкретної майстерні, з розумінням, що якість реалізації різниться і GPS-модуль лишається активним. Це означає підвищений ризик втрати борта при роботі проти сучасних засобів спуфінгу.

«Прищепка». Не використовувати. Рекомендація профільного центру недвозначна.

Незалежно від методу. Анонімізований борт усе одно видно як факт випромінювання в радіусі роботи приймача. Зсув координат виграє час і ускладнює наведення, але не робить розрахунок невидимим.