Сігнал, па якім самалёты знаходзяць пасадачную паласу, можна падрабіць пры дапамозе рацыі за $600.
Самалёт у дэманстрацыі атакі на радыё з-за падробленых сігналаў садзіцца правей пасадачнай паласы
Практычна любое паветранае судна, якое падымалася ў паветра ў апошнія 50 гадоў - няхай гэта будзе аднаматорны самалёт «Сессна» або авіялайнер-гігант на 600 пасадачных месцаў - карысталася дапамогай радыёстанцый для бяспечнага прызямлення ў аэрапортах. Гэтыя курса-глісадныя сістэмы, КДС (англ.: ILS, instrument landing system), лічацца сістэмамі дакладнага збліжэння, паколькі, у адрозненне ад GPS і іншых навігацыйных сістэм, яны забяспечваюць жыццёва важную інфармацыю ў рэальным часе з нагоды гарызантальнай арыентацыі самалёта ў адносінах да пасадачнай. паласе і вертыкальнага кута зніжэння. У шматлікіх умовах - асабліва падчас прызямленняў у смузе або пад дажджом уначы - гэтая радыёнавігацыя застаецца галоўным спосабам гарантаваць, што самалёт кране землі ў пачатку паласы і роўна пасярэдзіне.
Як многія іншыя тэхналогіі, створаныя ў мінулым, у КДС не прадугледжвалі абарону ад узлому. Радыёсігналы не шыфруюцца, і іх аўтэнтычнасць не пацвярджаецца. Пілоты проста мяркуюць, што атрымоўваныя іх сістэмамі гукавыя сігналы на замацаванай за аэрапортам частаце - гэта сапраўдныя сігналы, якія транслююцца аператарам аэрапорта. На працягу шматлікіх гадоў такі недахоп бяспекі практычна нікога не турбаваў, у асноўным таму, што кошт і складанасць падробкі сігналаў рабіла напады бессэнсоўнымі.
Але цяпер даследчыкі распрацавалі недарагі метад узлому, які ўзнімае пытанні аб бяспецы КДС, якая выкарыстоўваецца практычна ў кожным грамадзянскім аэрапорце індустрыяльнага свету. Выкарыстоўваючы радыёстанцыю за $600 з , Даследнікі могуць падрабіць сігналы аэрапорта так, што навігацыйныя прылады пілота будуць паказваць, што самалёт збіўся з курсу. Згодна з навучаннем, пілот павінен выправіць хуткасць зніжэння або арыентацыю судна, тым самым ствараючы пагрозу здарэння.
Адна тэхналогія нападу складаецца ў тым, што падробленыя сігналы кажуць аб тым, што кут паніжэння менш, чым ёсць насамрэч. Падробленае паведамленне змяшчае т.зв. сігнал "прыняць уніз", які паведамляе пілоту аб неабходнасці павялічыць кут зніжэння, што магчыма, прывядзе да таго, што самалёт кране зямлі да пачатку пасадачнай паласы.
На відэа паказаны іншым чынам падроблены сігнал, які можа несці пагрозу самалёту, які заходзіць на пасадку. Атакуючы можа адправіць сігнал, які паведамляе пілоту, што яго самалёт знаходзіцца лявей восевай лінія пасадачнай паласы, калі на самай справе самалёт знаходзіцца сапраўды па цэнтры. Пілот зрэагуе, адводзячы самалёт направа, з-за чаго ў выніку перамесціцца ў бок.
Даследнікі з Паўночна-усходняга ўніверсітэта ў Бостане кансультаваліся з пілотам і экспертам па бяспецы, і асцярожна адзначаюць, што падобная падробка сігналаў з невялікай верагоднасцю прывядзе да аварыі ў большасці выпадкаў. Збоі ў працы КДС - вядомая пагроза бяспекі пералётаў, і вопытныя пілоты праходзяць падрабязнае навучанне таму, як на іх рэагаваць. Пілота ў яснае надвор'е будзе лёгка заўважыць, што самалёт не выраўнаваны па восевай лінія паласы, і ён зможа пайсці на другі круг.
Яшчэ адна прычына для разумнага скептыцызму - гэта складанасць выканання атакі. Акрамя праграмуемай радыёстанцыі спатрэбяцца накіраваныя антэны і ўзмацняльнік. Усё гэта абсталяванне будзе даволі цяжка ўпотай пранесці ў самалёт, калі хакер захоча правесці напад з борта самалёта. Калі ж ён вырашыць атакаваць з зямлі, спатрэбіцца вельмі шмат працы для таго, каб выраўнаваць абсталяванне з пасадачнай паласой, не прыцягваючы ўвагі. Больш за тое, аэрапорты звычайна адсочваюць наяўнасць інтэрферэнцыі на асабліва важных частотах, з-за чаго атаку, магчыма, спыняць неўзабаве пасля пачатку.
У 2012 годзе даследчык Брэд Хэйнс, вядомы пад пазыўным , у сістэме АЗН-У (аўтаматычнае залежнае назіранне-вяшчанне), якую самалёты выкарыстоўваюць для вызначэння іх месцазнаходжання і перадачы дадзеных іншым самалётам. Ён падсумаваў цяжкасці рэальнай падробкі КДС-сігналаў так:
Калі ўсё сыдзецца - месцазнаходжанне, схаванае абсталяванне, дрэнныя ўмовы надвор'я, прыдатная мэта, добра матываваны, разумны і які валодае фінансавымі магчымасцямі атакуючы - што атрымаецца? У самым горшым выпадку самалёт прызямліцца на траву, магчымыя траўмы ці смяротныя выпадкі, аднак бяспечная распрацоўка самалётаў і каманды хуткага рэагавання забяспечваюць вельмі малую верагоднасць велізарнага пажару са стратай усяго самалёта. Пры гэтым у такім выпадку пасадка будзе прыпынена, і атакавалы ўжо не зможа гэта паўтарыць. У лепшым выпадку, пілот заўважыць неадпаведнасць, выпацкае штаны, павялічыць вышыню, зойдзе на другі круг, і паведаміць, што з КДС нешта не так - аэрапорт пачне расследаванне, што азначае, што атакавалы ўжо не захоча заставацца паблізу.
Так што калі ўсё сыдзецца, то вынік будзе мінімальным. Параўнайце гэта з суадносінамі выніку да ўкладанняў і эканамічны эфект ад таго выпадку, калі адзін казёл з дронам за $1000 два дні лётаў вакол аэрапорта Хітроў. Ужо сапраўды робат быў больш эфектыўным і працоўным варыянтам, чым такі напад.
І ўсё ж, даследнікі кажуць, што рызыкі існуюць Самалёты, якія не трапляюць пры пасадцы ў глісаду - уяўную лінію, якой самалёт варта пры ідэальнай пасадцы - значна цяжэй выявіць нават у добрае надвор'е. Больш за тое, некаторыя загружаныя аэрапорты, каб пазбегнуць затрымак, паказваюць самалётам не спяшацца з сыходам на другі круг нават ва ўмовах дрэннай бачнасці. па пасадцы ад Федэральнага ўпраўлення грамадзянскай авіяцыі ЗША, якім ідуць многія аэрапорты ЗША, паказваюць, што такое рашэнне варта прымаць на вышыні за ўсё ў 15 м. Падобныя інструкцыі дзейнічаюць і ў Еўропе. Яны пакідаюць пілоту вельмі мала часу на тое, каб бяспечна перапыніць пасадку, калі візуальна навакольныя ўмовы не супадуць са звесткамі ад КДС.
"Выяўленне і аднаўленне ў выпадку адмовы любых інструментаў падчас крытычна важных пасадачных працэдур – адна з самых складаных задач сучаснай авіяцыі", – пісалі даследчыкі ў сваёй пад назвай «Бесправадныя атакі на курса-глісадныя сістэмы паветраных суднаў», прынятай на . "Улічваючы тое, наколькі моцна пілоты належаць на КДС і ў цэлым на інструменты, адмова і зламыснае ўмяшанне могуць прывесці да катастрафічных наступстваў, асабліва ў працэсе аўтаномных падлётаў і палётаў".
Што адбываецца з адмовамі КДС
Некалькі прызямленняў, якія ледзь не прывялі да катастрофы, дэманструюць небяспеку адмоваў КДС. У 2011 годзе палёт SQ327 сінгапурскіх авіяліній са 143-ма пасажырамі і 15-цю членамі каманды на борце нечакана нахіліўся налева, знаходзячыся ў 10 метрах над пасадачнай паласой у аэрапорце Мюнхена ў Германіі. Пасля пасадкі Боінг 777-300 адхіліўся налева, потым павярнуў направа, перасек восевую лінію, і спыніўся, калі шасі знаходзілася ў траве справа ад пасадачнай паласы.
В аб інцыдэнце, апублікаваны нямецкай федэральнай камісіяй па расследаванні здарэнняў з паветранымі судамі, напісана, што самалёт прамахнуўся міма пункту пасадкі на 500 м. Следчыя сказалі, што адным з віноўнікаў інцыдэнту стала скажэнне сігналаў курсавога пасадачнага радыёмаяка самалётам, які ўзлятае. Хоць аб пацярпелых не паведамлялася, гэтая падзея падкрэсліла сур'ёзнасць адмовы сістэм КДС. Сярод іншых інцыдэнтаў з адмовай КДС, якія ледзь не скончыліся трагічна, лічыцца новазеландскі рэйс NZ 60 у 2000-м і палёт кампаніі Ryanair FR3531 у 2013. На відэа тлумачыцца, што пайшло не так у апошнім выпадку.
Вайбхаб Шарма ведае справамі кампаніі з Крамянёвай даліны, якая займаецца бяспекай, па ўсім свеце, і лётае на невялікіх самалётах з 2006 года. У яго таксама ёсць ліцэнзія аператара аматарскай сувязі, і ён удзельнічае на грамадскіх пачатках у цывільным паветраным патрулі, дзе прайшоў навучанне на ратавальніка і аператара радыё. Ён кіруе самалётам у сімулятары X-Plane, дэманструючы напад з падменай сігналаў, якая прымушае самалёт прызямляцца справа ад пасадачнай паласы.
Шарма расказаў нам:
Такая атака на КДС рэалістычная, але яе эфектыўнасць будзе залежаць ад камбінацыі фактараў, у тым ліку веданне атакавалага сістэм паветранай навігацыі і ўмоў на падлёце. Калі выкарыстаць яе якая адпавядае выявай, нападаючы зможа адвесці паветранае судна ў бок перашкод, навакольных аэрапорт, і калі зрабіць гэта ва ўмовах дрэннай бачнасці, камандзе пілотаў будзе вельмі складана выявіць адхіленні і зладзіцца з імі.
Ён сказаў, што ў атак ёсць патэнцыял пагражаць як невялікім самалётам, так і вялікім рэактыўным паветраным суднам, аднак па розных прычынах. Невялікія самалёты рухаюцца з меншымі хуткасцямі. Гэта дае пілотам час на рэагаванне. У буйных рэактыўных самалётаў, з іншага боку, у камандзе больш чальцоў, здольных адрэагаваць на неспрыяльныя падзеі, пры гэтым пілоты такіх судоў звычайна навучаюцца часцей і дбайней.
Ён сказаў, што найважней для буйных і малых самалётаў будзе ацаніць навакольныя ўмовы, у прыватнасці, надвор'е, падчас пасадкі.
«Падобная атака, верагодна, будзе больш эфектыўнай, калі пілотам давядзецца ў большай ступені спадзявацца на прыборы для выканання паспяховай пасадкі, - сказаў Шарма. – Гэта могуць быць начныя прызямленні ва ўмовах дрэннай бачнасці, ці камбінацыя дрэнных умоў з загружанай паветранай прасторай, якая патрабуе ад пілотаў большай загружанасці, з-за чаго яны моцна залежаць ад аўтаматызацыі».
Аанджан Ранганатан, даследнік з Паўночна-усходняга ўніверсітэта, які дапамагаў у распрацоўцы нападу, распавёў нам, што на дапамогу GPS пры адмове КДС разлічваць амаль не прыходзіцца. Адхіленні ад пасадачнай паласы пры эфектыўным нападзе з падменай складуць ад 10 да 15 метраў, паколькі ўсё, што будзе больш, пілоты і авіядыспетчары змогуць заўважыць. GPS з вялікай працай зможа выявіць падобныя адхіленні. Другая прычына - падмяніць сігналы GPS вельмі лёгка.
«Я магу падмяніць GPS паралельна з падменай КДС, – сказаў Ранганатан. – Усё пытанне ў ступені матывацыі атакавалага».
Папярэднік КДС
Выпрабаванні КДС пачаліся , і першую працоўную сістэму разгарнулі ў 1932-м у нямецкім аэрапорце Берлін-Тэмпельхоф.
КДС застаецца адной з самых эфектыўных пасадачных сістэм. Іншыя падыходы, напрыклад, , прывадны радыёмаяк, глабальная сістэма пазіцыянавання і падобныя спадарожнікавыя сістэмы навігацыі лічацца недакладнымі, паколькі даюць толькі гарызантальную ці папярочную арыентацыю. КДС жа лічыцца дакладнай сістэмай збліжэння, паколькі дае як гарызантальную, так і вертыкальную (глісада) арыентацыю. У апошнія гады недакладныя сістэмы выкарыстоўваліся ўсё радзей. КДС усё часцей звязвалі з аўтапілотамі і аўтапасадачнымі сістэмамі.
Як працуе КДС: курсавы пасадачны радыёмаяк [localizer], нахіл глісады [glideslope] і маркерныя радыёмаякі [marker beacon]
У КДС ёсць два ключавыя кампаненты. Курсавы пасадачны радыёмаяк паведамляе пілоту, ці зрушаны самалёт налева або направа ад восевай лініі пасадачнай паласы, а нахіл глісады кажа, ці не занадта вялікі кут спуску для таго, каб самалёт не прамахнуўся міма пачатку паласы. Трэці кампанент - маркерныя радыёмаякі. Яны працуюць як вехі, якія дазваляюць пілоту вызначыць адлегласць да паласы. З гадамі іх усё гушчару замяняюць GPS і іншымі тэхналогіямі.
Курсавы пасадачны радыёмаяк выкарыстоўвае два наборы антэн, якія выпраменьваюць два розных па вышыні гуку – адзін на 90 Гц, і іншы на 150 Гц – прычым на частаце, прызначанай адной з пасадачных палос. Антэнныя рашоткі размешчаны абапал паласы, звычайна пасля кропкі ўзлёту, і так, каб гукі ўзаемна знішчаліся, калі які садзіцца самалёт размешчаны прама над восевай лініяй паласы. Індыкатар адхіленні паказвае вертыкальную лінію ў цэнтры.
Калі самалёт адхіляецца направа, гук на 150 Гц становіцца ўсё больш чутным, з-за чаго паказальнік індыкатара адхіленні рухаецца налева ад цэнтра. Калі самалёт адхіляецца лявей, чутней становіцца гук на 90 Гц, і паказальнік рухаецца направа. Курсавы пасадачны радыёмаяк, вядома, не можа цалкам замяніць візуальны кантроль становішча самалёта, ён дае ключавы і вельмі інтуітыўны сродак арыентацыі. Пілотам трэба проста ўтрымліваць паказальнік у цэнтры, каб самалёт знаходзіўся сапраўды над восевай лініяй.
Нахіл глісады працуе прыкладна таксама, толькі ён паказвае кут зніжэння самалёта адносна пачатку пасадачнай паласы. Калі кут самалёта занадта малы, чутней становіцца гук на 90 Гц, і прылады паказваюць, што самалёту трэба змяншацца. Калі спуск занадта рэзкі, сігнал на 150 Гц кажа аб тым, што самалёту трэба ўзяць вышэй. Калі самалёт застаецца на прадпісаным вугле нахілу глісады прыкладна ў тры градусы, сігналы ўзаемна знішчаюцца. Дзве глісадныя антэны размешчаны на вышцы на вызначанай вышыні, якая вызначаецца кутом нахілу глісады, прыдатным для пэўнага аэрапорта. Вышка звычайна размешчана недалёка ад зоны дотыку паласы.
Бездакорная падробка
Атака даследнікаў з Паўночна-усходняга ўніверсітэта выкарыстоўвае наяўныя ў продажы праграмныя радыёперадавальнікі. Гэтыя прылады, якія прадаюцца па $400-$600, перадаюць сігналы, якія прыкідваюцца сапраўднымі сігналамі, адпраўленымі КДС аэрапорта. Перадатчык зламысніка можа знаходзіцца як на борце атакаванага самалёта, так і на зямлі, на адлегласці да 5 км ад аэрапорта. Пакуль сігнал зламыснікаў пераўзыходзіць па магутнасці сапраўдны сігнал, прымач КДС будзе ўспрымаць сігнал атакавалага, і дэманстраваць арыентацыю адносна вертыкальнай і гарызантальнай траекторыі палёту, запланаваную зламыснікам.
Калі падмена арганізавана дрэнна, пілоту стануць бачныя раптоўныя або бязладныя змены паказанняў прыбораў, якія ён прыме за няспраўнасць КДС. Каб падробку было цяжэй распазнаць, атакавалы можа ўдакладніць дакладнае размяшчэнне самалёта. , сістэму, штосекундна якая перадае месцазнаходжанне самалёта па GPS, вышыню, хуткасць адносна зямлі, і іншыя дадзеныя на наземныя станцыі і іншыя суда.
Выкарыстоўваючы гэтую інфармацыю, атакавалы можа пачаць падмену сігналу, калі надыходзячы самалёт зрушыўся налева або направа адносна пасадачнай паласы, і адправіць яму сігнал аб тым, што самалёт ідзе роўна. Аптымальным часам для нападу будзе момант, калі самалёт толькі што прайшоў міма пуцявой кропкі, як паказана на дэманстрацыйным відэа ў пачатку артыкула.
Затым атакавалы можа ўжыць алгарытм карэкцыі і генерацыі сігналу ў рэальным часе, які будзе стала падпраўляць зламысны сігнал, каб гарантаваць, што зрушэнне адносна правільнага шляху будзе адпавядаць усім перасоўванням самалёта. Нават калі атакаваламу не хопіць навыкаў для таго, каб зрабіць бездакорны падроблены сігнал, ён зможа так заблытаць КДС, што пілот не зможа на яе належыць пры прызямленні.
Адзін варыянт падробкі сігналу вядомы, як «якая зацяняе напад». Атакуючы адпраўляе спецыяльна падрыхтаваныя сігналы з магутнасцю большай, чым сігналы перадатчыка аэрапорта. Перадатчыку зламысніка для гэтага звычайна запатрабуецца адпраўляць сігналы магутнасцю ў 20 Вт. Якія зацяняюць напады палягчаюць правядзенне пераканаўчай падмены сігналу.
Якая зацяняе атака
Другі варыянт падмены сігналу вядомы, як "аднатонная атака". Яго перавага ў тым, што можна адпраўляць гук адной частаты з магутнасцю меншай, чым у КДС аэрапорта. У яго ёсць некалькі недахопаў, напрыклад, атакаваламу неабходна дакладна ведаць спецыфіку самалёта - да прыкладу, размяшчэнне яго КГС-антэн.
Аднатонны напад
Адсутнасць лёгкіх рашэнняў
Даследнікі кажуць, што пакуль няма спосабаў ухіліць пагрозу нападаў з падменай. Альтэрнатыўныя тэхналогіі навігацыі – уключаючы ўсенакіраваны азімутальны радыёмаяк, прывадны радыёмаяк, глабальную сістэму пазіцыянавання і падобныя спадарожнікавыя сістэмы навігацыі – уяўляюць сабой бесправадныя сігналы, якія не маюць механізму аўтэнтыфікацыі, і, такім чынам, схільныя нападам падмены. Больш за тое, інфармацыю па гарызантальнай і вертыкальнай траекторыі падлёту здольныя даць толькі КДС і GPS.
У сваёй працы даследнікі пішуць:
Большасць праблем з бяспекай, з якой сутыкаюцца такія тэхналогіі, як , и , можна выправіць, укараняючы крыптаграфію. Аднак крыптаграфіі будзе недастаткова для прадухілення нападаў з лакалізацыяй. Да прыкладу, шыфроўка сігналу GPS, падобная з ваеннай тэхналогіяй навігацыі, можа прадухіліць напады з падменай да вызначанай ступені. Усё роўна зламыснік зможа перанакіроўваць GPS-сігналы з патрэбнымі яму затрымкамі па часе, і дамагчыся падмены месцазнаходжання ці часу. Натхненне можна чэрпаць з існай літаратуры па прадухіленні нападаў з падменай GPS і ствараць падобныя сістэмы на боку прымача. Альтэрнатывай можа стаць рэалізацыя шырокамаштабнай бяспечнай сістэмы лакалізацыі, якая засноўваецца на абмежаванні адлегласці і бяспечных тэхніках пацверджання збліжэння. Аднак для гэтага спатрэбіцца забяспечыць двухбаковую сувязь, і гэты варыянт патрабуе далейшага вывучэння, якое датычыцца яго маштабаванасці, магчымасці рэалізацыі і інш.
У федэральным упраўленні грамадзянскай авіяцыі ЗША паведамілі, што ў іх няма дастатковай інфармацыі наконт праведзенай даследчыкамі дэманстрацыі, каб даваць каментары.
Гэты напад і значны аб'ём праведзенага даследавання ўражваюць, але на галоўнае пытанне ў працы няма адказу - наколькі верагодна, што хто-небудзь захоча затраціць намаганні на рэалізацыю падобнай атакі на самай справе? Іншыя тыпы ўразлівасцяў, да прыкладу, якія дазваляюць хакерам выдалена ўсталёўваць шкоднасныя праграмы на кампутарах карыстачоў, ці абыходзіць папулярныя сістэмы шыфравання, лёгка манетызаваць. З атакай з падменай КДС гэта не так. У гэтую ж катэгорыю трапляюць небяспечныя для жыцця напады на кардыёстымулятары і іншыя медыцынскія прылады.
І хоць матывацыю для падобных нападаў убачыць цяжэй, было б памылкай адкідаць іх магчымасць. У , апублікаваным у траўні C4ADS, некамерцыйнай арганізацыяй, якая асвятляе праблемы глабальных канфліктаў і міждзяржаўнай бяспекі, пазначана, што Расійская федэрацыя часта займалася шырокамаштабнымі выпрабаваннямі парушэнняў працы сістэмы GPS, у выніку якіх навігацыйныя сістэмы караблёў памыляліся ў сваім месцазнаходжанні на 65 міль і больш.насамрэч у справаздачы гаворыцца аб тым, што падчас адкрыцця Крымскага маста (гэта значыць, не «часта», а ўсяго адзін раз) глабальную сістэму навігацыі збіваў перадатчык, размешчаны на гэтым мосце, і яго праца адчувалася нават каля Анапы, размешчанай у 65 км (а не мілях) ад гэтага месца. «А так усё дакладна» (з) / заўв. перав.].
"У Расійскай федэрацыі ёсць адносная перавага ў выкарыстанні і распрацоўцы магчымасцяў падману сістэм глабальнай навігацыі", – папярэджвае справаздачу. "Аднак малы кошт, даступнасць у адкрытым продажы, і прастата выкарыстання падобных тэхналогій, дае не толькі дзяржавам, але і мяцежнікам, тэрарыстам і злачынцам шырокія магчымасці па дэстабілізацыі дзяржаўных і недзяржаўных сетак".
І хоць падмена КДС здаецца эзатэрыкай у 2019-м, наўрад ці будзе такой ужо фантастычнай здагадка аб тым, што ў будучыя гады яна стане больш звыклай справай, па меры таго, як тэхналогіі нападаў будуць станавіцца больш зразумелымі, а праграмна кіраваныя радыёперадавальнікі – распаўсюджаней. Напады на КДС не абавязкова праводзіць для таго, каб выклікаць аварыі. Іх можна праводзіць для парушэння працы аэрапортаў, так, як незаконныя дроны прывялі да закрыцця аэрапорта Гатвік у Лондане ў мінулым снежні, за некалькі дзён да каляд, а праз тры тыдні — аэрапорта Хітроў.
«Грошы - гэта адна матывацыя, а дэманстрацыя сілы - іншая, - сказаў Ранганатан. - З пункту гледжання абароны гэтыя атакі вельмі крытычныя. Пра гэта трэба паклапаціцца, паколькі ў гэтым свеце знойдзецца дастаткова людзей, якія захочуць прадэманстраваць сілу».
Крыніца: habr.com