Навигационните системи, използвани от самолетите за безопасно кацане, не са сигурни и подлежат на хакерски атаки

Сигнал, по който самолетите откриват пистата за кацане, може да бъде имитиран с помощта на радиостанция за $600

Самолет в демонстрация на атака срещу радио заради фалшиви сигнали ILS каца вдясно от пистата за кацане

Практически всяко въздушно средство, излетяло в небето през последните 50 години – независимо дали е едномоторен самолет «Сесна» или гигантски пътнически самолет с 600 места – е разчитало на радиостанции за безопасно кацане в летищата. Тези системи за курс и глисера (ILS, instrument landing system) се смятат за системи за прецизно долетяване, тъй като, за разлика от GPS и други навигационни системи, те предоставят жизненоважна информация в реално време относно хоризонталната ориентация на самолета спрямо пистата и вертикалния ъгъл на спускане. В много условия – особено при приземяване в мъгла или дъжд през нощта – тази радионавигация остава основният начин да се гарантира, че самолетът ще се докосне до земята в началото на пистата и точно по средата.

Както много други технологии, създадени в миналото, ILS не предвижда защита от хакване. Радиосигналите не са криптирани и автентичността им не се потвърдена. Пилотите просто предполагат, че получените от техните системи звукови сигнали на установената за летището честота са истински сигнали, излъчвани от оператора на летището. В продължение на много години този недостиг на сигурност почти никого не е притеснявал, основно защото разходите и сложността на имитирането на сигнали правят атаките безсмислени.

Но сега изследователите разработиха евтин метод за хакване, който поставя под въпрос безопасността на ILS, използвана практически във всяко гражданско летище в индустриалния свят. Използвайки радиостанция за $600 с програмно управление, изследователите могат да имитират сигналите на летището така, че навигационните инструменти на пилота да показват, че самолетът е излязъл от курс. Според обучението, пилотът трябва да коригира скоростта на спускане или ориентацията на самолета, създавайки по този начин опасност от инцидент.

Една от атакуващите технологии се състои в това, че фалшиви сигнали твърдят, че ъгълът на спускане е по-малък, отколкото всъщност е. Фалшивото съобщение съдържа т.н. сигнал „приемане надолу“, който информира пилота да увеличи ъгъла на спускане, което може да доведе до това самолетът да се приземи преди началото на пистата.

На видеото се показва фалшив сигнал, който може да представлява заплаха за самолета, при снишаване. Атакуващият може да изпрати сигнал, който информира пилота, че самолетът му е вляво от оста на пистата, когато всъщност самолетът е точно в центъра. Пилотът ще реагира, премествяйки самолета надясно, в резултат на което той ще се отклони.

Изследователи от Североизточния университет в Бостън са се консултирали с пилот и експерт по безопасност и внимателно отбелязват, че подобна манипулация на сигналите с малка вероятност ще доведе до инцидент в повечето случаи. Неуспехите в работата на ADS-B са известна заплаха за безопасността на полетите, а опитните пилоти преминават подробно обучение за реагиране на тях. На пилота в ясни условия ще е лесно да забележи, че самолетът не е подравнен с оста на пистата, и той ще може да направи втори кръг.

Още една причина за разумен скептицизъм е сложността на извършването на атаката. Освен програмируема радиостанция, ще са необходими насочени антени и усилвател. Всичкото това оборудване ще бъде доста трудно да бъде внесено в самолета тайно, ако хакерът реши да проведе атаката от борда на самолета. Ако реши да атакува от земята, ще е необходимо много усилие, за да се подравни оборудването с пистата, без да привлича внимание. Освен това летищата обикновено следят за наличие на интерференция на особено важни честоти, поради което атаката може да бъде спряна веднага след началото.

През 2012 година изследователят Брад Хейнс, известен с позивната Renderman, разкри уязвимости в системата ADS-B (автоматично зависимо наблюдение-бродиран), която самолетите използват за определяне на своето местоположение и предаване на данни на други самолети. Той обобщи трудностите при истинското манипулиране на ADS-B сигналите така:

Ако всичко съвпадне – местоположение, скрито оборудване, лоши метеорологични условия, подходяща цел, добре мотивиран, умен и финансово способен нападател – какъв ще бъде резултатът? В най-лошия случай самолетът ще кацне на тревата, има вероятност за наранявания или смъртни случаи, но безопасното проектиране на самолети и екипите за бързо реагиране осигуряват много малка вероятност за огромен пожар и загуба на целия самолет. В такъв случай кацането ще бъде прекратено и нападателят вече няма да може да повтори това. В най-добрия случай пилотът ще забележи несъответствието, ще се изплаши, ще увеличи височината, ще осъществи втори кръг и ще съобщи, че нещо не е наред с ILS – летището ще започне разследване, което означава, че нападателят вече няма да иска да остане наблизо.

Така че, ако всичко съвпадне, крайният резултат ще бъде минимален. Сравнете това с отношението между резултата и инвестициите и икономическия ефект от случая, в който един идиот с дрон за $1000 два дни летя около летище Хитроу. Определено дронът беше по-ефективен и работещ вариант от такава атака.

И все пак, изследователите казват, че рисковете съществуват. Самолети, които не попадат при кацане в глисадата – въображаемата линия, която самолетът следва при идеално кацане – са много по-трудни за откриване дори и при добро време. Освен това, някои натоварени летища, за да избегнат закъснения, указват на самолетите да не бързат да излизат на втори кръг дори и при лоша видимост. Инструкции Според указанията по кацане от Федералната авиационна администрация на САЩ, следвани от много летища в САЩ, такова решение трябва да се взема на височина от само 15 м. Подобни инструкции важат и в Европа. Те оставят на пилота много малко време да прекрати кацането безопасно, ако визуалните условия не съвпадат с данните от ILS.

„Откритията и възстановяването при отказ на каквито и да било инструменти по време на критично важни процедури за кацане са една от най-трудните задачи в съвременната авиация“, написаха изследователите в своята работа с заглавие „Безжични атаки на системи за курсо-глисадни насочване на въздухоплавателни средства“, приета на 28-ия симпозиум по сигурността USENIX. „Като се вземе предвид колко много пилотите разчитат на GPS и изцяло на инструментите, отказ или злонамерена намеса могат да доведат до катастрофални последици, особено по време на автономни заходи и полети.“

Какво се случва при откази на GPS

Няколко приземявания, които едва не доведоха до катастрофа, показват опасността от откази на GPS. През 2011 г. полет SQ327 на Singapore Airlines с 143 пасажери и 15 членове на екипажа на борда неочаквано наклони наляво, докато беше на 10 метра над пистата в летището в Мюнхен, Германия. След приземяването Боинг 777-300 отклони наляво, след това зави надясно, премина през осевата линия и спря, когато шасито беше в тревата вдясно от пистата.

В доклад за инцидента, публикуван от германската федерална комисия за разследване на авиационни произшествия, посочва, че самолетът е пропуснал точката на приземяване с 500 м. Следователите заявиха, че един от виновниците за инцидента е изкривяване на сигналите на курсовия радиомаяк от излитащия самолет. Въпреки че не е докладвано за пострадали, това събитие подчертава сериозността на отказа на GPS системите. Сред другите инциденти с откази на GPS, които едва не завършиха трагично, е новозеландският полет NZ 60 през 2000 г. и полет на Ryanair FR3531 през 2013 г. Във видеото се обяснява какво е тръгнало погрешно в последния случай.

Вайбхаб Шарма ръководи бизнеса на компания в Силициевата долина, занимаваща се с безопасност по целия свят, и лети с малки самолети от 2006 г. Той също така притежава лиценз за оператор на аматьорска връзка и работи на доброволни начала в гражданската въздушна патрулна служба, където е обучен като спасител и оператор на радио. Той управлява самолета в симулатора X-Plane, демонстрирайки атака с подмяна на сигнали, която кара самолета да приземява вдясно от пистата.

Шарма ни разказа:

Тази атака срещу КГС е реалистична, но нейната ефективност ще зависи от комбинация от фактори, включително знанията на нападателя за системите за въздушна навигация и условията при приближаването. Ако бъде използвана правилно, нападателят може да отклони въздухоплавателното средство към препятствията около летището и, ако го направи при лоша видимост, на екипажа на пилотите ще им бъде много трудно да забележат отклоненията и да се справят с тях.

Той каза, че нападенията имат потенциал да заплашват както малки самолети, така и големи реактивни въздухоплавателни средства, но по различни причини. Малките самолети се движат с по-ниски скорости. Това дава на пилотите време за реакция. От друга страна, в екипажа на големите реактивни самолети има повече членове, способни да реагират на неблагоприятни събития, като пилотите на такива самолети обикновено се обучават по-често и по-внимателно.

Той каза, че най-важно за големите и малките самолети ще бъде оценяването на околните условия, по-специално времето, по време на кацането.

«Такава атака вероятно ще бъде по-ефективна, когато пилотите трябва да разчитат повече на инструментите за успешно кацане, — каза Шарма. — Това може да са нощни кацания при лоша видимост или комбинация от лоши условия с натоварено въздушно пространство, което изисква от пилотите повишена натовареност, поради което те значително зависят от автоматизацията».

Аанджан Ранганатан, изследовател от Североизточния университет, който е помагал в разработването на атаката, ни каза, че не бива да разчитаме много на GPS при отказ на КГС. Отклоненията от пистата при ефективна атака с подмяна ще са между 10 и 15 метра, защото всичко по-голямо от това пилотите и авиодиспетчерите ще могат да забележат. GPS с голяма трудност ще може да открие такива отклонения. Втората причина е, че подмяната на GPS сигнали е много лесна.

«Мога да подменя GPS паралелно с подмяната на КГС, — каза Ранганатан. — Целият въпрос е в степента на мотивация на нападателя».

Предшественик на КГС

Тестовете на КГС започнаха още през 1929 година, а първата работеща система беше внедрена през 1932 в германското летище Берлин-Темпелхоф.

КГС остава една от най-ефективните системи за кацане. Други подходи, например, всенаправлен азимутален радиомаяк, приводим радиомаяк, глобална система за позициониране и подобни спътникови навигационни системи се считат за неточни, тъй като дават само хоризонтална или попречна ориентация. КГС обаче се счита за точна система за сближаване, тъй като предоставя както хоризонтална, така и вертикална (глиссада) ориентация. През последните години неточните системи се използваха все по-рядко. КГС все по-често се свързва с автопилоти и системи за автоматично кацане.

Как работи КГС: курсова посадъчна радиомаяк [localizer], наклон на глиссадата [glideslope] и маркерни радиомаяци [marker beacon]

КГС има два ключови компонента. Курсова посадъчна радиомаяк информира пилота дали самолетът е отклонен наляво или надясно от оста на летищната писта, а наклонът на глиссадата показва дали ъгълът на спускане е твърде голям, за да може самолетът да не пропусне началото на пистата. Третият компонент са маркерни радиомаяци. Те функционират като вехи, позволяващи на пилота да определи разстоянието до пистата. През годините те все по-често се заменят с GPS и други технологии.

Курсова посадъчна радиомаяк използва два комплекта антени, излъчващи два различни по височина звука – един на 90 Hz и друг на 150 Hz – при честота, зададена за една от летищните писти. Антенните решетки са разположени от двете страни на пистата, обикновено зад точката на излитане, и така, че звуците взаимно да се унищожават, когато кацащият самолет е точно над осовата линия на пистата. Индикаторът на отклонение показва вертикална линия в центъра.

Ако самолетът се отклони надясно, звукът на 150 Hz става все по-силен, в резултат на което индикаторът на отклонението се движи наляво от центъра. Ако самолетът се отклони наляво, звукът на 90 Hz става по-силен и индикаторът се движи надясно. Курсова посадъчна радиомаяк, разбира се, не може напълно да замени визуалния контрол на позицията на самолета; той предоставя ключово и много интуитивно средство за ориентация. Пилотите просто трябва да задържат индикатора в центъра, за да е самолетът точно над осовата линия.

Наклонът на глисадата работи по подобен начин, само че показва ъгъла на снижение на самолета спрямо началото на пистата за кацане. Когато ъгълът на самолета е твърде малък, звукът на 90 Hz става по-ясен и инструментите показват, че самолетът трябва да започне да снижава. Когато спускът е твърде стръмен, сигналът на 150 Hz указва, че самолетът трябва да се повиши. Когато самолетът остава на предписания ъгъл на наклона на глисадата, около три градуса, сигналите взаимно се унищожават. Две глисадни антени са разположени на кула на определена височина, определяна от ъгъла на наклона на глисадата, подходящ за конкретното летище. Кулата обикновено е разположена близо до зоната на допир на пистата.

Безупречна подправка

Атаката на изследователи от Североизточния университет използва налични търговски радиопредаватели. Тези устройства, продавани на цена между $400 и $600, предават сигнали, които имитират истинските сигнали, изпратени от КГС на летището. Предавателят на нападателя може да се намира както на борда на атакувания самолет, така и на земята, на разстояние до 5 км от летището. Докато сигналът на нападателя преобладава по мощност над истинския сигнал, приемникът на КГС ще възприема сигнала на нападателя и ще показва ориентацията спрямо вертикалната и хоризонталната траектория на полета, планирана от нападателя.

Ако подмяната е организирана некачествено, пилотът ще види внезапни или хаотични промени в показанията на уредите, които ще приеме за повреда на КГС. За да бъде по-трудно разпознаването на фалшификацията, нападателят може да уточни точното местоположение на самолета, използвайки АЗН-В, система, която всяка секунда предава местоположението на самолета чрез GPS, височина, скорост спрямо земята и други данни на наземни станции и други летателни средства.

Използвайки тази информация, нападателят може да започне подмяната на сигнала, когато приближаващият се самолет се отклони наляво или надясно спрямо пистата за кацане, и да изпрати сигнал, че самолетът лети права линия. Оптималното време за атака би било моментът, когато самолетът току-що е преминал покрай точката за навигация, както е показано в демонстрационното видео в началото на статията.

След това атакуващият може да приложи алгоритъм за корекция и генериране на сигнал в реално време, който постоянно ще коригира злонамерения сигнал, за да гарантира, че отклонението от правилния маршрут ще отговаря на всички маневри на самолета. Дори ако атакуващият не разполага с уменията да създаде безупречен фалшив сигнал, той може да обърка КГС до такава степен, че пилотът да не може да разчита на него при приземяване.

Един вариант на подправяне на сигнала е известен като "засенчваща атака". Атакуващият изпраща специално подготвени сигнали с мощност, по-голяма от сигналите на предавателя на летището. Обикновено на атакуващия му е необходимо да изпраща сигнали с мощност от 20 W. Засенчващите атаки улесняват извършването на убедителна подмяна на сигнала.

Засенчваща атака

Вторият вариант на подмяна на сигнала е известен като "еднотонна атака". Неговото предимство е, че може да се изпраща звук с една честота с мощност, по-малка от тази на КГС на летището. Има обаче няколко недостатъка, например атакуващият трябва точно да знае спецификата на самолета – например, разположението на неговите КГС-антени.

Еднотонна атака

Липса на лесни решения

Изследователите твърдят, че в момента няма начини за елиминиране на заплахата от атаки с подмяна. Алтернативните технологии за навигация – включително всенаправлени азимутални радиомаяци, приводни радиомаяци, глобална система за позициониране и подобни спътникови навигационни системи – представляват безжични сигнали, които нямат механизъм за аутентификация и следователно са подложени на атаки за подмяна. Освен това информация за хоризонталната и вертикалната траектория на приближаването могат да предоставят само КГС и GPS.

В работата си изследователите пишат:

Повечето проблеми със сигурността, с които се сблъскват технологии като АЗН-В, ACARS и TCAS, може да се коригира, като се внедри криптография. Въпреки това, криптографията сама по себе си няма да е достатъчна за предотвратяване на атаки с локализация. Например, шифроването на GPS сигнала, подобно на военната навигационна технология, може да предотврати атаки с подмяна до известна степен. Все пак, злонамереният актьор може да пренасочва GPS сигналите с желаните времеви закъснения и да постигне подмяна на местоположението или времето. Вдъхновение може да се черпи от съществуващата литература за предотвратяване на атаки с подмяна на GPS и да се разработят подобни системи от страна на приемника. Алтернатива може да бъде реализирането на мащабна безопасна система за локализация, основана на ограничения на разстоянието и безопасни техники за потвърждаване на близост. Въпреки това, за това е необходимо да се осигури двустранна комуникация, а този вариант изисква допълнителни изследвания относно неговата мащабируемост, осъществимост и други.

В федералната администрация на гражданската авиация на САЩ съобщават, че нямат достатъчно информация относно демонстрацията, проведена от изследователите, за да изкажат коментар.

Тази атака и значителният обем изследвания са впечатляващи, но на основния въпрос в работата няма отговор – колко вероятно е някой да пожелае да вложи усилия за реализация на подобна атака наистина? Други типове уязвимости, например, позволяващи на хакерите да инсталират злонамерен софтуер на компютрите на потребителите отдалечно или да заобиколят популярни системи за криптиране, лесно могат да бъдат монетизирани. С атаките с подмяна на GPS не е така. В тази категория попадат и опасни за живота атаки на кардиостимулатори и други медицински устройства.

И макар мотивацията за подобни атаки да е по-трудно видима, би било грешка да се отрича тяхната възможност. В доклад, публикувано през май от C4ADS, неправителствена организация, която се фокусира върху проблемите на глобалните конфликти и междудържавната сигурност, се посочва, че Руската федерация често е провеждала мащабни тестове за нарушения в работата на GPS системата, в резултат на което навигационните системи на корабите се заблуждавали относно местоположението си с 65 мили и повече [Наистина в доклада се посочва, че по време на откриването на Кримския мост (тоест, не "често", а само веднъж) глобалната навигационна система е била нарушена от предавател, разположен на този мост, а неговата работа е била усетена дори близо до Анапа, разположена на 65 км (а не мили) от това място. "А така всичко е вярно" (бележка на преводача).].

«Руската федерация има относително предимство в използването и разработването на технологии за измама на глобалните навигационни системи», предупреждава докладът. «Въпреки това, ниската цена, наличността в открита продажба и простотата на използването на подобни технологии предоставят не само на държавите, но и на бунтовници, терористи и престъпници широки възможности за дестабилизиране на държавни и недържавни мрежи».

И макар че подмяната на ГНСС изглежда е зодия през 2019 година, е малко вероятно да звучи фантастично, ако направим предположение, че в предстоящите години тя ще стане по-често срещано явление, тъй като технологиите за атака ще стават по-разбираеми, а софтуерно управляемите радиопредаватели – по-разпространени. Атаките върху ГНСС не е задължително да се извършват, за да предизвикат аварии. Те могат да бъдат проведени за нарушаване на работата на летища, както незаконни дронове доведоха до затварянето на летището Гатуик в Лондон миналия декември, само няколко дни преди Коледа, а три седмици по-късно – на летище Хийтроу.

«Парите са една мотивация, а демонстрацията на сила – друга», каза Ранганатан. – «От гледна точка на сигурността тези атаки са доста критични. Нужно е да се грижим за това, защото в този свят ще има достатъчно хора, които ще искат да демонстрират сила».

Източник: habr.com