Радионавигационните системи, използвани от самолетите за безопасно кацане, са несигурни и податливи на хакване.

Сигналът, който самолетите използват, за да намерят писта за кацане, може да бъде фалшифициран с уоки-токи за $600.

Самолет, демонстриращ атака по радиото поради фалшиви сигнали. KGS каца вдясно от пистата

Почти всеки самолет, който е летял през последните 50 години - било то Cessna с един двигател или джъмбо джет с 600 места - е разчитал на радиостанции, за да кацне безопасно на летищата. Тези системи за кацане по прибори (ILS) се считат за системи за прецизен подход, тъй като, за разлика от GPS и други навигационни системи, те предоставят жизненоважна информация в реално време за хоризонталната ориентация на самолета спрямо позицията му за кацане, ивица и вертикален ъгъл на снижаване. При много условия - особено при кацане в мъгла или дъжд през нощта - тази радионавигация остава основният начин да се гарантира, че самолетът ще кацне в началото на пистата и точно в средата.

Подобно на много други технологии, създадени в миналото, KGS не осигурява защита срещу хакване. Радиосигналите не са криптирани и тяхната автентичност не може да бъде проверена. Пилотите просто приемат, че аудио сигналите, които техните системи получават на определената честота на летището, са реални сигнали, излъчвани от оператора на летището. В продължение на много години този пропуск в сигурността остава незабелязан, до голяма степен защото цената и трудността на фалшифицирането на сигнала правят атаките безсмислени.

Но сега изследователите са разработили евтин метод за хакване, който повдига въпроси относно сигурността на CGS, използван на почти всяко гражданско летище в индустриалния свят. Използване на радио за $600 програмно контролиран, изследователите могат да подправят летищните сигнали, така че навигационните инструменти на пилота да показват, че самолетът е извън курса. Според обучението пилотът трябва да коригира скоростта на снижаване или позицията на плавателния съд, като по този начин създава риск от инцидент.

Една техника за атака е да се фалшифицират сигнали, че ъгълът на падане е по-малък, отколкото е в действителност. Подправеното съобщение съдържа т.нар Сигнал за „сваляне“, информиращ пилота да увеличи ъгъла на снижаване, което вероятно води до докосване на самолета преди началото на пистата.

Видеото показва иначе манипулиран сигнал, който може да представлява заплаха за пристигащ за кацане самолет. Нападателят може да изпрати сигнал, казвайки на пилота, че неговият самолет е вляво от централната линия на пистата, когато всъщност самолетът е точно центриран. Пилотът ще реагира, като издърпа самолета надясно, което в крайна сметка ще го накара да се отнесе настрани.

Изследователи от Североизточния университет в Бостън се консултираха с пилот и експерт по безопасността и внимават да отбележат, че подобно подправяне на сигнала е малко вероятно да доведе до катастрофа в повечето случаи. Неизправностите в CGS са известен риск за безопасността и опитни пилоти получават обширно обучение как да реагират на тях. При ясно време за пилота ще бъде лесно да забележи, че самолетът не е подравнен с централната линия на пистата и той ще може да заобиколи.

Друга причина за основателен скептицизъм е трудността при извършване на атаката. В допълнение към програмируема радиостанция ще са необходими насочени антени и усилвател. Цялото това оборудване би било доста трудно да се пренесе контрабандно в самолет, ако хакер иска да започне атака от самолета. Ако реши да атакува от земята, ще трябва много работа, за да подреди оборудването с пистата, без да привлича внимание. Освен това летищата обикновено наблюдават за смущения на чувствителни честоти, което може да означава, че атаката е спряна скоро след началото.

През 2012 г. изследователят Брад Хейнс, известен като Renderman, открити уязвимости в системата ADS-B (Automatic Dependent Surveillance-Broadcast), която самолетите използват, за да определят местоположението си и да предават данни на други самолети. Той обобщи трудностите при действителното подправяне на CGS сигнали, както следва:

Ако всичко се събере - местоположение, скрито оборудване, лоши метеорологични условия, подходяща цел, добре мотивиран, умен и финансово овластен нападател - какво се случва? В най-лошия случай самолетът се приземява на тревата и е възможно нараняване или смърт, но безопасният дизайн на самолета и екипите за бързо реагиране гарантират, че има много малък шанс за огромен пожар, който да доведе до загуба на целия самолет. В такъв случай кацането ще бъде спряно и нападателят вече няма да може да повтори това. В най-добрия случай пилотът ще забележи несъответствието, ще изцапа панталоните си, ще увеличи височината, ще заобиколи и ще съобщи, че нещо не е наред с CGS - летището ще започне разследване, което означава, че нападателят вече няма да иска да останете наблизо.

Така че, ако всичко се съчетае, резултатът ще бъде минимален. Сравнете това със съотношението възвръщаемост към инвестиция и икономическото въздействие на един идиот с дрон за $1000, който лети около летище Хийтроу в продължение на два дни. Със сигурност дрон беше по-ефективен и работещ вариант от подобна атака.

Все пак изследователите казват, че съществуват рискове Самолети, които не кацат в рамките на глисадата - въображаемата линия, която самолетът следва по време на перфектно кацане - са много по-трудни за откриване, дори при хубаво време. Нещо повече, някои натоварени летища, за да избегнат закъснения, инструктират самолетите да не бързат в пропуснат подход дори при условия на лоша видимост. инструкции насоките за кацане от Федералната авиационна администрация на САЩ, които много американски летища следват, показват, че такова решение трябва да се вземе на надморска височина от само 15 м. Подобни инструкции се прилагат в Европа. Те оставят на пилота много малко време за безопасно прекратяване на кацането, ако визуалните околни условия не съвпадат с данните от CGS.

„Откриването и възстановяването от повреда на инструмента по време на критични процедури за кацане е една от най-предизвикателните задачи в съвременната авиация“, пишат изследователите в своята статия. работа озаглавен „Безжични атаки срещу системи за плъзгане на самолети“, приет на 28-ми симпозиум по сигурността на USENIX. „Като се има предвид колко много пилотите разчитат на CGS и инструментите като цяло, повредата и злонамерената намеса могат да имат катастрофални последици, особено по време на автономен подход и полетни операции.“

Какво се случва с отказите на KGS

Няколко почти бедствени кацания демонстрират опасностите от отказите на CGS. През 2011 г. полет SQ327 на Singapore Airlines със 143 пътници и 15 души екипаж на борда внезапно се наклони наляво на 10 метра над пистата на летище Мюнхен в Германия. След като се приземи, Боинг 777-300 се отклони наляво, след това зави надясно, пресече централната линия и спря с колесника в тревата вдясно от пистата.

В доклад за инцидента, публикуван от Германската федерална комисия за разследване на авиационни произшествия, се казва, че самолетът е пропуснал точката на кацане с 500 м. Разследващите казаха, че една от виновниците за инцидента е изкривяването на сигналите на маяка за кацане на локализатора от вземането извън самолета. Въпреки че няма съобщения за жертви, събитието подчерта сериозността на повредата на CGS системите. Други инциденти, включващи повреда на CGS, които почти завършиха трагично, включват полет NZ 60 от Нова Зеландия през 2000 г. и полет FR3531 на Ryanair през 2013 г. Видеото обяснява какво се е объркало във втория случай.

Vaibhab Sharma ръководи глобалните операции на компанията за сигурност в Силиконовата долина и управлява малки самолети от 2006 г. Освен това има лиценз за любителски комуникационен оператор и е доброволец в Гражданския въздушен патрул, където е обучен за спасител и радист. Той управлява самолет в симулатора X-Plane, демонстрирайки атака за подправяне на сигнала, която кара самолета да кацне вдясно от пистата.

Шарма ни каза:

Такава атака срещу CGS е реалистична, но нейната ефективност ще зависи от комбинация от фактори, включително познанията на нападателя за аеронавигационните системи и условията при подход. Ако се използва правилно, нападателят ще може да отклони самолета към препятствията около летището, а ако се направи при условия на лоша видимост, ще бъде много трудно за пилотния екип да открие и да се справи с отклоненията.

Той каза, че атаките имат потенциал да застрашат както малки самолети, така и големи самолети, но по различни причини. Малките самолети пътуват с по-ниски скорости. Това дава време на пилотите да реагират. Големите самолети, от друга страна, разполагат с повече членове на екипажа, за да реагират на неблагоприятни събития, а техните пилоти обикновено получават по-често и строго обучение.

Той каза, че най-важното нещо за големи и малки самолети ще бъде оценката на заобикалящите ги условия, особено времето, по време на кацане.

„Атака като тази вероятно ще бъде по-ефективна, когато пилотите трябва да разчитат повече на инструментите, за да направят успешно кацане“, каза Шарма. „Това може да са нощни кацания при условия на лоша видимост или комбинация от лоши условия и претоварено въздушно пространство, което изисква пилотите да бъдат по-заети, оставяйки ги силно зависими от автоматизацията.“

Аанджан Ранганатан, изследовател в Североизточния университет, който помогна за разработването на атаката, ни каза, че няма какво да разчитате на GPS, за да ви помогне, ако CGS се провали. Отклоненията от пистата при ефективна измамна атака ще варират от 10 до 15 метра, тъй като всичко по-голямо ще бъде видимо за пилотите и ръководителите на полети. GPS ще има голяма трудност при откриването на такива отклонения. Втората причина е, че е много лесно да се подправят GPS сигнали.

„Мога да подправя GPS успоредно с подправянето на CGS“, каза Ранганатан. „Целият въпрос е в степента на мотивация на нападателя.“

Предшественик на KGS

Тестовете на KGS започнаха още през 1929 г, а първата работеща система е внедрена през 1932 г. на германското летище Берлин-Темпелхоф.

KGS остава една от най-ефективните системи за кацане. Други подходи, напр. всепосочен азимутален маяк, локатор, система за глобално позициониране и подобни сателитни навигационни системи се считат за неточни, защото осигуряват само хоризонтална или странична ориентация. KGS се счита за точна система за рандеву, тъй като осигурява както хоризонтална, така и вертикална (глисада) ориентация. През последните години все по-рядко се използват неточни системи. CGS все повече се свързваше с автопилоти и системи за автоматично кацане.

Как работи CGS: локализатор [localizer], плъзгане [glideslope] и маркерни маяци [marker beacon]

CGS има два ключови компонента. Локализаторът казва на пилота дали самолетът е изместен наляво или надясно от осевата линия на пистата, а наклонът на плъзгане казва на пилота дали ъгълът на снижаване е твърде висок, за да може самолетът да пропусне началото на пистата. Третият компонент са маркерни маяци. Те действат като маркери, които позволяват на пилота да определи разстоянието до пистата. През годините те все повече се заменят от GPS и други технологии.

Локализаторът използва два комплекта антени, излъчващи две различни височини на звука - едната при 90 Hz, а другата при 150 Hz - и на честота, определена за една от пистите за кацане. Антенните решетки са разположени от двете страни на пистата, обикновено след точката на излитане, така че звуците да се отменят, когато кацащият самолет е разположен точно над централната линия на пистата. Индикаторът за отклонение показва вертикална линия в центъра.

Ако самолетът се отклони надясно, звукът от 150 Hz става все по-чуваем, карайки показалеца на индикатора за отклонение да се премести наляво от центъра. Ако самолетът се отклони наляво, звукът от 90 Hz започва да се чува и показалецът се премества надясно. Локализаторът, разбира се, не може напълно да замени визуалния контрол на позицията на самолета; той осигурява ключово и много интуитивно средство за ориентация. Пилотите просто трябва да държат показалеца центриран, за да поддържат самолета точно над централната линия.

Наклонът на плъзгане работи почти по същия начин, само че показва ъгъла на снижаване на самолета спрямо началото на пистата за кацане. Когато ъгълът на самолета е твърде нисък, звукът от 90 Hz става чут и инструментите показват, че самолетът трябва да се снижи. Когато спускането е твърде рязко, сигнал от 150 Hz показва, че самолетът трябва да лети по-високо. Когато самолетът остане под предписания ъгъл на глисадата от приблизително три градуса, сигналите се отменят. Две глисадни антени са разположени на кулата на определена височина, определена от ъгъла на глисадата, подходящ за конкретно летище. Кулата обикновено се намира близо до зоната, докосваща лентата.

Перфектен фалшификат

Атаката на изследователите от Североизточния университет използва налични в търговската мрежа софтуерни радиопредаватели. Тези устройства, продавани за $400-$600, предават сигнали, които се представят за истински сигнали, изпратени от SSC на летището. Предавателят на нападателя може да се намира както на борда на атакувания самолет, така и на земята, на разстояние до 5 км от летището. Докато сигналът на нападателя надвишава мощността на реалния сигнал, KGS приемникът ще възприема сигнала на нападателя и ще демонстрира ориентацията спрямо вертикалната и хоризонталната траектория на полета, планирана от нападателя.

Ако подмяната е лошо организирана, пилотът ще види внезапни или хаотични промени в показанията на инструментите, които ще сбърка с неизправност на CGS. За да направи фалшификата по-труден за разпознаване, нападателят може да изясни точното местоположение на използвания самолет ADS-V, система, която всяка секунда предава GPS местоположението на самолета, надморската височина, земната скорост и други данни до наземни станции и други плавателни съдове.

Използвайки тази информация, нападателят може да започне да фалшифицира сигнала, когато приближаващ самолет се е преместил наляво или надясно спрямо пистата и да изпрати сигнал на нападателя, че самолетът се движи хоризонтално. Оптималното време за атака би било, когато самолетът току-що е преминал междинната точка, както е показано в демонстрационния видеоклип в началото на статията.

След това нападателят може да приложи алгоритъм за коригиране и генериране на сигнала в реално време, който непрекъснато ще коригира злонамерения сигнал, за да гарантира, че отместването от правилния път е в съответствие с всички движения на самолета. Дори на нападателя да му липсва умението да направи перфектен фалшив сигнал, той може да обърка CGS толкова много, че пилотът да не може да разчита на него за кацане.

Един вариант на подправяне на сигнала е известен като "атака засенчване". Нападателят изпраща специално подготвени сигнали с мощност, по-голяма от сигналите от предавателя на летището. Предавателят на нападателя обикновено трябва да изпрати 20 вата мощност, за да направи това. Атаките със засенчване улесняват убедителното подправяне на сигнал.

Shadow Attack

Вторият вариант за заместване на сигнал е известен като „еднотонална атака“. Предимството му е, че е възможно да се изпраща звук със същата честота с мощност, по-малка от тази на KGS на летището. Той има няколко недостатъка, например нападателят трябва да знае точно спецификата на самолета - например местоположението на неговите CGS антени.

Еднотонална атака

Няма лесни решения

Изследователите казват, че все още няма начин да се премахне заплахата от измамни атаки. Алтернативните навигационни технологии – включително всепосочен азимутален маяк, локаторен маяк, система за глобално позициониране и подобни сателитни навигационни системи – са безжични сигнали, които нямат механизъм за удостоверяване и следователно са податливи на измамни атаки. Освен това само KGS и GPS могат да предоставят информация за траекторията на хоризонтален и вертикален подход.

В работата си изследователите пишат:

Повечето от проблемите със сигурността, пред които са изправени технологии като напр ADS-V, ACARS и TCAS, може да се коригира чрез въвеждане на криптография. Криптографията обаче няма да е достатъчна, за да предотврати локализационни атаки. Например криптирането на GPS сигнала, подобно на военната навигационна технология, може да предотврати измамни атаки до известна степен. Все пак атакуващият ще може да пренасочва GPS сигнали с необходимите закъснения във времето и да постигне заместване на местоположение или време. Вдъхновение може да се почерпи от съществуваща литература за смекчаване на атаки с подправяне на GPS и създаване на подобни системи в края на приемника. Алтернатива би била прилагането на широкомащабна система за сигурна локализация, базирана на ограничения на разстоянието и техники за сигурно потвърждение на близостта. Това обаче ще изисква двупосочна комуникация и изисква допълнително проучване по отношение на мащабируемостта, осъществимостта и т.н.

Федералната авиационна администрация на САЩ заяви, че не разполага с достатъчно информация за демонстрацията на изследователите, за да коментира.

Тази атака и значителното количество изследвания, които са направени, са впечатляващи, но основният въпрос на работата остава без отговор: колко вероятно е някой наистина да е готов да си направи труда да извърши такава атака? Други видове уязвимости, като тези, които позволяват на хакерите да инсталират отдалечено злонамерен софтуер на компютрите на потребителите или да заобикалят популярни системи за криптиране, са лесни за монетизиране. Това не е случаят с CGS spoofing атака. Животозастрашаващи атаки върху пейсмейкъри и други медицински устройства също попадат в тази категория.

Въпреки че мотивацията за подобни атаки е по-трудна за разглеждане, би било грешка да се отхвърли тяхната възможност. IN доклад, публикуван през май от C4ADS, организация с нестопанска цел, обхващаща глобалните конфликти и междудържавната сигурност, установи, че Руската федерация често се занимава с широкомащабни тестове на смущения в GPS системата, които причиняват отклонение на навигационните системи на корабите с 65 мили или повече [всъщност в доклада се казва, че по време на отварянето на Кримския мост (т.е. не „често“, а само веднъж) глобалната навигационна система е била повредена от предавател, разположен на този мост, и работата му е била усетена дори близо до Анапа, разположен на 65 км (не мили) от това място. „И така всичко е вярно“ (c) / прибл. превод].

„Руската федерация има сравнително предимство в използването и развитието на способности за заблуда на глобалните навигационни системи“, предупреждава докладът. „Въпреки това, ниската цена, свободната достъпност и лекотата на използване на такива технологии предоставят не само на държавите, но и на бунтовниците, терористите и престъпниците с достатъчно възможности за дестабилизиране на държавни и недържавни мрежи.“

И докато CGS подправянето изглежда езотерично през 2019 г., едва ли е пресилено да се мисли, че ще стане по-често срещано през следващите години, тъй като технологиите за атака стават по-добре разбрани и софтуерно контролираните радиопредаватели стават все по-често срещани. Не е необходимо да се извършват атаки срещу CGS, за да се предизвикат инциденти. Те могат да бъдат използвани за прекъсване на летищата по начина, по който незаконните дронове причиниха затварянето на летище Гетуик в Лондон миналия декември, няколко дни преди Коледа, и летище Хийтроу три седмици по-късно.

„Парите са една мотивация, но демонстрацията на власт е друга“, каза Ранганатан. – От дефанзивна гледна точка тези атаки са много критични. Това трябва да се погрижи, защото ще има достатъчно хора на този свят, които ще искат да покажат сила.

Източник: www.habr.com