Системите за радионавигация, използвани от самолетите за безопасно кацане, са уязвими и податливи на хакерски атаки.

Сигналът, по който самолетите намират пистата за кацане, може да бъде фалшифициран с радиостанция за 600 долара.

Самолетът демонстрира атака на радиото заради фалшиви сигнали. КГС каца вдясно от пистата за кацане

Почти всяко въздушно судно, което е било във въздуха през последните 50 години – независимо дали става въпрос за едномоторен самолет 'Сесна' или гигантски авиолет с 600 места – е разчитало на радиостанции за безопасно приземяване в летища. Тези системи за курсово-глисадно кацане, КГС (на англ. ILS, instrument landing system), се считат за системи за прецизно приближаване, тъй като, за разлика от GPS и други навигационни системи, те предоставят жизненоважна информация в реално време относно хоризонталната ориентация на самолета спрямо пистата и вертикалния ъгъл на спускане. При много условия – особено по време на приземления в мъгла или дъжд през нощта – тази радионавигация остава основният начин да се гарантира, че самолетът ще докосне земята в началото на пистата и точно посредата.

Както много други технологии от миналото, КГС не предвижда защита от хакерски атаки. Радиосигналите не са криптирани и тяхната автентичност не се потвърдена. Пилотите просто предполагат, че звуковите сигнали, получавани от техните системи на предварително определената честота, са истински сигнали, предавани от оператора на летището. В продължение на много години този недостатък в сигурността не е притеснявал почти никого, главно защото цената и сложността на фалшифицирането на сигналите правят атаките безсмислени.

Но сега изследователите са разработили евтин метод за хакерство, поставящ под въпрос сигурността на КГС, използвана практически във всяко гражданско летище в индустриалния свят. Използвайки радиостанция за 600 долара с програмирано управление, изследователите могат да фалшифицират сигналите на летище по такъв начин, че навигационните прибори на пилота да показват, че самолетът е излязъл от курса. Според обучението, пилотът трябва да поправи скоростта на спускане или ориентацията на самолета, като по този начин създава заплаха от инцидент.

Една от технологиите на атаката се състои в това, че фалшивите сигнали показват, че ъгълът на спускане е по-малък, отколкото всъщност е. Фалшифицираното съобщение съдържа т.н. сигнал „прием на долу“, който известява пилота за необходимостта да увеличи ъгъла на спускане, което може да доведе до това, че самолетът да се докосне до земята преди началото на пистата за кацане.

На видеото е показан по друг начин подправен сигнал, който може да представлява заплаха за самолета, при спускане за кацане. Атакуващият може да изпрати сигнал, съобщаващ на пилота, че неговият самолет е наляво от осевата линия на пистата, когато всъщност самолетът е точно по средата. Пилотът ще реагира, отклонявайки самолета надясно, в резултат на което в крайна сметка ще се измести.

Изследователи от Североизточния университет в Бостън се консултираха с пилот и експерт по безопасност и внимателно отбелязват, че подобна манипулация на сигналите има малка вероятност да доведе до инцидент в повечето случаи. Неуспехите в работата на ADS-B са известна заплаха за безопасността на полетите и опитните пилоти преминават подробна подготовка как да реагират на тях. На пилота в ясно време ще му бъде лесно да забележи, че самолетът не е изравнен с осевата линия на пистата и той ще може да направи втори опит.

Още една причина за разумен скептицизъм е сложността на извършване на атаката. Освен програмиране на радиостанция ще са необходими насочени антени и усилвател. Цялото това оборудване ще бъде доста трудно да се пренесе тайно в самолета, ако хакерът реши да проведе атака от борда на самолета. Ако той реши да атакува от земята, ще са необходими много усилия, за да изравни оборудването с пистата, без да привлече внимание. Освен това, летищата обикновено следят за наличие на интерференция на особено важни честоти, което може да доведе до спиране на атаката скоро след нейното започване.

През 2012 година изследователят Брад Хейнс, известен с позивния Renderman, разкри уязвимости в системата ADS-B (автоматично зависимо наблюдение-вещание), която самолетите използват за определяне на своето местоположение и предаване на данни на други самолети. Той обобщи трудностите при реалната подправка на ADS-B сигналите по следния начин:

Ако всичко се събере - местоположение, скрито оборудване, лоши метеорологични условия, подходяща цел, добре мотивиран, умен и финансово способен нападател - какво ще се получи? В най-лошия случай самолетът ще кацне на тревата, възможни са травми или смъртни случаи, но безопасното проектиране на самолети и екипи за бързо реагиране осигуряват много малка вероятност за огромен пожар с загуба на целия самолет. При това в подобен случай кацането ще бъде спряно и нападателят вече няма да може да повтори действието.

И така, ако всичко се събере, крайният резултат ще бъде минимален. Сравнете това с отношението на резултата спрямо вложенията и икономическия ефект от случая, когато един козел с дрон за $1000 два дни летеше около летище Хийтроу. Уж дронът беше много по-ефективен и работещ вариант от такава атака.

И все пак, изследователите казват, че рисковете съществуват. Самолети, които не попадават в подходящия глиссад – въображаемата линия, по която самолетът трябва да следва при идеално кацане – са много по-трудни за откриване дори при добро време. Освен това, някои натоварени летища, за да избегнат закъснения, указват на самолетите да не бързат с повторното излитане дори при лоша видимост. Инструкции Според указания от Федералната администрация по гражданска авиация на САЩ, които следват много летища в САЩ, такова решение трябва да се вземе на височина само 15 м. Подобни инструкции важат и в Европа. Те оставят на пилота много малко време да прекрати безопасно кацането, ако визуалните условия не съвпадат с данните от глиссадната система.

„Откритията и възстановяването в случай на отказ на каквито и да било инструменти по време на критично важни процедури за кацане – това е една от най-трудните задачи в съвременната авиация“, писаха изследователите в своята работа с наслов „Безжични атаки над курса-глиссадни системи на въздушните съдове“, приета на 28-ия симпозиум по сигурност USENIX. "Имайки предвид колко силно пилотите разчитат на GCS и като цяло на инструментите, отказ и злонамерена намеса могат да доведат до катастрофални последствия, особено по време на автономни заходи и полети."

Какво се случва при откази на GCS

Няколко кацания, които едва не завършиха катастрофално, демонстрират опасността от откази на GCS. През 2011 г. полет SQ327 на Singapore Airlines с 143 пасажери и 15 членове на екипажа на борда неочаквано зави наляво, докато беше на 10 метра над пистата на летището в Мюнхен, Германия. След кацането Boeing 777-300 се отклони наляво, след това зави надясно, премина осевата линия и спря, когато шасито беше в тревата вдясно от пистата.

В доклад за инцидента, публикуван от германската федерална комисия по разследване на инциденти с въздушни съдове, посочва, че самолетът е пропуснал точката за кацане с 500 м. Разследващите заявиха, че едно от причините за инцидента е изкривяването на сигналите на курсовия радиомаяк от излитащия самолет. Въпреки че няма съобщения за пострадали, този инцидент подчертава сериозността на отказа на системите на GCS. Между другите инциденти с отказ на GCS, които едва не завършиха трагично, са новозеландският полет NZ 60 през 2000 г. и полетът на Ryanair FR3531 през 2013 г. Във видеото се обяснява какво се е объркало в последния случай.

Вайбхаб Шарма управлява бизнес в Силициевата долина, който се занимава с безопасност в световен мащаб, и лети на малки самолети от 2006 г. Той също така има лиценз за оператор на любителска връзка и участва на доброволни начала в гражданския въздушен патрул, където е преминал обучение за спасител и оператор на радио. Той управлява самолет в симулатора X-Plane, демонстрирайки атака с подмяна на сигнали, която принуждава самолета да кацне вдясно от пистата.

Шарма ни каза:

Такава атака върху КГС е реалистична, но нейната ефективност ще зависи от комбинация от фактори, включително познанията на атакуващия за системата за въздушна навигация и условията при подхода. Ако се използва по правилния начин, атакуващият може да отклони въздушното судно към препятствията около летището, и ако това стане при условия на лоша видимост, пилотският екип ще има много трудности да забележи отклоненията и да се справи с тях.

Той каза, че атаките имат потенциал да застрашат както малките самолети, така и големите реактивни въздушни судна, но по различни причини. Малките самолети преминават с по-ниски скорости. Това дава на пилотите време за реакция. От друга страна, при големите реактивни самолети екипите са по-големи и способни да реагират на неблагоприятни събития, като пилотите на такива самолети обикновено получават по-честа и задълбочена подготовка.

Той заяви, че най-важното за големите и малките самолети е да оценят околните условия, особено времето, по време на кацане.

„Подобна атака вероятно ще бъде по-ефективна, когато пилотите ще трябва в значителна степен да разчитат на инструментите, за да извършат успешно кацане,“ каза Шарма. – „Това могат да бъдат нощни кацания при условия на лоша видимост или комбинация от лоши условия с натоварено въздушно пространство, което изисква от пилотите по-голямо натоварване, поради което те силно зависят от автоматизацията.“

Аанджан Ранганатан, изследовател от Североизточния университет, който помогна в разработването на атаката, ни каза, че по време на отказ на КГС надеждата за GPS помощ е почти несъществуваща. Отклоненията от пистата при ефективна атака с подмяна ще бъдат от 10 до 15 метра, тъй като всичко, което е повече, пилотите и авиодиспетчерите ще могат да забележат. GPS ще има много затруднения да открие подобни отклонения. Втората причина е, че подмяната на GPS сигнали е много лесна.

„Мога да подменя GPS паралелно с подмяната на КГС,“ каза Ранганатан. – „Целият въпрос е в степента на мотивация на атакуващия.“

Предшественик на КГС

Изпитанията на КГС започнаха още през 1929 година, и първата работеща система беше внедрена през 1932 г. в германското летище Берлин-Темпелхоф.

КГС остава една от най-ефективните системи за кацане. Други подходи, например, многонаправен азимутален радиомаяк, водещ радиомаяк, глобална система за позициониране и подобни спътникови навигационни системи се считат за неточни, тъй като дават само хоризонтална или напречна ориентация. КГС обаче се счита за точна система за приближаване, тъй като предоставя както хоризонтална, така и вертикална (глиссада) ориентация. През последните години неточните системи се използваха все по-рядко. КГС все по-често се свързва с автопилоти и системи за автоматично кацане.

Как работи КГС: курсов радиомаяк за кацане [localizer], наклон на глиссадата [glideslope] и маркерни радиомаяци [marker beacon]

КГС има два основни компонента. Курсовият радиомаяк за кацане информира пилота дали самолетът е отклонен вляво или вдясно от оста на пистата, докато наклонът на глиссадата показва дали ъгълът на спускане е твърде голям, за да не се пропусне начало на пистата. Третият компонент са маркерните радиомаяци. Те функционират като ориентири, които позволяват на пилота да определи разстоянието до пистата. С годините тяхната роля все повече се заема от GPS и други технологии.

Курсовият радиомаяк за кацане използва два комплекта антени, излъчващи два различни по височина звука – един на 90 Hz и друг на 150 Hz – на честотата, зададена за една от пистите. Антенните решетки са разположени от двете страни на пистата, обикновено след стартовата точка, така, че звуците да се унищожават взаимно, когато кацащият самолет е директно над оста на пистата. Индикаторът за отклонение показва вертикална линия в центъра.

Ако самолетът отклонява вдясно, звукът на 150 Hz става все по-силен, което кара индикатора за отклонение да се премества вляво от центъра. Ако самолетът отклонява наляво, звукът на 90 Hz става по-силен и индикаторът се премества вдясно. Курсовият радиомаяк за кацане не може напълно да замени визуалния контрол на положението на самолета, но предоставя основно и интуитивно средство за ориентация. Пилотите просто трябва да поддържат индикатора в центъра, за да бъде самолетът точно над оста на пистата.

Наклонът на глисадата работи по подобен начин, само че показва ъгъла на снижение на самолета спрямо началото на пистата. Когато ъгълът на самолета е твърде малък, звукът на 90 Hz става по-силен и уредите показват, че самолетът трябва да започне да се спуска. Когато спускането е твърде рязко, сигналът на 150 Hz показва, че самолетът трябва да се повдигне. Когато самолетът остава на предписания ъгъл на наклон на глисадата от около три градуса, сигналите взаимно се неутрализират. Две глисадни антени са разположени на кула на определена височина, определяна от ъгъла на наклон на глисадата, подходящ за конкретното летище. Кулата обикновено се намира близо до зоната на допир на пистата.

Перфектна измама

Атаката на изследователите от Североизточния университет използва налични на пазара софтуерни предаватели. Тези устройства, продавани на цена от 400 до 600 долара, изпращат сигнали, притворявайки се за истински сигнали, изпратени от КГС на летището. Предавателят на нападателя може да се намира както на борда на атакувания самолет, така и на земята, на разстояние до 5 км от летището. Докато сигналът на нападателя е по-силен от истинския сигнал, приемникът на КГС ще възприема сигнала на атакуващия и ще демонстрира ориентацията спрямо вертикалната и хоризонталната траектория на полета, планирана от нападателя.

Ако подмяната е организирана слабо, пилотът ще забележи внезапни или хаотични промени в показанията на уредите, които той ще приеме за неправилност на КГС. За да затрудни разпознаването на измамата, атакуващият може да уточни точното местоположение на самолета, използвайки АЗН-В, система, която предава местоположението на самолета по GPS, височина, скорост спрямо земята и други данни на наземни станции и други съдове всяка секунда.

Използвайки тази информация, атакуващият може да започне подмяната на сигнала, когато приближаващият се самолет е изместен наляво или надясно спрямо пистата и да изпрати сигнал, че самолетът лети праволинейно. Оптималният момент за атака е, когато самолетът едва е преминал покрай точката за ориентация, както е показано в демонстрационното видео в началото на статията.

След това атакуващият може да приложи алгоритъм за корекция и генериране на сигнал в реално време, който постоянно ще коригира злонамерения сигнал, за да гарантира, че отклонението от правилния маршрут ще съответства на всички движения на самолета. Дори ако атакуващият не разполага с необходимите умения, за да направи безупречен фалшив сигнал, той може да обърка системата за контрол на наземното управление, така че пилотът да не може да се разчита на нея при кацане.

Един от вариантите за фалшив сигнал е известен като "светлинна атака". Атакуващият изпраща специално подготвени сигнали с мощност, по-висока от тази на сигналите на летищния предавател. На атакуващия обикновено му е необходима мощност от 20 W за изпращане на сигналите. Светлинните атаки опростяват провеждането на убедителна замяна на сигнала.

Светлинна атака

Вторият вариант на подмяна на сигнала е известен като "еднотонна атака". Неговото предимство е, че може да се изпраща звук на една честота с мощност, по-ниска от тази на летищната система за контрол на наземното управление. Той има няколко недостатъка, например атакуващият трябва да знае точно спецификата на самолета – например, местоположението на антените на системата за контрол на наземното управление.

Еднотонна атака

Липса на лесни решения

Изследователите казват, че все още няма начини за премахване на заплахата от атаки с подмяна. Алтернативни навигационни технологии – включително всенаправлени азимутни радиомаяци, водещи радиомаяци, глобални системи за позициониране и подобни спътникови навигационни системи – представляват безжични сигнали, които нямат механизъм за автентикация и следователно са податливи на атаки с подмяна. Освен това, информация относно хоризонталната и вертикалната траектория на подхода може да даде само системата за контрол на наземното управление и GPS.

В своята работа изследователите пишат:

Повечето проблеми със сигурността, пред които са изправени такива технологии като АЗН-В, ACARS и TCAS, може да бъде поправено чрез внедряване на криптография. Въпреки това криптографията няма да е достатъчна за предотвратяване на атаки с подмяна на местоположението. Например, криптирането на GPS сигнала, сходно с военните навигационни технологии, може да предотврати атаките с подмяна до известна степен. Все пак, злонамерените лица ще могат да пренасочват GPS сигнали с нужните им времеви забавяния и да постигат подмяна на местоположението или времето. Вдъхновение може да се черпи от съществуващата литература за предотвратяване на атаки с подмяна на GPS и да се създават подобни системи от страната на приемника. Алтернатива може да бъде реализиране на мащабна безопасна локализационна система, основана на ограничение на разстоянието и безопасни техники за потвърждаване на близостта. Въпреки това, за да стане това, ще е необходимо да се осигури двустранна комуникация, а този вариант изисква допълнителни проучвания относно мащабируемостта, осъществимостта и други.

В Федералната администрация по гражданска авиация на САЩ съобщиха, че нямат достатъчно информация по отношение на проведената демонстрация от изследователите, за да дават коментари.

Тази атака и значителният обем проведено проучване впечатляват, но основният въпрос в работата остава без отговор – колко вероятно е някой действително да иска да вложи усилия в реализирането на подобна атака? Други типове уязвимости, например, позволяващи на хакерите да инсталират злонамерен софтуер дистанционно на компютри на потребителите или да заобикалят популярните системи за криптиране, лесно могат да се монетизират. С атаката с подмяна на GPS не е така. В тази категория попадат и опасни за живота атаки на кардиостимулаторите и други медицински устройства.

И макар мотивацията за подобни атаки да е по-трудна за откриване, би било грешка да се отхвърли тяхната възможност. В доклад, публикувано през май от C4ADS, неправителствена организация, която разглежда проблемите на глобалните конфликти и междудържавната сигурност, се посочва, че Руската федерация често е провеждала широкомащабни тестове за нарушения на работата на GPS системата, в резултат на което навигационните системи на корабите грешат в местоположението си с 65 мили или повече [Всъщност в доклада се споменава, че по време на откриването на Кримския мост (тоест, не „често“, а само веднъж) глобалната навигационна система е била нарушена от предавателя, разположен на този мост, а неговата работа е била усетена дори близо до Анапa, която се намира на 65 км (а не мили) от това място. „А така всичко е вярно“ (с) / бел. прев.].

„Руската федерация има относително предимство в използването и разработването на възможности за измама на глобални навигационни системи“, предупреждава докладът. „Обаче ниската цена, наличността за открита продажба и простотата на използването на подобни технологии предоставят не само на държавите, но и на бунтовниците, терористите и престъпниците широки възможности за дестабилизация на държавни и недържавни мрежи.“

И въпреки че подмяната на ГНСС изглежда езотерика през 2019 г., не е толкова фантастично предположението, че през идните години тя ще стане по-позната практика, тъй като технологиите за атаки ще стават все по-разбираеми, а програмно управляваните радиопредаватели ще станат по-разпространени. Атаките срещу ГНСС не е задължително да се провеждат само за причиняване на инциденти. Те могат да се провеждат за нарушаване на работата на летищата, както незаконните дронове доведоха до затварянето на летище Гатвик в Лондон миналия декември, няколко дни преди коледа, а три седмици по-късно — летище Хийтроу.

„Парите са една мотивация, а демонстрацията на сила – друга“, заяви Ранганадан. – „От гледна точка на защитата, тези атаки са изключително критични. Трябва да се погрижим за това, защото в този свят ще има достатъчно хора, които ще искат да демонстрират сила.“

Източник: habr.com