Signál, který letadla používají k nalezení přistávací dráhy, lze podvrhnout pomocí rádia za 600 dolarů.
Letadlo demonstruje útok na rádio kvůli falešným signálům. přistává vpravo od přistávací dráhy.
Téměř každé letadlo, které vzlétlo za posledních 50 let – ať už jednomoťový Cessna nebo obří dopravní letadlo s 600 místy – využívalo pomoc rádiových stanic pro bezpečné přistání na letištích. Tyto systémy přístrojového přiblížení (ILS) jsou považovány za systémy přesného přiblížení, protože na rozdíl od GPS a dalších navigačních systémů poskytují životně důležité informace v reálném čase o horizontálním postavení letadla vůči přistávací dráze a vertikálním úhlu klesání. Za mnoha podmínek – zejména při přistání v mlze nebo za deště v noci – zůstává tato rádiová navigace hlavním způsobem, jak zajistit, že letadlo se dotkne země na začátku dráhy a přesně ve středu.
Stejně jako mnoho dalších technologií vytvořených v minulosti, ILS neobsahuje ochranu proti útokům. Rádiové signály nejsou šifrovány a jejich autenticita není ověřena. Piloti prostě předpokládají, že zvukové signály přijaté jejich systémy na stanovené frekvenci mimo letiště jsou pravé signály vysílané provozovatelem letiště. Po mnoho let tento nedostatek bezpečnosti prakticky nikoho netrápil, většinou proto, že náklady a složitost podvržení signálů činily útoky bezvýznamnými.
Ale nyní vědci vyvinuli levnou metodu, která vyvolává otázky o bezpečnosti ILS používaného prakticky na každém civilním letišti v industriálním světě. Pomocí rádia za 600 dolarů, mohou vědci podvrhnout signály letiště tak, že navigační přístroje pilota budou ukazovat, že letadlo se dostalo z kurzu. Podle výcviku by piloti měli opravit rychlost klesání nebo orientaci letadla, čímž vzniká nebezpečí incidentu.
Jedna z technik útoku spočívá v tom, že falešné signály uvádějí, že klesací úhel je menší, než ve skutečnosti je. Falešná zpráva obsahuje takzvaný signál „snížit výšku“, který informuje pilota o nutnosti zvýšit klesací úhel, což může vést k tomu, že letadlo se dotkne země před začátkem přistávací dráhy.
Na videu je ukázán jiný typ falešného signálu, který může představovat hrozbu pro letadlo při přistání. Útočník může poslat signál, který pilotovi říká, že jeho letadlo je vlevo od osy přistávací dráhy, zatímco ve skutečnosti je letadlo přesně uprostřed. Pilot na to reaguje tím, že letadlo odchyluje doprava, čímž se nakonec posune do strany.
Výzkumníci z Northeastern University v Bostonu konzultovali s pilotem a expertem na bezpečnost a opatrně poznamenávají, že podobná falešná signalizace má malou pravděpodobnost způsobení nehody ve většině případů. Selhání v práci ADS-B – známá bezpečnostní hrozba pro lety – a zkušení piloti procházejí podrobným školením o tom, jak na ně reagovat. Pilotovi za jasného počasí bude snadné si všimnout, že letadlo není vyrovnané na ose dráhy, a bude moci přistání opakovat.
Dalším důvodem pro rozumný skepticismus je složitost provedení útoku. Kromě programovatelné radiostanice budou potřebné směrové antény a zesilovač. Veškeré toto vybavení bude docela těžké tajně přenést do letadla, pokud by hacker chtěl provést útok z paluby letadla. Pokud se rozhodne zaútočit ze země, bude zapotřebí hodně práce, aby se vybavení zarovnal s přistávací dráhou, aniž by na sebe upozornil. Navíc letiště obvykle sledují přítomnost interference na obzvláště důležitých frekvencích, což může útok zastavit krátce po začátku.
V roce 2012 výzkumník Brad Haynes, známý pod volacím znakem , v systému ADS-B (Automatická závislá sledovací vysílání), který letadla používají k určení své polohy a k předávání dat jiným letadlům. Shrnul obtíže reálné falšování signálů ADS-B takto:
Pokud se všechno sejde – místo, skryté vybavení, špatné počasí, vhodný cíl, dobře motivovaný, chytrý a finančně zdatný útočník – co se stane? V nejhorším případě přistane letadlo na trávě, mohou nastat zranění nebo smrt, avšak bezpečný návrh letadel a týmy rychlé reakce zajišťují velmi malou pravděpodobnost obrovského požáru s kompletní ztrátou letadla. V takovém případě bude přistání přerušeno a útočník to pravděpodobně nebude moci zopakovat. V nejlepším případě pilot zaznamená nesrovnalosti, zašpiní si kalhoty, zvýší výšku, obletí kroužek a nahlásí, že s ILS není něco v pořádku – letiště zahájí vyšetřování, což znamená, že útočník už nebude chtít zůstat v okolí.
Takže, pokud se všechno sejde, bude výsledek minimální. Srovnejte to se vztahovým výsledkem vůči investicím a ekonomickým dopadem případu, kdy jeden chlapík s dronem za 1000 dolarů létal dva dny kolem letiště Heathrow. Dron byl určitě efektivnější a funkčnější než takový útok.
A přesto, badatelé říkají, že rizika existují. Letadla, která při přistání neklesají do glisády – předpokládané linie, které letadlo následuje při ideálním přistání – je mnohem obtížnější odhalit, i za dobrého počasí. Navíc některá vytížená letiště, aby se vyhnula zpožděním, doporučují letadlům, aby s přechodem na druhý okruh nespěchala ani za špatné viditelnosti. Podle pokynů k přistání od Federálního úřadu pro civilní letectví USA, které následuje mnoho letišť v USA, by se toto rozhodnutí mělo učinit ve výšce pouhých 15 m. Podobné instrukce platí také v Evropě. Tyto pokyny dávají pilotovi velmi málo času na to, aby bezpečně přerušil přistání, pokud vizuální okolnosti nesouhlasí s údaji z ILS.
„Detekce a obnovení v případě selhání jakýchkoliv přístrojů během kritických přistávacích procedur – jeden z nejobtížnějších úkolů moderního letectví,“ uvedli badatelé ve své práci nazvané „Bezdrátové útoky na systémy kurso-glisády letadel“, přijaté na . „Vzhledem k tomu, jak moc se piloti spoléhají na ILS a obecně na nástroje, může selhání a úmyslná manipulace vést k katastrofálním následkům, zejména během autonomních přistání a letů.“
Co se děje při selháních ILS
Několik přistání, která málem skončila katastrofou, ukazuje nebezpečí selhání ILS. V roce 2011 let SQ327 Singapore Airlines s 143 pasažéry a 15 členy posádky na palubě se nečekaně naklonil vlevo ve výšce 10 metrů nad přistávací dráhou na letišti v Mnichově v Německu. Po přistání se Boeing 777-300 naklonil vlevo, poté se otočil vpravo, překročil středovou čáru a zastavil, když měl podvozky na trávě vpravo od přistávací dráhy.
V o incidentu, kterou publikovala německá federální komise pro vyšetřování nehod civilních letadel, se uvádí, že letadlo minulo bod přistání o 500 m. Vyšetřovatelé uvedli, že jedním z viníků incidentu bylo zkreslení signálů směrového přistávacího radiomajáku vzlétajícím letadlem. Ačkoli nebyly hlášeny žádné oběti, tato událost podtrhla závažnost selhání systémů ILS. Mezi dalšími incidenty se selháním ILS, které málem skončily tragédií, se uvádí novozélandský let NZ 60 v roce 2000 a let Ryanair FR3531 v roce 2013. Na videu je vysvětleno, co se stalo v posledním případě.
Vaibhav Sharma se stará o podnikání v Silicon Valley, které se zabývá bezpečností po celém světě, a létá na malých letadlech od roku 2006. Má také licenci pro amatérský rádiový provoz a angažuje se jako dobrovolník v občanské letecké hlídce, kde absolvoval školení jako záchranář a operátor rádia. Ovládá letadlo v simulátoru X-Plane, kde předvádí útok s podvrženými signály, což způsobuje, že letadlo přistává vpravo od přistávací dráhy.
Sharma nám řekl:
Takový útok na KGS je realistický, ale jeho účinnost bude záviset na kombinaci faktorů, včetně znalosti útočníka o systému vzdušné navigace a podmínkách při přiblížení. Pokud bude použit správně, útočník může odvrátit letadlo směrem k překážkám okolo letiště, a pokud se tak stane za špatné viditelnosti, bude pro posádku velmi obtížné odhalit odchylky a vyrovnat se s nimi.
Řekl, že útoky mají potenciál ohrozit jak malá letadla, tak velké tryskové letouny, avšak z různých důvodů. Malá letadla se pohybují pomaleji. To dává pilotům více času na reakci. Na druhou stranu větší trysková letadla mají více členů posádky schopných reagovat na nepříznivé události, přičemž piloti těchto letadel jsou obvykle trénováni častěji a důkladněji.
Řekl, že pro velká i malá letadla je nejdůležitější vyhodnotit okolní podmínky, zejména počasí, během přistání.
„Takový útok bude pravděpodobně efektivnější, když budou piloti muset více spoléhat na přístroje pro úspěšné přistání,“ řekl Sharma. „To mohou být noční přistání za špatné viditelnosti, nebo kombinace špatných podmínek s přetíženým vzdušným prostorem, což si vyžaduje, aby piloti byli více zaměstnáni, a tím se ve větší míře spoléhali na automatizaci.“
Aandžan Ranganathan, výzkumník z Northeastern University, který pomáhal s vývojem útoku, nám řekl, že na pomoc GPS při selhání KGS se téměř nedá spoléhat. Odchylky od ranveje při efektivním útoku s podvodem by měly být od 10 do 15 metrů, protože cokoliv většího by piloti a řídící letového provozu byli schopni zjistit. GPS bude mít obtíže s odhalením takových odchylek. Druhým důvodem je, že podvod signálů GPS je velmi snadný.
„Mohu podvádět GPS současně se změnou KGS,“ řekl Ranganathan. „Celá otázka spočívá v motivaci útočníka.“
Předchůdce KGS
Testy KGS začaly , a první pracovní systém byl nasazen v roce 1932 na německém letišti Berlín-Tempelhof.
KGS zůstává jedním z nejefektivnějších systémů přistání. Jiné přístupy, například, , maják s vedením, globální poziční systém a podobné satelitní navigační systémy se považují za nepřesné, protože poskytují pouze horizontální nebo příčnou orientaci. KGS však je považován za přesný systém přiblížení, protože poskytuje jak horizontální, tak vertikální (glisádová) orientaci. V posledních letech se nepřesné systémy používaly stále méně. KGS bylo čím dál tím více spojováno s autopiloty a systémy pro automatické přistání.
Jak funguje KGS: kurzový přistávací radiomaják [localizer], sklon glisády [glideslope] a markerové radiomajáky [marker beacon]
KGS má dva klíčové komponenty. Kurzový přistávací radiomaják informuje pilota, zda je letadlo posunuto vlevo nebo vpravo od středové linie přistávací dráhy, zatímco sklon glisády indikuje, zda není úhel sestupu příliš strmý, aby letadlo nepropáslo začátek dráhy. Třetím komponentem jsou markerové radiomajáky. Ty fungují jako mezníky, které umožňují pilotovi určit vzdálenost k dráze. S postupem času jsou stále častěji nahrazovány GPS a jinými technologiemi.
Kurzový přistávací radiomaják používá dvě sady antén, které vysílají dva zvuky různých výšek – jeden na 90 Hz a druhý na 150 Hz – a to na frekvenci přidělené jedné z přistávacích drah. Anténní sítě jsou umístěny po obou stranách dráhy, obvykle za vzletovým bodem, aby se zvuky vzájemně rušily, když je přistávající letadlo přesně nad středovou linií dráhy. Indikátor odchylky zobrazuje svislou čáru uprostřed.
Pokud se letadlo odchyluje vpravo, zvuk na 150 Hz se stává stále hlučnějším, což způsobuje, že indikátor odchylky se pohybuje vlevo od středu. Pokud se letadlo odchyluje vlevo, zvuk na 90 Hz se stává slyšitelnějším a indikátor se posunuje vpravo. Kurzový přistávací radiomaják samozřejmě nemůže plně nahradit vizuální kontrolu polohy letadla; poskytuje klíčový a velmi intuitivní prostředek orientace. Pilotům stačí udržovat indikátor uprostřed, aby bylo letadlo přesně nad středovou linií.
Sklon glisády funguje přibližně stejně, pouze ukazuje úhel klesání letadla vzhledem k začátku přistávací dráhy. Když je úhel letadla příliš malý, je slyšet zvuk na 90 Hz, a přístroje ukazují, že letadlo by mělo klesat. Když je sestup příliš strmý, signál na 150 Hz říká, že letadlo by mělo stoupat. Když letadlo zůstává na předepsaném úhlu sklony glisády přibližně tři stupně, signály se vzájemně ruší. Dvě glisádové antény jsou umístěny na věži ve stanovené výšce, určované úhlem sklony glisády vhodným pro konkrétní letiště. Věž je obvykle umístěna nedaleko oblasti dotyku dráhy.
Dokonalá padělatelská
Útok výzkumníků z Northeastern University využívá komerčně dostupné softwarové vysílače. Tato zařízení, prodávaná za 400–600 $, vysílají signály, které se tváří jako skutečné signály odeslané letištním řídícím systémem. Vysílač útočníka může být umístěn jak na palubě napadeného letadla, tak na zemi, až do vzdálenosti 5 km od letiště. Dokud signál útočníka překračuje intenzitou skutečný signál, přijímač letištního řídicího systému bude vnímat signál útočníka a zobrazovat orientaci vůči vertikální a horizontální trajektorii letu, kterou útočník naplánoval.
Pokud je podvod proveden špatně, pilot uvidí náhlé nebo chaotické změny ukazatelů, které vezme za poruchu letištního řídícího systému. Aby bylo podvod těžší rozpoznat, útočník může upřesnit přesné umístění letadla pomocí , systému, který každou sekundu přenáší polohu letadla pomocí GPS, výšku, rychlost vůči zemi a další data na pozemní stanice a další plavidla.
Použitím těchto informací může útočník zahájit podvrh signálu, když se blížící letadlo posune vlevo nebo vpravo od přistávací dráhy, a poslat mu signál, že letadlo jde rovně. Optimálním časem pro útok bude okamžik, kdy letadlo právě prošlo kolem referenčního bodu, jak je ukázáno na demonstračním videu na začátku článku.
Útočník může poté použít algoritmus pro korekci a generaci signálu v reálném čase, který bude neustále upravovat zlovolný signál, aby zajistil, že odchylka od správné cesty bude odpovídat všem pohybům letadla. I když nemusí mít útočník dostatečné dovednosti k vytvoření bezchybného podvrženého signálu, může tak zmást KGS, že pilot na něj nebude moci spolíhat při přistání.
Jeden způsob podvržení signálu je známý jako „zatěžovací útok“. Útočník vysílá speciálně připravené signály s výkonem větším než signály přenosu letiště. Pro odeslání signálů o výkonu 20 W obvykle útočníkům stačí. Zatěžovací útoky usnadňují provádění přesvědčivé náhrady signálu.
Zatěžovací útok
Druhou variantou podvržení signálu je známá jako „monotonní útok“. Jeho výhodou je, že mohou vysílat zvuk jedné frekvence s nižším výkonem než KGS letiště. Má ovšem několik nevýhod, například útočník musí přesně znát specifika letadla – například umístění jeho KGS antén.
Monotonní útok
Nedostatek snadných řešení
Výzkumníci tvrdí, že dosud neexistují způsoby, jak odstranit hrozbu útoků na podvržení. Alternativní technologie navigace – včetně všesměrového azimutálního rádiomajáku, přiváděcího rádiomajáku, globálního systému polohování a podobných satelitních navigačních systémů – představují bezdrátové signály, které postrádají autentifikační mechanismus, a jsou proto náchylné k útokům na podvržení. Navíc informace o horizontální a vertikální trajektorii přiblížení mohou poskytnout pouze KGS a GPS.
Ve své práci výzkumníci píší:
Většina problémů s bezpečností, s nimiž se potýkají takové technologie jako , a , lze napravit zavedením kryptografie. Nicméně kryptografie nebude stačit k prevenci útoků lokalizace. Například šifrování GPS signálu, podobné vojenské navigační technologii, může do určité míry zabránit útokům na podvod. Přesto může útočník i nadále přesměrovávat GPS signály se zvolenými časovými zpožděními a dosáhnout tak podvodu ohledně polohy nebo času. Inspiraci lze čerpat z existující literatury o prevenci podvodů s GPS a vytvářet podobné systémy na přijímačové straně. Alternativou může být realizace rozsáhlého zabezpečeného lokalizačního systému, založeného na omezení vzdálenosti a bezpečných technikách potvrzení blízkosti. Pro tuto možnost však bude nutné zajistit obousměrnou komunikaci, a tento variant vyžaduje další studii zaměřenou na jeho škálovatelnost, proveditelnost a další otázky.
Ve Federálním úřadu pro civilní letectví USA uvedli, že nemají dostatečné informace ohledně provedené demonstrace výzkumníky, aby mohli poskytnout komentáře.
Tento útok a značný objem provedeného výzkumu jsou působivé, ale hlavní otázku práce nezodpovídá – jak pravděpodobné je, že by se někdo skutečně chtěl snažit o realizaci takového útoku? Jiné typy zranitelností, například umožňující hackerům vzdáleně instalovat škodlivý software na počítačích uživatelů nebo obcházet populární šifrovací systémy, jsou snadno zpeněžitelné. Útok podvodného GPS to však tak jednoduché nemá. Do této kategorie spadají také životu nebezpečné útoky na kardiostimulátory a další lékařská zařízení.
Ačkoli je těžší vidět motivaci pro takové útoky, bylo by chybou je vyloučit jako možnost. V , publikovaném v květnu C4ADS, neziskovou organizací, která se zabývá otázkami globálních konfliktů a mezistátní bezpečnosti, se uvádí, že Ruská federace se často zabývala rozsáhlými testy narušení GPS systémů, což mělo za následek, že navigační systémy lodí chybovaly ve své poloze o 65 mil a více [Ve skutečnosti zpráva uvádí, že během otevření Krymského mostu (tedy ne „často“, ale pouze jednou) byla globální navigační systém rušen vysílačem umístěným na tomto mostě, a jeho účinky se projevily i poblíž Anapy, která se nachází 65 km (nikoli mil) od tohoto místa. „A jinak je vše správně“ (c) / pozn. překl.].
„Ruská federace má relativní výhodu v používání a vývoji schopností podvádět globální navigační systémy,“ varuje zpráva. „Nicméně nízké náklady, dostupnost v otevřeném prodeji a jednoduchost používání takových technologií nabízejí nejen státům, ale i povstalcům, teroristům a zločincům široké možnosti pro destabilizaci státních a nestátních sítí.“
I když se zdá, že podvod na GPS je v roce 2019 esoterický, nebude tak úplně fantastické předpokládat, že v nadcházejících letech se stane běžnějším jevem, jak se technologie útoků stanou srozumitelnějšími a softwarem řízené rádiové vysílače se stanou běžnějšími. Útoky na GPS nemusí nutně vyžadovat vyvolání havárií. Mohou být prováděny k narušení provozu letišť, jak to nedávno poškodily nezákonné drony, které vedly k uzavření letiště Gatwick v Londýně minulý prosinec, několik dní před Vánoci, a o tři týdny později — letiště Heathrow.
„Peníze jsou jedna motivace, a demonstrovat sílu je druhá,“ řekl Ranganathan. „Z pohledu ochrany jsou tyto útoky velmi kritické. Je třeba se o ně postarat, protože v tomto světě bude dost lidí, kteří budou chtít demonstrovat sílu.“
Zdroj: habr.com
