Signalet, som fly bruger til at finde landingsbanen, kan efterlignes med en radio til $600.
Flyet under demonstration af radioangreb på grund af falske signaler. landes til højre for landingsbanen.
Næsten ethvert luftfartøj, der har lettet i løbet af de sidste 50 år - uanset om det er et enkeltmotors Cessna-fly eller en kæmpe passagerfly med 600 sæder - har brugt hjælp fra radiostationer til en sikker landing i lufthavne. Disse glidebanesystemer, ILS (instrument landing system), anses for at være præcise tilgangssystemer, fordi de, i modsætning til GPS og andre navigationssystemer, giver vitale oplysninger i realtid om flyets horisontale orientering i forhold til landingsbanen og den vertikale nedstigningsvinkel. Under mange forhold - især ved landing i tåge eller regn om natten - forbliver denne radi Navigation den primære metode til at sikre, at flyet berører jorden i begyndelsen af banen og lige i midten.
Som mange andre teknologier opfundet i fortiden, blev ILS ikke designet med indbygget beskyttelse mod hacking. Radiosignaler krypteres ikke, og deres oprindelse bekræftes ikke. Piloter antager simpelthen, at de audiosignaler, som deres systemer modtager på den frekvens, der er tildelt lufthavnen, er de ægte signaler, der sendes af lufthavnens operatør. I mange år bekymrede denne sikkerhedssvaghed stort set ikke nogen, primært fordi omkostningerne og kompleksiteten ved at forfalske signaler gjorde angreb meningsløse.
Men nu har forskere udviklet en billig metode til at hacke, som rejser spørgsmål om sikkerheden ved ILS, der anvendes næsten i hver civil lufthavn i den industrialiserede verden. Ved hjælp af en radio til $600 med , kan forskere forfalske lufthavnsignaler, så navigationsinstrumenterne i cockpittet viser, at flyet er kommet off-course. Ifølge træningen skal piloten justere nedstigningshastigheden eller flyets orientering, hvilket skaber en potentiel nødsituation.
En angrebsteknologi indebærer, at falske signaler påstår, at nedstigningsvinklen er mindre, end den faktisk er. Det falske signal indeholder en såkaldt "tag ned"-besked, der informerer piloten om, at han skal øge nedstigningsvinklen, hvilket muligvis kan få flyet til at berøre jorden før landingstrækningen.
Videoen viser et på anden måde falsk signal, der kan udgøre en trussel mod et fly, der går ind til landing. Angriberen kan sende et signal, der informerer piloten om, at hans fly er til venstre for centerlinjen af landingstrækningen, når flyet i virkeligheden er præcist i midten. Piloten vil reagere ved at trække flyet mod højre, hvilket i sidste ende vil føre til en afvigelse.
Forskere fra Northeastern University i Boston har konsulteret en pilot og en sikkerhedsekspert og bemærker forsigtigt, at en sådan falsk signalering med lille sandsynlighed vil føre til en ulykke i de fleste tilfælde. Fejl i ADS-B – et kendt sikkerhedstrussel mod flyvninger – og erfarne piloter får grundig træning i, hvordan de skal reagere. Det vil være let for en pilot i klart vejr at bemærke, at flyet ikke er justeret i forhold til centerlinjen af banen, og han kan vælge at gå rundt igen.
En anden grund til rimelig skepsis er kompleksiteten af at udføre angrebet. Udover den programmerbare radio kræves der retningsbestemte antenner og en forstærker. Alt dette udstyr vil være ret svært at smugle ind i flyet, hvis hackeren ønsker at udføre angrebet fra flyets indre. Hvis han beslutter at angribe fra jorden, kræver det meget arbejde at justere udstyret med landingstrækningen uden at tiltrække opmærksomhed. Desuden overvåger lufthavne normalt for interferens på særligt vigtige frekvenser, hvilket muligvis kan stoppe angrebet kort efter, at det er startet.
I 2012 afslørede forskeren Brad Haynes, kendt under kaldenavnet , i ADS-B-systemet (Automatic Dependent Surveillance–Broadcast), som fly bruger til at bestemme deres position og overføre data til andre fly. Han opsummerede vanskelighederne ved virkelig at forfalske ADS-B-signaler således:
Hvis alt falder på plads – placeringen, skjult udstyr, dårligt vejr, en passende målretning, en godt motiveret, klog og økonomisk i stand angriber – hvad får vi så? I værste fald lander flyet på græsset, der kan opstå skader eller dødsfald, men sikker udvikling af fly og hurtige reaktionsteams sikrer, at sandsynligheden for en stor brand med tab af hele flyet er meget lille. I sådanne tilfælde vil landing blive afbrudt, og angriberen vil ikke være i stand til at gentage det. I bedste fald opdager piloten uoverensstemmelsen, bliver nervøs, hæver højden, tager en runde og melder, at der er noget galt med ILS – lufthavnen vil begynde en undersøgelse, hvilket betyder, at angriberen ikke længere ønsker at være i nærheden.
Så hvis alt falder på plads, vil resultatet være minimalt. Sammenlign det med resultaterne i forhold til investeringer og den økonomiske effekt ved den situation, hvor en ged med en drone til $1000 fløj rundt om Heathrow lufthavn i to dage. En drone var bestemt en mere effektiv og praktisk løsning end en sådan angreb.
Og alligevel siger forskerne, at der er risici. Fly, der ikke følger glidebanen ved landing – den forestillede linje, som flyet skal følge ved en perfekt landing – er meget sværere at opdage selv i godt vejr. Desuden instruerer nogle travle lufthavne for at undgå forsinkelser flyene om ikke at skynde sig med at tage en runde, selv under dårlige sigtforhold. til landing fra Federal Aviation Administration i USA, som mange amerikanske lufthavne følger, angiver, at sådan en beslutning skal træffes i en højde af kun 15 m. Lignende instruktioner gælder også i Europa. De giver piloten meget lidt tid til sikkert at afbryde landingen, hvis de visuelle omgivelser ikke stemmer overens med dataene fra ILS.
"At opdage og genetablere i tilfælde af fejl på nogen instrumenter under kritiske landingprocedurer er en af de mest komplekse opgaver i moderne luftfart," skrev forskerne i deres med titlen "Trådløse angreb på glidebaneinspektionssystemer for fly", der blev præsenteret på . "I betragtning af, hvor meget piloterne er afhængige af ILS og generelt af værktøjer, kan svigt og ondsindet indgreb føre til katastrofale konsekvenser, især under autonome indflyvninger og flyvninger."
Hvad sker der ved ILS-svigt
Flere landingstilfælde, der næsten førte til katastrofer, viser faren ved ILS-svigt. I 2011 hældede Singapore Airlines flight SQ327, der havde 143 passagerer og 15 besætningsmedlemmer om bord, uventet til venstre, mens den var 10 meter over landingsbanen i München lufthavn i Tyskland. Efter landing trak Boeing 777-300 til venstre, drejede derefter til højre, krydsede midterlinien og stoppede, da dets landingstel var i græsset til højre for landingsbanen.
I om hændelsen, offentliggjort af den tyske føderale kommission for undersøgelse af luftfartsulykker, angiver, at flyet var 500 m fra landingspunktet. Undersøgerne sagde, at en af årsagerne til hændelsen var, at signalerne fra ILS blev forvridte af det opstegne fly. Selvom der ikke blev rapporteret om skadede personer, understregede denne hændelse alvorligheden af ILS-systemsvigt. Andre hændelser med ILS-svigt, der næsten endte tragisk, inkluderer New Zealands flyvning NZ 60 i 2000 og Ryanair flight FR3531 i 2013. En video forklarer, hvad der gik galt i sidstnævnte tilfælde.
Vaibhav Sharma leder en virksomhed fra Silicon Valley, der arbejder med sikkerhed globalt, og har fløjet små fly siden 2006. Han har også en licens som amatør radiooperatør og deltager frivilligt i det civile luftpatrulje, hvor han er trænet som redningsmand og radiooperatør. Han styrer et fly i simulatoren X-Plane, hvilket demonstrerer et signal-forfalskningsangreb, der får flyet til at lande til højre for landingsbanen.
Sharma fortalte os:
En sådan angreb på KGS er realistisk, men dens effektivitet vil afhænge af en kombination af faktorer, herunder angriberens kendskab til luftnavigationssystemer og forholdene ved indflyvningen. Hvis den anvendes korrekt, kan angriberen lede luftfartøjet ind mod forhindringerne omkring lufthavnen, og hvis dette sker under dårlige sigtforhold, vil det være meget svært for piloterne at opdage afvigelserne og håndtere dem.
Han sagde, at angreb har potentiale til at true både små fly og store jetfly, dog af forskellige årsager. Små fly bevæger sig med lavere hastigheder. Dette giver piloterne tid til at reagere. Store jetfly har derimod flere medlemmer i besætningen, der kan reagere på ugunstige hændelser, og piloterne i sådanne fly bliver typisk trænet oftere og grundigere.
Han sagde, at det vigtigste for både store og små fly vil være at vurdere de omgivende forhold, især vejret, under landing.
«En sådan angreb vil sandsynligvis være mere effektiv, når piloterne i højere grad skal stole på instrumenter for at udføre en vellykket landing,» sagde Sharma. «Dette kan være natlandinger under dårlige sigtforhold, eller en kombination af dårlige forhold med en tæt trafikluft, der kræver, at piloterne er mere belastede, hvilket gør dem meget afhængige af automatisering».
Aandjan Ranganathan, forsker ved Northeastern University, der har hjulpet med at udvikle angrebet, fortalte os, at man næsten ikke kan regne med GPS som hjælp ved en KGS-fejl. Afvigelser fra landingsbanen ved en effektiv angreb med spoofing vil være mellem 10 og 15 meter, da alt derover, vil piloterne og flyvelederne kunne opdage. GPS vil have svært ved at opdage sådanne afvigelser. Den anden grund er, at det er meget let at spoofe GPS-signaler.
«Jeg kan spoofe GPS parallelt med spoofing af KGS,» sagde Ranganathan. «Hele spørgsmålet er angriberens motivationsniveau.»
Forgænger til KGS
Test af KGS begyndte , og det første funktionelle system blev implementeret i 1932 i den tyske lufthavn Berlin-Tempelhof.
KGS forbliver et af de mest effektive landingssystemer. Andre metoder, for eksempel, , a directional radio beacon, global positioning systems and similar satellite navigation systems are considered inaccurate, as they provide only horizontal or lateral orientation. The ILS, however, is regarded as an accurate approach system, as it offers both horizontal and vertical (glide slope) orientation. In recent years, inaccurate systems have been used less frequently. The ILS has increasingly been associated with autopilots and automatic landing systems.
How the ILS works: localizer [localizer], glide slope [glideslope], and marker beacons [marker beacon]
The ILS has two key components. The localizer informs the pilot whether the aircraft is shifted left or right of the runway centerline, while the glide slope indicates whether the descent angle is too steep for the aircraft to avoid missing the runway threshold. The third component is the marker beacons, which function as waypoints allowing the pilot to determine the distance to the runway. Over the years, GPS and other technologies have increasingly replaced them.
The localizer uses two sets of antennas, emitting two different height sounds – one at 90 Hz and the other at 150 Hz – at the frequency designated for one of the runways. The antenna arrays are positioned on both sides of the runway, typically after the takeoff point, and arranged such that the sounds cancel each other out when the landing aircraft is directly above the runway centerline. The deviation indicator displays a vertical line in the center.
If the aircraft deviates to the right, the 150 Hz sound becomes increasingly audible, which causes the deviation indicator to move left from the center. If the aircraft deviates to the left, the 90 Hz sound becomes more pronounced, moving the indicator to the right. The localizer, of course, cannot completely replace visual position monitoring of the aircraft, but it provides a key and very intuitive means of orientation. Pilots simply need to keep the indicator centered to ensure the aircraft remains directly over the centerline.
Glide slope fungerer på omtrent samme måte, men den viser nedgangsvinkelen til flyet i forhold til starten av rullebanen. Når vinkelen på flyet er for liten, blir lyden på 90 Hz tydeligere, og instrumentene viser at flyet må synke. Når nedgangen er for bratt, varsler signalet på 150 Hz om at flyet må heve seg. Når flyet holder seg på den foreskrevne glidevinkelen på omtrent tre grader, utsletter signalene hverandre. To glide antenner er plassert på tårnet i en bestemt høyde, bestemt av glidevinkelen som passer for den spesifikke flyplassen. Tårnet er vanligvis plassert nært landingspunktet på rullebanen.
Ulastelig forfalskning
Angrepet fra forskere ved Northeastern University bruker tilgjengelige programvare-radiotransmittere. Disse enhetene, som selges for 400–600 dollar, sender signaler som utgir seg for å være ekte signaler sendt av flyplassens ILS. Angriperen kan plassere senderen både ombord på det angripte flyet eller på bakken, opptil 5 km fra flyplassen. Så lenge angriperens signal overskrider den ekte signalets styrke, vil ILS-mottakeren oppfatte angrepets signal og vise orientering i forhold til den vertikale og horisontale flybanen, planlagt av angriperen.
Hvis forfalskningen er dårlig gjort, vil piloten se plutselige eller kaotiske endringer i instrumentene, som han vil ta for en feil i ILS. For å gjøre det vanskeligere å oppdage forfalskningen, kan angriperen presisere den nøyaktige plasseringen til flyet ved å bruke , et system som sender flyets posisjon via GPS, høyde, fart i forhold til bakken, og annen informasjon til bakkestasjoner og andre fartøy hvert sekund.
Ved å bruke denne informasjonen kan angriperen starte forfalskningen av signalet når det kommende flyet har skiftet til venstre eller høyre i forhold til rullebanen, og sende et signal om at flyet flyr rett. Det optimale tidspunktet for angrepet vil være når flyet nettopp har passert waypoint, som vist i demonstrasjonsvideoen i begynnelsen av artikkelen.
Herefter kan angriberen anvende en realtids signal-korrektion og -genereringsalgoritme, som konstant vil justere det ondsindede signal for at sikre, at afvigelsen i forhold til den rigtige bane til enhver tid svarer til flyets bevægelser. Selv hvis angriberen ikke har færdighederne til at skabe et fejlfrit forfalsket signal, kan han skabe så meget forvirring i det flyveledende system, at piloten ikke kan stole på det ved landing.
En metode til signalforfalskning er kendt som "skyggeangreb". Angriberen sender specielt forberedte signaler med højere effekt end signalerne fra lufthavnens sender. For dette kræver angriberen normalt at sende signaler med en effekt på 20 W. Skyggeangreb gør det lettere at udføre en overbevisende signalforfalskning.
Skyggeangreb
En anden metode til signalforfalskning er kendt som "tonalt angreb". Dets fordel er, at man kan sende lyd med en enkelt frekvens med en effekt, der er lavere end lufthavnens flyveledende system. Det har dog nogle ulemper, for eksempel skal angriberen præcist kende flyets specifikationer - for eksempel placeringen af dets flyveledende antenner.
Tonalt angreb
Manglende enkle løsninger
Forskere siger, at der i øjeblikket ikke er nogen metoder til at eliminere truslen fra forfalskningsangreb. Alternative navigationsmetoder - herunder omnidirektionelle azimutale radiomærker, føringsradiomærker, Global Positioning System og lignende satellitnavigationssystemer - er trådløse signaler uden autentificeringsmekanismer og derfor udsatte for forfalskningsangreb. Desuden kan kun det flyveledende system og GPS give information om den horisontale og vertikale tilflyvningsbane.
I deres arbejde skriver forskerne:
De fleste sikkerhedsproblemer, som sådanne teknologier står overfor, såsom , og , kan rettes ved at implementere kryptografi. Dog vil kryptografi ikke være tilstrækkeligt til at forhindre angreb med lokalisering. For eksempel kan kryptering af GPS-signalet, lignende militær navigeringsteknologi, forhindre angreb med udskiftning til en vis grad. Alligevel vil en gerningsmand være i stand til at omdirigere GPS-signaler med de ønskede tidsmæssige forsinkelser, og opnå en udskiftning af placering eller tid. Inspiration kan hentes fra eksisterende litteratur om at forhindre angreb med GPS-udskiftning og skabe lignende systemer på modtagerens side. Et alternativ kan være at implementere et omfattende, sikkert lokalisationssystem baseret på afstandsbegrænsning og sikre teknikker til bekræftelse af nærhed. Dog vil dette kræve, at der sikres tovejs kommunikation, og denne mulighed kræver yderligere undersøgelse, som angår dens skalerbarhed, gennemførlighed og mere.
I det føderale luftfartsadministration i USA har de oplyst, at de ikke har tilstrækkelig information om den demonstration, der blev udført af forskerne, til at kunne kommentere.
Dette angreb og det store omfang af den udførte forskning er imponerende, men det store spørgsmål i arbejdet har ikke et svar – hvor sandsynligt er det, at nogen ønsker at investere tid og kræfter i at gennemføre et sådant angreb i realiteten? Andre typer sårbarheder, for eksempel dem, der tillader hackere at installere malware på brugernes computere på afstand, eller omgå populære krypteringssystemer, kan let monetiseres. Med et angreb på GPS-udskiftning er det ikke sådan. Denne kategori omfatter også livsfarlige angreb på pacemakere og andre medicinske enheder.
Og selvom motivationen for sådanne angreb er sværere at se, vil det være en fejl at afvise muligheden for dem. I , offentliggjort i maj af C4ADS, en non-profit organisation, der belyser problemer med globale konflikter og mellemstatslig sikkerhed, er det angivet, at Den Russiske Føderation ofte har udført omfattende tests af GPS-systemets funktionsfejl, hvilket får navigationssystemerne på skibe til at fejlagtigt angive deres placering med op til 65 miles eller mere [Rapporten nævner faktisk, at under åbningen af Krimbroen (det vil sige, ikke 'ofte', men kun én gang) blev det globale navigationssystem forstyrret af en transmitter placeret på denne bro, og dens indflydelse kunne mærkes selv tæt på Anapa, der ligger 65 km (og ikke miles) derfra. "Og så er alt korrekt" (c) / kommentar fra oversætteren.].
"Den Russiske Føderation har en relativ fordel i brugen og udviklingen af muligheder for at narre globale navigationssystemer," advarer rapporten. "Dog giver den lave pris, tilgængelighed til salg i åbent marked og brugervenlighed af sådanne teknologier ikke kun stater, men også oprørere, terrorister og kriminelle store muligheder for at destabilisere statslige og ikke-statlige netværk."
Og selvom forfalskningen af KGS virker som esoterik i 2019, er det næppe en fantasifuld antagelse, at det i de kommende år vil blive mere almindeligt, efterhånden som angrebsteknologierne bliver mere forståelige, og softwarestyrede radio transmittere bliver mere udbredte. Angreb på KGS er ikke nødvendigvis udført for at forårsage nødsituationer. De kan udføres for at forstyrre lufthavnsdrift, som da ulovlige droner førte til lukningen af Gatwick lufthavn i London i sidste december, få dage før juleaften, og tre uger senere — Heathrow.
"Penge er én motivation, og demonstration af magt er en anden," sagde Ranganathan. "Set fra et sikkerhedsmæssigt perspektiv er disse angreb yderst kritiske. Det er noget, der skal tages hånd om, da der i denne verden vil være mange mennesker, som ønsker at demonstrere magt."
Kilde: habr.com
