Lennukitel kasutatavad raadiosuunajate süsteemid ei ole ohutud ja on alti häkkimisele.

Lennukite maandumisraja leidmise signaali saab petta raadioga 600 dollari eest

Lennuk demonstreerib ründe raadiot vale signaalide tõttu ILS maandub paremale maandumisrajale

Peaaegu iga õhusõiduk, mis on viimase 50 aasta jooksul õhku tõusnud – olgu selleks üherealise Cessna lennuk või 600 kohaga hiiglaslik reisilennuk – on kasutanud raadiote abi, et ohutult lennujaamadesse maanduda. Need õhusõiduki suunamise süsteemid, tuntud kui ILS (Instrument Landing System, instrumentaallennusüsteem), peavad olema täpsusmaandumise süsteemideks, kuna nad erinevad GPS-ist ja muudest navigatsioonisüsteemidest, pakkudes elutähtsat reaalajas teavet lennuki horisontaalse suuna ja vertikaalse laskumiskae kohta maandumisraja suhtes. Paljudes tingimustes – eriti udus või vihmas öösel maandudes – jääb see raadioga navigeerimine peamiseks viisiks, et tagada lennuki maandumine raja alguses ja täpselt keskel.

Nagu paljud teised minevikus loodud tehnoloogiad, ei olnud KGS-i puhul ette nähtud kaitset häkkerite eest. Raadiolained ei ole krüpteeritud ja nende autentsust ei kontrollita. Piloodid lihtsalt eeldavad, et nende süsteemidesse saadetud helisignaalid määratud lennujaama sagedusel on tõelised signaalid, mida edastab lennujaama operaator. Aastate jooksul ei olnud see turvaprobleem peaaegu kedagi häirinud, peamiselt seetõttu, et signaalide võltsimise maksumus ja keerukus muutis rünnakud mõttetuks.

Kuid nüüd on teadlased välja töötanud odava meetodi häkkimiseks, mis tõstatab küsimusi KGS-i ohutuse kohta, mida kasutatakse praktiliselt igas tööstusriigi tsiviillasutuses. Kasutades $600 maksva raadiojaama, programmeeritud juhtimine, saavad teadlased lennujaama signaale nii võltsida, et piloodi navigeerimisriistad näitavad, et lennuk on kursilt kõrvale kaldunud. Vastavalt koolitusele peab piloot korrigeerima laskumise kiirus või laeva orientatsiooni, luues seeläbi õnnetuse ohu.

Üks rünnakutehnoloogia seisneb vale signaalides, mis annavad märku, et laskumisnurk on väiksem kui tegelikult. Vale teade sisaldab nn signaali „laskumine alla”, andes piloodile teada, et laskumisnurka tuleb suurendada, mis võib põhjustada, et lennuk puudutab maad enne maandumisrada.

Küljelt näidatud video sisaldab samuti vale signaali, mis võib ohustada lennukit, mis on maandumise eel. Ründaja võib saata signaali, mis ütleb piloodile, et tema lennuk on maandumisraja keskjoonest vasakul, kuigi tegelikult on lennuk täpselt keskel. Piloot reageerib, suunates lennuki paremale, mistõttu lennuk nihkub lõpuks küljele.

Boston'i Kirdhtlo Ülikooli teadlased konsulteerisid piloodi ja turbeeksperdiga ning märkisid ettevaatlikult, et sellise signaalide valehäire tulemusena on enamikul juhtudel õnnetus ebatõenäoline. VOO tõrged on tuntud lennuliikluse ohud ning kogenud piloodid saavad põhjalikku väljaõpet, kuidas nendega tegeleda. Selge ilmaga on piloodil lihtne märkida, et lennuk ei ole maandumisrada mööda joondumisel ja ta suudab hõlpsasti ringiga tagasi pöörduda.

Veel üks põhjus, miks tulla ettevaatlikult skeptiliselt, on väidetava rünnaku keerukus. Lisaks programmeeritavale raadiojaamale on vajalikud suunatud antennid ja võimendi. Kogu see varustus on üsna keeruline salaja lennukisse toimetada, kui häkker soovib rünnaku läbi viia lennuki bordilt. Kui ta otsustab rünnata maapinnalt, peab ta väga palju tööd tegema, et varustus maandumistee suunal joondada ja samas tähelepanu mitte tõmmata. Veelgi enam, lennujaamad jälgivad tavaliselt olulistel sagedustel esinevaid segamisjuhtumeid ning seetõttu võib rünnak peatuda juba varsti pärast algust.

2012. aastal paljastas uurija Brad Haynes, tuntud hüüdnimega Renderman, haavatavused AZN-V (automaatne sõltuv järelevalve-ülekandmine) süsteemis, mida lennukid kasutavad oma asukoha määramiseks ja andmete edastamiseks teistele lennukitele. Ta kokkuvõtlikult väljendas reaalse KGS-signaalide valeandmise raskusi järgmiselt:

Kui kõik mängu tuuakse – asukoht, varjatud seadmed, halvad ilmaolud, sobiv sihtmärk, hästi motiveeritud, nutikas ja rahaga varustatud ründaja – mis siis saab? Halvimal juhul maandub lennuk rohu peale, vigastused või surmad on võimalikud, kuid lennukite ohutu konstrueerimine ja kiirreageerimismeeskonnad tagavad väga väikese tõenäosuse, et tekib tohutu tulekahju, mis hävitab kogu lennuki. Sellisel juhul peatatakse maandumine ja ründaja ei saa seda enam korrata. Parimal juhul märkab piloot ebakõla, määrib püksid, tõstab kõrgust, teeb ringi ja teatab, et KGS-iga on midagi valesti – lennujaam alustab uurimist, mis tähendab, et ründaja ei taha enam läheduses viibida.

Nii et kui kõik klapib, saab tulemus olema minimaalne. Võrrelge seda tulemuse ja investeeringute suhtega ning majanduslikku mõju olukorra puhul, kus üks kits drone'iga 1000 dollari eest kaks päeva Heathrow lennujaama ümber tiirutas. Kindlasti oli droon tõhusam ja töökindlam lahendus kui selline rünnak.

Kuid teadlased ütlevad, et riskid on olemas. Lennukid, mis ei saa maale siseneda ideaalsesse laskumisprofiili – kujuteldav joone, mida lennuk järgib ideaalsel maandumisel – on isegi heade ilmastikuolude korral palju raskemini tuvastatavad. Veelgi enam, mõned tihedalt liiklevad lennujaamad soovitavad lennukitel mitte kiirustada teisele ringile, et vältida viivitusi, isegi halbade nähtavustingimuste korral. Kogumismudeli juhised WeDo 2.0 USA Föderaalse Tsiviillennunduse Administratsiooni laskumisjuhised, millest paljud USA lennujaamad juhinduvad, näitavad, et selline otsus tuleb teha juba 15 m kõrgusel. Sarnased juhised kehtivad ka Euroopas. Need jätavad piloodile väga vähe aega, et ohutult katkestada maandumine, kui visuaalsed tingimused ei vasta KGS-i andmetele.

„Tuvastamine ja taastamine häirete korral kriitilise maandumisprotseduuri ajal on üks keerulisemaid ülesandeid tänapäeva lennunduses,” kirjutavad uurijad oma töös artikkel pealkirjaga „Juhtimis- ja glissandi süsteemide traadita rünnakud”, mis on võetud esitlusele 28. USENIXi turvalisuse sümpoosionil. „Kuna piloodid tuginevad KGS-ile ja tööriistadele tervikuna, võivad rikked ja pahatahtlik sekkumine põhjustada katastroofilisi tagajärgi, eriti autonoomsete lähenemiste ja lendude käigus.”

Mis juhtub KGS-i rikkest

Mõned maandumised, mis peaaegu lõppesid katastroofiga, demonstreerivad KGS-i rikete ohtu. 2011. aastal kallutas Singapore Airline’i lend SQ327 143 reisijaga ja 15 meeskonnaliikmega ootamatult vasakule, olles 10 meetri kõrgusel Müncheni lennujaama maandumisrajalt. Pärast maandumist kaldus Boeing 777-300 vasakule, seejärel pööras paremale, ületas teljepiiri ja peatus, kui tema all olevad rattad olid rohul paremal pool maandumisrajast.

V aruanne Saksamaa föderaalne õnnetuste uurimise komisjon on avaldanud, et lennuk mööda maandumispunkti 500 m kaugusele. Uurijad ütlesid, et üks õnnetuse põhjustest oli kursuse maandumisraadio märguande signaalide moonutamine tõusva lennuki poolt. Kuigi vigastustest ei teatatud, rõhutas see sündmus süsteemi KGS tõrgete tõsidust. Muuhulgas on teiste KGS tõrgetega seotud õnnetuste seas, mis peaaegu lõppesid tragöödiaga, Uus-Meremaa lend NZ 60 aastast 2000 ja Ryanair'i lend FR3531 aastal 2013. Videos selgitatakse, mis läks valesti viimasel korral.

Vaibhav Sharma juhib San Francisco orust üle maailma tegutseva turvafirma tegevust ning on väikelennukitega lennanud alates 2006. aastast. Tal on ka amatöörside operaatori litsents ja ta osaleb vabatahtlikuna tsiviilõhupatrullis, kus on läbinud päästja ja raadiosüsteemi operaatori väljaõppe. Ta juhib lennukit simulaatoris X-Plane, demonstreerides signaalide vahetamise rünnakut, mis sunnib lennukit maanduma maandumisrajalt paremale.

Sharma rääkis meile:

Selline rünnak KGS-i vastu on realistlik, kuid selle tõhusus sõltub mitmest tegurist, sealhulgas ründaja teadmistest õhuhalduse süsteemist ja tingimustest lähistel. Kui seda kasutada õigesti, suudab ründaja suunata õhusõiduki takistuste suunas, mis ümbritsevad lennuvälja, ning halbades nähtavusoludes on pilootide meeskonnal väga raske tuvastada kõrvalekaldeid ja nendega toime tulla.

Ta ütles, et rünnakud võivad ohustada nii väikeseid lennukeid kui ka suuri reisilennukeid, kuid erinevatel põhjustel. Väikesed lennukid liiguvad madalamate kiirusetega. See annab pilootidele aega reageerida. Suurtel reisilennukitel, teisest küljest, on meeskonnas rohkem liikmeid, kes suudavad reageerida ebasoodsatele sündmustele, ja selliste lennukite piloodid on tavaliselt paremini ja põhjalikumalt koolitatud.

Ta ütles, et kõige olulisem on suuremate ja väikeste lennukite jaoks hinnata ümbritsevaid tingimusi, sealhulgas ilma, maandumise ajal.

„Selline rünnak oleks tõenäoliselt tõhusam, kui piloodid peavad suuremalt osalt toetuma instrumentidele, et edukalt maanduda,” ütles Sharma. „See võib olla öine maandumine halbades nähtavustingimustes või halbade tingimustega hõivatud õhuruum, mis nõuab pilotitelt suuremat koormust, mistõttu nad sõltuvad autosteerimistest.”

Aandjan Ranganathan, Kirde ülikooli teadlane, kes aitas rünnaku väljatöötamisel, ütles meile, et GPS-i abi ei saa KGS-i tõrgete korral loota. Efektiivse valeandmete rünnaku korral on maandumisrajalt kõrvalekalded 10 kuni 15 meetrit, kuna kõik üle selle suudavad piloodid ja lennujuhtimise teenistused märgata. GPS-il on samuti väga raske selliseid kõrvalekaldeid tuvastada. Teine põhjus – GPS-signaalide valeandmine on väga lihtne.

„Ma saan GPS-i valeandmed anda koos KGS-i valeandmete andmisega,” ütles Ranganathan. „Küsimus on ründaja motivatsiooni astmes.”

KGS-i eelkäija

KGS-i katsed algasid juba 1929. aastal, ja esimene töö süsteem käivitati 1932. aastal Saksamaa Berliini-Tempelhofi lennujaamas.

KGS jääb üheks kõige tõhusamaks laskumissüsteemiks. Teised lähenemisviisid, näiteks universaalne azimutiaalne raadiomajakas, juhtiv raadiomajakas, globaalne positsioneerimissüsteem ja muud sarnased satelliitnavigeerimissüsteemid peetakse ebatäpseteks, kuna need annavad ainult horisontaalse või ristumise suunamise. KGS-d peetakse aga täpseks lähendussüsteemiks, kuna see annab nii horisontaalset kui ka vertikaalset (libisemine) suunamist. Viimastel aastatel on ebatäpset süsteemi kasutatud üha vähem. KGS-d on järjest enam seostatud automaatpilotide ja automaatsetsussüsteemidega.

KGS tööpõhimõte: kursuse laskumisraadiomajakas [localizer], libisemise kalde [glideslope] ja markerraadiomajakad [marker beacon]

KGS-il on kaks peamist komponeneti. Kursivaba maandumisraadiojaam annab piloodile teada, kas lennuk on maandumisraja keskjoonest vasakul või paremal, ja glissandikalle ütleb, kas laskumine on liiga järsk, et lennuk ei mööduks rajast. Kolmas komponent on markerraadiojaamad. Need toimivad kui teeviidad, mis aitavad piloodil määrata kaugust rajani. Aastate jooksul asendatakse neid üha enam GPS-i ja teiste tehnoloogiate poolt.

Kursivaba maandumisraadiojaam kasutab kahe erineva kõrgusega heli edastamiseks kahte antennikomplekti – üks 90 Hz ja teine 150 Hz – kusjuures iga sagedus on määratud maandumisrajale. Antennivõrgud on paigaldatud rajapoolt, tavaliselt pärast stardipunkti, nii, et helid tühistuvad, kui maanduv lennuk asub otse rajajoonel. Hälbeindikaator näitab keskjoonel vertikaalset joont.

Kui lennuk kaldub paremale, muutub 150 Hz heli järjest kuuldavamaks, mistõttu kaldunäitaja liigub keskelt vasakule. Kui lennuk kaldub vasakule, muutub kuuldavamaks 90 Hz heli ja näitaja liigub paremale. Kursuse maandumismärguanne ei saa kindlasti täielikult asendada lennuki visuaalset asendi kontrolli, kuid see annab olulise ja väga intuitsioonilise navigeerimisvahendi. Piloodid peavad lihtsalt hoidma näitajat keskosas, et lennuk oleks täpselt telgjoone kohal.

Glissandi kalle töötab umbes samamoodi, ainult et see näitab lennuki laskumiskanget maandumisrada alguse suhtes. Kui lennuki nurk on liiga väike, tugevneb 90 Hz heli ning instrumendid näitavad, et lennuk peab laskuma. Kui laskumine on liiga järsk, annab 150 Hz signaal teada, et lennuk peab tõusma. Kui lennuk jääb glissandi nõutud kaldest, mis on umbes kolm kraadi, tühistatakse signaalid vastastikku. Kaks glissandi antenni asuvad tornis kindlal kõrgusel, mis määratakse glissandi nurga järgi, mis sobib konkreetsele lennuväljale. Torn asub tavaliselt maandumisrada kontaktpiirkonna lähedal.

Tõrgeteta vale

North Eastern University researchers utilize commercially available software transmitters. These devices, sold for $400-$600, transmit signals that mimic the genuine signals sent by the airport's Ground Control Station (GCS). The attacker’s transmitter could be either on board the targeted aircraft or on the ground, up to 5 km away from the airport. As long as the attacker’s signal is stronger than the genuine signal, the GCS receiver will interpret the attacking signal, displaying its orientation related to the vertical and horizontal flight trajectory planned by the attacker.

If the spoofing is poorly executed, the pilot will notice sudden or chaotic changes in instrument readings, which he will interpret as a malfunction of the GCS. To make the forgery harder to detect, the attacker can pinpoint the exact location of the aircraft using AZN-V, a system that transmits the aircraft's location via GPS, altitude, ground speed, and other data to ground stations and other vessels every second.

Kasutades neid andmeid, võib ründaja alustada signaali valehäirete saatmist, kui lähenev lennuk on maandumisraja suhtes vasakule või paremale kaldunud, ja edastada sellele signaali, et lennuk liigub sirgelt. Rünnaku optimaalne aeg on hetk, mil lennuk on just möödunud punktist, nagu näidatud artikli alguses oleva demonstreerimise videos.

Seejärel saab ründaja rakendada reaalajas signaali korrigeerimise ja genereerimise algoritmi, mis pidevalt kohandab pahatahtlikku signaali, et tagada, et tõest teelt kõrvalekaldumine vastaks lennuki kõigile liikumistele. Isegi kui ründajal puuduvad oskused, et teha veatu valehäire, võib ta KGS-i nii segadusse ajada, et piloot ei saaks sellele maandumisel toetuda.

Üks signaali võltsimise variant on tuntud kui "varjutusrünnak". Ründaja saadab spetsiaalselt valmistatud signaale, mille võimsus on suurem kui lennujaama edastaja omad. Selleks peab ründaja tavaliselt saatma signaale, mille võimsus on 20 W. Varjutusrünnakud muudavad usutava signaali asendamise lihtsamaks.

Varjutusrünnak

Teine signaali asendamise variant on tuntud kui "monotooniline rünnak". Selle eeliseks on see, et on võimalik saata ühte sagedust helisignaali, mille võimsus on väiksem kui lennujaama KGS. Tal on mitu puudust, näiteks peab ründaja täpselt teadma lennuki spetsiifikat – näiteks KGS-antennide asukohta.

Monotooniline rünnak

Lihtsate lahenduste puudumine

Uurijad ütlevad, et praegu ei ole viise petusrünnakute ohu kõrvaldamiseks. Alternatiivsed navigeerimise tehnoloogiad — sealhulgas 360-kraadine azimutiline raadioasend, juhtiva raadioasendi süsteem, globaalne positsioneerimissüsteem ja sarnased satelliitsüsteemid — edastavad juhtmeta signaale, millel puudub autentimise mehhanism ja seega on nad petusrünnakutele vastuvõtlikud. Veelgi enam, horisontaalse ja vertikaalse maandumise trajektoori kohta saab teavet anda vaid KGS ja GPS.

Oma töös kirjutavad uurijad:

Enamik turvaprobleeme, millega sellised tehnoloogiad kokku puutuvad, on AZN-V, ACARS ja TCAS, saate parandada, rakendades krüptograafiat. Siiski ei piisa krüptograafiast GPS-signaalide lokaliseerimisrünnete vältimiseks. Näiteks GPS-signaali krüptimine, mis sarnaneb sõjaväetehnoloogia navigeerimisega, võib teatud määral vältida asendusrünnakuid. Siiski saab häkker edastada GPS-signaale soovitud viitega, saavutades sellega asukoha või aja vale määramise. Inspiratsiooni võib ammutada olemasolevast kirjandusest GPS-asendusrünnakute vältimiseks ja luua sarnaseid süsteeme vastuvõtja poolel. Alternatiiviks võiks olla laialdase, turvalise lokaliseerimissüsteemi rakendamine, mis põhineb kauguse piiramisel ja turvalistel lähenduste kinnitamise tehnikatel. Sellest hoolimata on vajalik tagada kahepoolsed sidemed, ning see valik vajab edasist uurimist seoses selle skaleeritavuse, teostatavuse ja muu sarnasega.

USA Föderaalses Tsiviillennunduse Halduse büroos teatasid, et neil ei ole piisavalt teavet uurijate korraldatud demonstraatsiooni kohta, et teha kommentaare.

See rünnak ja ulatuslik uurimistöö on muljetavaldavad, kuid põhiküsimusele ei ole vastust – kui tõenäoliseks peetakse, et keegi tahaks tõeliselt pingutada, et sellist rünnakut ellu viia? Muude haavatavuste, näiteks selliste, mis võimaldavad häkkeritel kaugelt pahavara kasutajate arvutitesse installida või populaarseid krüptimise süsteeme ümbersiivida, rahaks tegemine on kerge. KGS-pettusega on see teistsugune. Sellesse kategooriasse kuuluvad ka eluohtlikud rünnakud südamestimulaatorite ja muude meditsiiniseadmete vastu.

Ja kuigi selliste rünnakute motiivi on raskem näha, oleks vale välistada nende võimalus. A aruanne, mis avaldati maikuus C4ADS-iga, mittetulundusühing, mis käsitleb globaalsete konfliktide ja riikidevahelise julgeoleku probleemide teemasid, tuuakse välja, et Venemaa on sageli teinud ulatuslikke GPS-süsteemi rikkumise katsetusi, mille tulemusena eksisid laevade navigeerimisseadmed oma asukoha osas 65 miili ja rohkem.Tegelikult räägib aruanne sellest, et Krimmi silla avamise ajal (st mitte "tihti", vaid vaid korra) segas globaalset navigeerimissüsteemi silla peal olev edastaja, mille töö tundus isegi Anapas, mis asub 65 km kaugusel (mitte miilides) sellest kohast. "Aga muidu on kõik õige" (c) / märk. tõlk.].

"Venemaa Föderatsioonil on suhteline eelis globaalsete navigeerimissüsteemide petmisvõimaluste kasutamisel ja arendamisel," hoiatab aruanne. "Kuid madal hind, avatus avatud müügiks ja sarnaste tehnoloogiate lihtne kasutamine võimaldab mitte ainult riikidele, vaid ka mässulistele, terroristidele ja kurjategijatele laia võimaluste spektrit riiklike ja eraettevõtete võrkude destabiliseerimiseks."

Kuigi KGS-i asendamine näib 2019. aastal esoteeriline, ei ole sugugi fantastiline arvata, et järgmistel aastatel saab see tavalisemaks, kuna rünnakute tehnoloogiad muutuvad arusaadavamaks ja programmeeritavad raadiosaatjad levivad laiemalt. KGS-i rünnakud ei pea tingimata toimuma seda, et põhjustada õnnetusi. Need võivad häirida lennujaamade tööd, nagu seaduslikud droonid, mis põhjustasid Gatwicki lennujaama sulgemise Londonis eelmisel detsembril, mõned päevad enne jõule, ja kolm nädalat hiljem — Heathrow lennujaama.

„Raha on üks motiiv, tugevuse demonstreerimine teine,” ütles Ranganathan. „Kaitse seisukohalt on need rünnakud äärmiselt kriitilised. Sellest tuleb hoolitseda, kuna sellel maailmas on piisavalt inimesi, kes soovivad tugevust demonstreerida.”

Allikas: habr.com