Il segnale che gli aerei usano per trovare la pista di atterraggio può essere falsificato con una radio da $600
Aereo in una dimostrazione di attacco alla radio a causa di segnali falsificati atterra a destra della pista di atterraggio
Praticamente qualsiasi velivolo decollato negli ultimi 50 anni, sia esso un monomotore ‘Cessna’ o un aereo di linea gigante da 600 posti, ha fatto affidamento su stazioni radio per un atterraggio sicuro negli aeroporti. Questi sistemi di avvicinamento strumentale, ILS (Instrument Landing System), sono considerati sistemi di avvicinamento preciso, in quanto, a differenza del GPS e di altri sistemi di navigazione, forniscono informazioni vitali in tempo reale riguardanti l'orientamento orizzontale dell'aereo rispetto alla pista e l'angolo verticale di discesa. In molte condizioni, specialmente durante gli atterraggi in nebbia o sotto la pioggia di notte, questa radionavigazione rimane il modo principale per garantire che l'aereo tocchi terra all'inizio della pista e esattamente al centro.
Come molte altre tecnologie create in passato, l'ILS non ha previsto protezioni contro le manomissioni. I segnali radio non sono criptati e la loro autenticità non è verificata. I piloti presumono semplicemente che i segnali acustici ricevuti dai loro sistemi sulla frequenza assegnata all'aeroporto siano segnali reali trasmessi dall'operatore aeroportuale. Per molti anni, questa mancanza di sicurezza non ha preoccupato quasi nessuno, principalmente perché il costo e la complessità della falsificazione dei segnali rendevano gli attacchi privi di senso.
Ma ora i ricercatori hanno sviluppato un metodo economico di manomissione, sollevando interrogativi sulla sicurezza dell'ILS utilizzato praticamente in ogni aeroporto civile del mondo industrializzato. Utilizzando una radio da $600 con , i ricercatori possono falsificare i segnali aeroportuali in modo che gli strumenti di navigazione del pilota mostrino che l'aereo è uscito dal corso. Secondo la formazione, il pilota deve correggere la velocità di discesa o l'orientamento dell'aeromobile, creando così una minaccia di incidente.
Una tecnologia di attacco consiste nell'inviare segnali falsi che indicano un angolo di discesa inferiore a quello reale. Il messaggio contraffatto contiene il cosiddetto segnale "accettare discesa", che avvisa il pilota della necessità di aumentare l'angolo di discesa, il che potrebbe portare l'aereo a toccare terra prima dell'inizio della pista di atterraggio.
Nel video viene mostrato un segnale falsificato in altri modi, che potrebbe rappresentare una minaccia per l'aereo in fase di atterraggio. L'attaccante può inviare un segnale che avvisa il pilota che il suo aereo si trova a sinistra della linea centrale della pista di atterraggio, quando in realtà l'aereo è esattamente al centro. Il pilota reagirà spostando l'aereo a destra, il che causerà uno spostamento laterale.
I ricercatori della Northeastern University di Boston hanno consultato un pilota e un esperto di sicurezza, notando con cautela che una simile falsificazione dei segnali ha una bassa probabilità di portare a un incidente nella maggior parte dei casi. I guasti del sistema di sorveglianza automatica (ADS-B) sono una nota minaccia per la sicurezza dei voli, e i piloti esperti ricevono un addestramento dettagliato su come reagire. In condizioni di buona visibilità, sarà facile per il pilota notare che l'aereo non è allineato con la linea centrale della pista, e potrà effettuare un secondo passaggio.
Un altro motivo per un ragionevole scetticismo riguarda la difficoltà di eseguire l'attacco. Oltre a una stazione radio programmabile, saranno necessarie antenne direzionali e un amplificatore. Tutta questa attrezzatura sarà piuttosto difficile da portare di nascosto a bordo dell'aereo se l'hacker intende lanciare un attacco dall'interno dell'aereo. Se invece decide di attaccare dal suolo, ci vorrà moltissimo lavoro per allineare l'attrezzatura con la pista senza attirare l'attenzione. Inoltre, gli aeroporti di solito monitorano la presenza di interferenze su frequenze particolarmente importanti, il che potrebbe fermare l'attacco poco dopo l'inizio.
Nel 2012, il ricercatore Brad Haynes, noto con il nominativo , nel sistema ADS-B (Automatic Dependent Surveillance–Broadcast), che gli aerei utilizzano per determinare la loro posizione e trasmettere dati ad altri aerei. Ha riassunto le difficoltà relative alla falsificazione reale dei segnali di ADS-B in questo modo:
Se tutto si allinea - posizione, attrezzature nascoste, cattive condizioni meteorologiche, obiettivo appropriato, attaccante ben motivato, intelligente e con risorse finanziarie - cosa succederebbe? Nel peggiore dei casi, l'aereo atterrerà sull'erba, ci potrebbero essere feriti o decessi, ma lo sviluppo sicuro degli aerei e le squadre di pronto intervento garantiscono una probabilità molto bassa di un enorme incendio con la perdita dell'intero aereo. In tal caso, l'atterraggio sarà interrotto e l'attaccante non sarà in grado di ripetere l'azione. Nel migliore dei casi, il pilota noterà un'anomalia, si sporcherà i pantaloni, salirà in altezza, farà un secondo giro e informerà che c'è qualcosa che non va con il GCS - l'aeroporto avvierà un'indagine, il che significa che l'attaccante non vorrà restare nei paraggi.
Quindi, se tutto si allinea, il risultato sarà minimo. Confrontalo con il rapporto risultato/investimenti e l'effetto economico di quella volta in cui un caprone con un drone da $1000 ha volato per due giorni attorno all'aeroporto di Heathrow. Di certo il drone era un'opzione più efficace e funzionante rispetto a un tale attacco.
Eppure, i ricercatori affermano che i rischi esistono. Gli aerei che non si allineano durante l'atterraggio nella traiettoria ideale - la linea immaginaria che l'aereo segue durante un atterraggio perfetto - sono molto più difficili da rilevare anche in buone condizioni meteorologiche. Inoltre, alcuni aeroporti affollati, per evitare ritardi, chiedono agli aerei di non affrettarsi a ripetere il secondo giro anche in condizioni di scarsa visibilità. per l'atterraggio dell'Amministrazione Federale dell'Aviazione Civile degli Stati Uniti, seguite da molti aeroporti statunitensi, indicano che una tale decisione deve essere presa a un'altezza di soli 15 metri. Istruzioni simili valgono anche in Europa. Esse lasciano al pilota pochissimo tempo per interrompere l'atterraggio in sicurezza, se le condizioni visive circostanti non coincidono con i dati del GCS.
«Rilevare e ripristinare in caso di guasto di qualsiasi strumento durante le procedure di atterraggio critiche è una delle sfide più complesse dell'aviazione moderna», hanno scritto i ricercatori nel loro intitolato «Attacchi wireless ai sistemi di guida e di avvicinamento degli aeromobili», presentato al . «Considerando quanto gli aviatori si affidino all'ILS e in generale agli strumenti, un guasto e un'interferenza dolosa possono avere conseguenze catastrofiche, specialmente durante le fasi di avvicinamento autonomo e volo».
Cosa succede con i guasti dell'ILS
Alcuni atterraggi che hanno rischiato di finire in tragedia mostrano il pericolo dei guasti dell'ILS. Nel 2011, il volo SQ327 di Singapore Airlines, con 143 passeggeri e 15 membri dell'equipaggio a bordo, si è inclinato improvvisamente a sinistra a 10 metri sopra la pista di atterraggio all'aeroporto di Monaco in Germania. Dopo l'atterraggio, il Boeing 777-300 si è deviato a sinistra, poi ha girato a destra, ha attraversato la linea centrale e si è fermato, con il carrello in grasso a destra della pista.
In sull'incidente, pubblicata dalla Commissione federale tedesca per la sicurezza dei trasporti aerei, afferma che l'aereo ha mancato il punto di atterraggio di 500 m. Gli investigatori hanno detto che uno dei colpevoli dell'incidente è stata la distorsione dei segnali del sistema di atterraggio aereo da parte di un aereo in fase di decollo. Anche se non si sono registrati feriti, l'evento ha sottolineato la gravità del guasto dei sistemi ILS. Tra gli altri incidenti di guasti dell'ILS, quasi finiti tragicamente, si annoverano il volo NZ 60 della Nuova Zelanda nel 2000 e il volo FR3531 di Ryanair nel 2013. Nel video viene spiegato cosa è andato storto in quest'ultimo caso.
Vaibhav Sharma è responsabile delle operazioni di un'azienda della Silicon Valley che si occupa di sicurezza a livello globale e vola su piccoli aerei dal 2006. Ha anche una licenza per operatori di radioamatori e partecipa come volontario nel pattugliamento aereo civile, dove ha ricevuto formazione come soccorritore e operatore radio. Gestisce un aereo nel simulatore X-Plane, dimostrando un attacco con sostituzione dei segnali, causando l'atterraggio dell'aereo a destra della pista.
Sharma ci ha raccontato:
Un attacco simile al GCS è realistico, ma la sua efficacia dipenderà da una combinazione di fattori, inclusa la conoscenza del sistema di navigazione aerea del mittente e le condizioni di avvicinamento. Se utilizzato correttamente, il mittente potrà deviare l'aeromobile verso gli ostacoli circostanti l'aeroporto e, se fatto in condizioni di scarsa visibilità, la squadra di piloti avrà difficoltà a rilevare le deviazioni e a gestirle.
Ha affermato che gli attacchi hanno il potenziale di minacciare sia i piccoli aerei che i grandi aeromobili a reazione, sebbene per motivi diversi. I piccoli aerei volano a velocità inferiori. Questo dà ai piloti più tempo per reagire. Gli aeroplani a reazione di grandi dimensioni, d'altra parte, hanno più membri a bordo in grado di reagire a eventi sfavorevoli, e i piloti di questi aerei di solito ricevono formazione più frequente e approfondita.
Ha detto che la cosa più importante per gli aerei di grandi e piccole dimensioni sarà valutare le condizioni circostanti, in particolare il meteo, durante l'atterraggio.
«Un attacco del genere probabilmente sarà più efficace quando i piloti dovranno fare maggior affidamento sugli strumenti per effettuare un atterraggio di successo», ha affermato Sharma. «Questi possono essere atterraggi notturni in condizioni di scarsa visibilità, oppure una combinazione di condizioni avverse con uno spazio aereo congestionato, che richiede ai piloti un maggiore carico di lavoro, il che li rende altamente dipendenti dall'automazione».
Aandjan Ranganathan, ricercatore della Northeastern University che ha contribuito allo sviluppo dell'attacco, ci ha detto che non si può contare molto sull'assistenza del GPS in caso di guasto del GCS. Le deviazioni dalla pista di atterraggio in un attacco efficace con sostituzione saranno comprese tra i 10 e i 15 metri, poiché qualsiasi cosa di più i piloti e i controllori del traffico aereo possono notare. Il GPS avrà difficoltà a rilevare tali deviazioni. La seconda ragione è che sostituire i segnali GPS è molto facile.
«Posso sostituire il GPS in parallelo con la sostituzione del GCS», ha detto Ranganathan. «L'intera questione riguarda il grado di motivazione dell'attaccante».
Predecessore del GCS
I test del GCS sono iniziati , e il primo sistema funzionante è stato implementato nel 1932 presso l'aeroporto di Berlino-Tempelhof.
Il GCS rimane uno dei sistemi di atterraggio più efficaci. Altri approcci, ad esempio, , il faro radio di avvicinamento, il sistema globale di posizionamento e altri sistemi di navigazione satellitari sono considerati imprecisi poiché forniscono solo un'orientamento orizzontale o trasversale. Il sistema di avvicinamento di precisione è considerato un sistema preciso perché fornisce sia un'orientamento orizzontale che verticale (glideslope). Negli ultimi anni, i sistemi imprecisi sono stati utilizzati sempre meno. Il sistema di avvicinamento di precisione è stato sempre più associato ai sistemi di pilota automatico e di atterraggio automatico.
Come funziona il sistema di avvicinamento di precisione: faro radio di avvicinamento [localizer], inclinazione glideslope [glideslope] e fari di marcatura [marker beacon]
Il sistema di avvicinamento di precisione ha due componenti chiave. Il faro radio di avvicinamento informa il pilota se l'aereo è spostato a sinistra o a destra dalla linea centrale della pista, mentre l'inclinazione glideslope indica se l'angolo di discesa è troppo pronunciato per evitare che l'aereo atterri oltre l'inizio della pista. Il terzo componente sono i fari di marcatura, che fungono da punti di riferimento per consentire al pilota di misurare la distanza dalla pista. Negli anni, sono stati sempre più sostituiti da GPS e altre tecnologie.
Il faro radio di avvicinamento utilizza due set di antenne che emettono due suoni a diverse altezze: uno a 90 Hz e l'altro a 150 Hz - ciascuno alla frequenza assegnata a una delle piste. Le griglie delle antenne sono posizionate su entrambi i lati della pista, di solito dopo il punto di decollo, in modo che i suoni si cancellino reciprocamente quando l'aereo in fase di atterraggio è direttamente sopra la linea centrale della pista. L'indicatore di deviazione mostra una linea verticale al centro.
Se l'aereo devia a destra, il suono a 150 Hz diventa sempre più udibile, facendo spostare l'indicatore di deviazione a sinistra del centro. Se l'aereo devia a sinistra, il suono a 90 Hz diventa più forte, e l'indicatore si sposta a destra. Il faro radio di avvicinamento, ovviamente, non può sostituire il controllo visivo della posizione dell'aereo, ma offre un mezzo fondamentale e molto intuitivo di orientamento. I piloti devono semplicemente mantenere l'indicatore al centro affinché l'aereo sia esattamente sopra la linea centrale.
L'inclinazione della traiettoria di avvicinamento funziona più o meno allo stesso modo, solo che mostra l'angolo di discesa dell'aereo rispetto all'inizio della pista di atterraggio. Quando l'angolo dell'aereo è troppo basso, si sente un suono a 90 Hz più forte e gli strumenti indicano che l'aereo deve scendere. Quando la discesa è troppo ripida, il segnale a 150 Hz indica che l'aereo deve salire. Quando l'aereo rimane all'angolo di discesa prescritto, di circa tre gradi, i segnali si annullano a vicenda. Due antenne di avvicinamento sono situate su una torre a un'altezza definita dall'angolo di discesa adatto per un determinato aeroporto. La torre è solitamente posizionata vicino alla zona di contatto della pista.
Falsificazione impeccabile
L'attacco dei ricercatori della Northeastern University utilizza trasmettitori radio software disponibili in commercio. Questi dispositivi, venduti a $400-$600, trasmettono segnali fingendo di essere veri segnali inviati dal sistema di controllo del traffico aereo dell'aeroporto. Il trasmettitore dell'attaccante può trovarsi sia a bordo dell'aereo sotto attacco che a terra, a una distanza di fino a 5 km dall'aeroporto. Finché il segnale dell'attaccante supera in potenza il segnale reale, il ricevitore del sistema di controllo del traffico aereo percepirà il segnale dell'attaccante, mostrando l'orientamento rispetto alla traiettoria verticale e orizzontale di volo pianificata dall'attaccante.
Se la falsificazione è organizzata male, il pilota noterà cambiamenti improvvisi o caotici nelle letture degli strumenti, che interpreterà come un guasto del sistema di controllo del traffico aereo. Per rendere più difficile riconoscere la falsificazione, l'attaccante può precisare la posizione esatta dell'aereo utilizzando , un sistema che trasmette ogni secondo la posizione dell'aereo tramite GPS, l'altitudine, la velocità rispetto al suolo e altre informazioni verso stazioni di terra e altri velivoli.
Utilizzando queste informazioni, l'attaccante può iniziare a falsificare il segnale quando l'aereo in avvicinamento si sposta a sinistra o a destra rispetto alla pista di atterraggio, e inviargli un segnale che indica che l'aereo sta volando in linea retta. Il momento ottimale per l'attacco sarà quando l'aereo ha appena superato il punto di riferimento, come mostrato nel video dimostrativo all'inizio dell'articolo.
Successivamente, l'attaccante può applicare un algoritmo di correzione e generazione del segnale in tempo reale, che regolerà continuamente il segnale dannoso per garantire che lo spostamento rispetto al percorso corretto corrisponda a tutti i movimenti dell'aereo. Anche se l'attaccante non dispone delle competenze necessarie per creare un segnale falsificato impeccabile, riuscirà a confondere talmente il KGS che il pilota non potrà fare affidamento su di esso durante l'atterraggio.
Una delle varianti della falsificazione del segnale è nota come "attacco di occultamento". L'attaccante invia segnali appositamente preparati con una potenza maggiore rispetto ai segnali del trasmettitore dell'aeroporto. Per questo, il trasmettitore dell'attaccante ha generalmente bisogno di inviare segnali con una potenza di 20 W. Gli attacchi di occultamento facilitano l'esecuzione di una sostituzione del segnale convincente.
Attacco di occultamento
La seconda variante della sostituzione del segnale è nota come "attacco monotono". Il suo vantaggio è che è possibile inviare un suono a una sola frequenza con una potenza inferiore rispetto a quella del KGS dell'aeroporto. Ha alcuni svantaggi, ad esempio, l'attaccante deve conoscere esattamente le specifiche dell'aereo, ad esempio la posizione delle sue antenne KGS.
Attacco monotono
Mancanza di soluzioni facili
I ricercatori affermano che al momento non ci sono modi per eliminare la minaccia degli attacchi di sostituzione. Tecnologie alternative di navigazione – inclusi i radiomarker azimutali omnidirezionali, i radiomarker di guida, il sistema globale di posizionamento e simili sistemi di navigazione satellitare – rappresentano segnali wireless privi di meccanismi di autenticazione e, pertanto, sono suscettibili a attacchi di sostituzione. Inoltre, solo il KGS e il GPS possono fornire informazioni sulla traiettoria orizzontale e verticale di avvicinamento.
Nel loro lavoro, i ricercatori scrivono:
La maggior parte dei problemi di sicurezza che affrontano tecnologie come , e , può essere corretto implementando la crittografia. Tuttavia, la crittografia non sarà sufficiente per prevenire attacchi di spoofing. Ad esempio, la crittografia del segnale GPS, simile alla tecnologia di navigazione militare, può prevenire gli attacchi di spoofing fino a un certo punto. Tuttavia, un malintenzionato può ancora deviare i segnali GPS con ritardi temporali a lui utili e ottenere il cambiamento di posizione o tempo. Si può trarre ispirazione dalla letteratura esistente sulla prevenzione degli attacchi di spoofing GPS e creare sistemi simili sul lato del ricevitore. Un'alternativa potrebbe essere l'implementazione di un sistema di localizzazione sicuro su larga scala, basato sulla restrizione della distanza e tecniche sicure di verifica della prossimità. Tuttavia, sarà necessario garantire una comunicazione bidirezionale, e questa opzione richiede ulteriori studi sulla sua scalabilità, fattibilità e altro.
L'Amministrazione federale dell'aviazione degli Stati Uniti ha dichiarato che non ha informazioni sufficienti riguardo alla dimostrazione condotta dai ricercatori per poter rilasciare commenti.
Questo attacco e il significativo volume di ricerca condotta sono impressionanti, ma non c'è risposta alla domanda principale del lavoro: quanto è probabile che qualcuno desideri investire tempo e sforzi per realizzare un attacco del genere? Altri tipi di vulnerabilità, ad esempio, che consentono agli hacker di installare software dannoso sui computer degli utenti da remoto, o di eludere sistemi di crittografia popolari, sono facili da monetizzare. Con l'attacco di spoofing GPS, non è così. In questa stessa categoria rientrano attacchi pericolosi per la vita a pacemaker e altri dispositivi medici.
E sebbene sia più difficile vedere la motivazione per tali attacchi, sarebbe un errore scartare la loro possibilità. Nel , pubblicato a maggio da C4ADS, un'organizzazione no-profit che si occupa di questioni relative ai conflitti globali e alla sicurezza interstatale, si afferma che la Federazione Russa ha spesso condotto test su larga scala di interferenze con il sistema GPS, con il risultato che i sistemi di navigazione delle navi si sono sbagliati nella loro posizione di 65 miglia o più [In realtà, il rapporto afferma che durante l'apertura del ponte di Crimea (cioè, non "spesso", ma solo una volta) il sistema globale di navigazione è stato disturbato da un trasmettitore situato su questo ponte, e il suo funzionamento è stato avvertito anche vicino ad Anapa, che si trova a 65 km (e non miglia) da quel luogo. "Ma è tutto corretto" (c) / nota del traduttore.].
"La Federazione Russa ha un vantaggio relativo nell'uso e nello sviluppo di capacità per ingannare i sistemi di navigazione globale", avverte il rapporto. "Tuttavia, il basso costo, la disponibilità in commercio e la facilità d'uso di tali tecnologie forniscono non solo agli stati, ma anche ai ribelli, ai terroristi e ai criminali ampie opportunità di destabilizzare le reti statali e non statali."
E sebbene la sostituzione del GPS possa sembrare esoterica nel 2019, è improbabile che l'ipotesi che nei prossimi anni diventi una pratica più comune sia così fantasiosa, man mano che le tecnologie degli attacchi saranno comprese meglio e i trasmettitori radio gestiti da software diventeranno più diffusi. Gli attacchi al GPS non devono necessariamente essere condotti per provocare incidenti. Possono essere eseguiti per disturbare il funzionamento degli aeroporti, come nel caso in cui droni illegali hanno portato alla chiusura dell'aeroporto di Gatwick a Londra lo scorso dicembre, pochi giorni prima di Natale, e tre settimane dopo dell'aeroporto di Heathrow.
"Il denaro è una motivazione, mentre la dimostrazione di potere è un'altra", ha detto Ranganathan. "Dal punto di vista della sicurezza, questi attacchi sono estremamente critici. Bisogna prendersene cura, poiché ci saranno sempre abbastanza persone in questo mondo che vorranno dimostrare la loro forza."
Fonte: habr.com
