Il segnale tramite il quale gli aerei trovano la pista di atterraggio può essere falsificato usando una radio al costo di $600
Aereo in una dimostrazione di attacco alla radio a causa di segnali falsi atterra a destra della pista di atterraggio
Praticamente ogni velivolo che è decollato negli ultimi 50 anni – che si tratti di un aereo monomotore “Cessna” o di un gigantesco aereo passeggeri da 600 posti – ha fatto affidamento su stazioni radio per un atterraggio sicuro negli aeroporti. Questi sistemi di avvicinamento strumentale, conosciuti come KGS (inglese ILS, instrument landing system), sono considerati sistemi di avvicinamento di precisione, in quanto, a differenza del GPS e di altri sistemi di navigazione, forniscono informazioni vitali in tempo reale riguardo all'orientamento orizzontale dell'aereo rispetto alla pista e all'angolo di discesa verticale. In molte condizioni – soprattutto durante gli atterraggi in nebbia o pioggia di notte – questa radio navigazione rimane il principale modo per garantire che l'aereo tocchi terra all'inizio della pista e esattamente a metà.
Come molte altre tecnologie del passato, il KGS non prevedeva misure di protezione contro gli attacchi. I segnali radio non sono criptati e la loro autenticità non è verificata. I piloti presumono semplicemente che i segnali acustici ricevuti dai loro sistemi su una frequenza assegnata all'aeroporto siano veri segnali trasmessi dall'operatore dell'aeroporto. Per molti anni, questa mancanza di sicurezza non ha preoccupato praticamente nessuno, principalmente perché il costo e la complessità della falsificazione dei segnali rendevano le aggressioni completamente inutili.
Ma ora i ricercatori hanno sviluppato un metodo economico di hack che solleva interrogativi sulla sicurezza del KGS, utilizzato in praticamente ogni aeroporto civile del mondo industrializzato. Utilizzando una radio da $600 , i ricercatori possono falsificare i segnali dell'aeroporto in modo tale che gli strumenti di navigazione del pilota indichino che l'aereo si è allontanato dalla rotta. Secondo le procedure di addestramento, il pilota deve correggere la velocità di discesa o l'orientamento dell'aereo, creando così una minaccia di incidente.
Una tecnologia di attacco consiste nel generare segnali falsi che indicano un angolo di discesa minore di quello reale. Il messaggio falsificato contiene un segnale di "accettare la discesa" che informa il pilota della necessità di aumentare l'angolo di discesa, il che potrebbe portare l'aereo a toccare terra prima dell'inizio della pista di atterraggio.
Nel video viene mostrato un segnale falsificato in un altro modo, che può rappresentare una minaccia per l'aereo in fase di atterraggio. L'attaccante può inviare un segnale al pilota avvisandolo che il suo aereo è a sinistra della linea centrale della pista di atterraggio, mentre in realtà l'aereo si trova esattamente al centro. Il pilota reagirà spostando l'aereo a destra, il che alla fine porterà a una deviazione laterale.
I ricercatori della Northeastern University di Boston hanno consultato un pilota e un esperto di sicurezza, sottolineando con cautela che una simile manomissione dei segnali ha poche probabilità di causare un incidente nella maggior parte dei casi. I guasti al sistema di controllo di volo sono una nota minaccia per la sicurezza dei voli, e i piloti esperti ricevono un’istruzione approfondita su come reagire. In condizioni di buona visibilità, il pilota si accorgerà facilmente che l'aereo non è allineato correttamente sulla pista e potrà decidere di effettuare un secondo tentativo di atterraggio.
Un'altra ragione per essere ragionevolmente scettici riguarda la complessità di attuare tale attacco. Oltre a una stazione radio programmabile, saranno necessarie antenne direzionali e un amplificatore. Tutto questo equipaggiamento sarà piuttosto difficile da portare di nascosto a bordo dell'aereo, se l'hacker decidesse di attuare l'attacco dall'interno. Se invece decidesse di attaccare da terra, richiederebbe un lavoro considerevole per allineare l'attrezzatura con la pista, senza attirare l'attenzione. Inoltre, gli aeroporti generalmente monitorano le interferenze su frequenze particolarmente importanti, il che potrebbe portare all'interruzione dell'attacco poco dopo l'inizio.
Nel 2012, il ricercatore Brad Haines, noto con il soprannome , nel sistema AZN-V (osservazione e trasmissione automatica dipendente), utilizzato dagli aerei per determinare la loro posizione e trasmettere dati ad altri aerei. Ha riassunto le difficoltà nella falsificazione reale dei segnali KGQ così:
Se tutto si allinea: posizione, attrezzature nascoste, cattive condizioni meteorologiche, obiettivo adatto, un attaccante ben motivato, intelligente e dotato di risorse finanziarie – cosa si ottiene? Nel peggior dei casi, l'aereo atterra su un prato, ci possono essere feriti o decessi, tuttavia lo sviluppo sicuro degli aerei e i team di pronto intervento garantiscono una probabilità molto bassa di un grande incendio con la perdita dell'intero velivolo. Inoltre, in questo caso, l'atterraggio verrà interrotto, e l'attaccante non potrà ripetere l'azione. Nel migliore dei casi, il pilota noterà la discrepanza, si macchierà i pantaloni, aumenterà l'altitudine, farà un secondo giro e comunicherà che qualcosa non va con il KGQ – l'aeroporto inizierà un'indagine, il che significa che l'attaccante non vorrà più rimanere nei paraggi.
Quindi, se tutti gli elementi coincidono, il risultato finale sarà minimo. Confronta questo con il rapporto tra i risultati e i costi e l'effetto economico di quel caso in cui una capra con un drone da $1000 ha volato intorno all'aeroporto di Heathrow per due giorni. Un drone è stato certamente un'opzione più efficace e praticabile rispetto a un attacco del genere.
Eppure, i ricercatori affermano che esistono rischi. Gli aerei che non si allineano correttamente al momento dell'atterraggio – la linea immaginaria che un aereo segue per un atterraggio perfetto – sono molto più difficili da rilevare anche in buone condizioni meteorologiche. Inoltre, alcuni aeroporti affollati, per evitare ritardi, indicano agli aerei di non affrettarsi a rientrare in circolazione anche in condizioni di scarsa visibilità. Le linee guida dell'Amministrazione federale dell'aviazione degli Stati Uniti, seguite da molti aeroporti USA, indicano che questa decisione deve essere presa a un'altezza di soli 15 metri. Istruzioni simili sono valide anche in Europa. Queste lasciano al pilota ben poco tempo per interrompere in sicurezza l'atterraggio se le condizioni visive circostanti non coincidono con i dati del sistema di controllo del traffico aereo.
«Il rilevamento e il ripristino di qualsiasi strumento durante procedure di atterraggio critiche è una delle sfide più difficili dell'aviazione moderna», hanno dichiarato i ricercatori nel loro documento intitolato «Attacchi senza fili ai sistemi di glide slope degli aeromobili», accettato al . «Considerando quanto i piloti dipendano dal GNS e in generale dagli strumenti, il malfunzionamento e l'interferenza malevola possono portare a conseguenze catastrofiche, specialmente durante i processi di avvicinamento autonomo e volo».
Cosa succede con i malfunzionamenti del GNS
Diversi atterraggi quasi fatali mostrano il pericolo dei malfunzionamenti del GNS. Nel 2011, il volo SQ327 di Singapore Airlines con 143 passeggeri e 15 membri dell'equipaggio a bordo si è inclinato a sinistra inaspettatamente, trovandosi a 10 metri sopra la pista all'aeroporto di Monaco in Germania. Dopo l'atterraggio, il Boeing 777-300 si è inclinato a sinistra, poi ha girato a destra, ha attraversato la linea centrale ed è fermato, con il carrello che si trovava sull'erba a destra della pista.
In Riguardo a un incidente pubblicato dalla Commissione federale tedesca per l'indagine sugli incidenti aerei, è stato riportato che l'aereo ha mancato il punto di atterraggio di 500 metri. Gli investigatori hanno affermato che uno dei fattori che hanno contribuito all'incidente è stata la distorsione dei segnali del faro radio di avvicinamento causata da un aereo in decollo. Sebbene non siano stati segnalati feriti, questo evento ha evidenziato la gravità dei guasti dei sistemi di guida al suolo. Tra altri incidenti con guasti ai sistemi di guida al suolo, che per poco non sono finiti in tragedia, ci sono il volo NZ 60 della Nuova Zelanda nel 2000 e il volo FR3531 di Ryanair nel 2013. Un video spiega cosa è andato storto nell'ultimo caso.
Vaibhav Sharma gestisce gli affari di un'azienda della Silicon Valley che si occupa di sicurezza in tutto il mondo e vola su piccoli aerei dal 2006. Ha anche una licenza come operatore di radioamatore e partecipa su base volontaria alla pattuglia aerea civile, dove ha ricevuto formazione come soccorritore e operatore radio. Gestisce un aereo nel simulatore X-Plane, dimostrando un attacco con spoofing dei segnali, che costringe l'aereo ad atterrare a destra della pista.
Sharma ci ha raccontato:
Un attacco a un KGS è realistico, ma la sua efficacia dipenderà da una combinazione di fattori, tra cui la conoscenza da parte dell'attaccante dei sistemi di navigazione aerea e delle condizioni al momento dell'approccio. Se utilizzato in modo appropriato, l'attaccante può deviare l'aereo verso ostacoli circostanti all'aeroporto, e se questo avviene in condizioni di scarsa visibilità, sarà molto difficile per l'equipaggio della cabina rilevare e gestire le deviazioni.
Ha detto che gli attacchi hanno il potenziale di minacciare sia gli aerei leggeri che i grandi velivoli a reazione, sebbene per motivi diversi. Gli aerei leggeri volano a velocità inferiori, il che consente ai piloti di avere più tempo per reagire. D'altra parte, i grandi aerei a reazione hanno un equipaggio più numeroso, in grado di rispondere a eventi avversi, e i piloti di questi velivoli di solito ricevono una formazione più frequente e approfondita.
Ha affermato che ciò che sarà più importante per gli aerei grandi e piccoli è valutare le condizioni circostanti, in particolare il tempo, durante l'atterraggio.
«Un attacco simile sarà probabilmente più efficace quando i piloti dovranno fare maggior affidamento sugli strumenti per un atterraggio riuscito», ha affermato Sharma. «Potrebbe trattarsi di atterraggi notturni in condizioni di scarsa visibilità, o di una combinazione di cattive condizioni con spazi aerei affollati, che richiedono ai piloti un maggiore carico di lavoro, facendoli dipendere molto dall'automazione».
Aandjan Ranganathan, ricercatore della Northeastern University che ha collaborato allo sviluppo dell'attacco, ci ha riferito che non ci si può praticamente affidare al GPS in caso di malfunzionamento del KGS. Le deviazioni dalla pista di atterraggio in caso di un attacco efficace con sostituzione saranno comprese tra i 10 e i 15 metri, poiché qualsiasi cosa di più sarà notata dai piloti e dai controllori del traffico aereo. Il GPS avrà difficoltà a rilevare tali deviazioni. La seconda ragione è che è molto facile sostituire i segnali GPS.
«Posso sostituire il GPS parallelamente alla sostituzione del KGS», ha affermato Ranganathan. «Tutto dipende dal grado di motivazione dell'attaccante».
Predecessore del KGS
I test del KGS sono iniziati , e il primo sistema di lavoro è stato implementato nel 1932 nell'aeroporto di Berlino-Tempelhof.
Il KGS rimane uno dei sistemi di atterraggio più efficaci. Altri approcci, ad esempio, , il radiomark di avvicinamento, il sistema di posizionamento globale e simili sistemi satellitari di navigazione sono considerati imprecisi, poiché forniscono solo un'orientazione orizzontale o trasversale. Il KGS, invece, è considerato un sistema di avvicinamento preciso, poiché fornisce sia un'orientazione orizzontale che verticale (glissata). Negli ultimi anni, i sistemi imprecisi sono stati utilizzati sempre meno. Il KGS è stato sempre più associato a piloti automatici e sistemi di atterraggio automatico.
Come funziona il KGS: il radiomaya di atterraggio in rotta [localizer], l'inclinazione della glissata [glideslope] e i radiomaya di marcatura [marker beacon]
Il sistema KGS ha due componenti chiave. Il radiomark di avvicinamento informa il pilota se l'aereo è spostato a sinistra o a destra dalla linea centrale della pista, mentre l'inclinazione del percorso di discesa indica se l'angolo di discesa è troppo ripido affinché l'aereo non manchi l'inizio della pista. Il terzo componente è il marcatore radiomark. Funzionano come punti di riferimento che permettono al pilota di determinare la distanza dalla pista. Negli anni, sono sempre più spesso sostituiti da GPS e altre tecnologie.
Il radiomark di avvicinamento utilizza due set di antenne che emettono due suoni a diverse altezze – uno a 90 Hz e l'altro a 150 Hz – operando sulla frequenza assegnata a una delle piste di atterraggio. Le griglie delle antenne sono posizionate su entrambi i lati della pista, solitamente dopo il punto di decollo, in modo che i suoni si annullino reciprocamente quando l'aereo in atterraggio si trova direttamente sopra la linea centrale della pista. L'indicatore di deviazione mostra una linea verticale al centro.
Se l'aereo si inclina a destra, il suono di 150 Hz diventa sempre più forte, facendo spostare l'indicatore di deviazione a sinistra dal centro. Se l'aereo si inclina a sinistra, il suono di 90 Hz diventa più forte e l'indicatore si muove a destra. Naturalmente, il faro di atterraggio non può sostituire completamente il controllo visivo della posizione dell'aereo, ma fornisce uno strumento chiave e molto intuitivo per l'orientamento. I piloti devono semplicemente mantenere l'indicatore al centro per far sì che l'aereo si trovi esattamente sopra la linea centrale.
L'inclinazione della glis-sade funziona in modo simile, mostrando solo l'angolo di discesa dell'aereo rispetto all'inizio della pista di atterraggio. Quando l'angolo dell'aereo è troppo basso, il suono a 90 Hz diventa più forte e gli strumenti indicano che l'aereo deve scendere. Se la discesa è troppo ripida, un segnale a 150 Hz indica che l'aereo deve salire. Quando l'aereo resta ad un angolo di inclinazione della glis-sade di circa tre gradi, i segnali si annullano a vicenda. Le due antenne della glis-sade sono posizionate su una torre a un'altezza specifica, determinata dall'angolo di inclinazione della glis-sade adatto per l'aeroporto specifico. La torre è solitamente situata vicino alla zona di contatto della pista.
Finta perfetta
L'attacco degli studiosi della Northeastern University utilizza trasmettitori radio disponibili in commercio. Questi dispositivi, venduti tra $400 e $600, trasmettono segnali che simulano quelli autentici inviati dal sistema di controllo del traffico aereo (ATC) dell'aeroporto. Il trasmettitore dell'attaccante può trovarsi sia a bordo dell'aereo attaccato sia a terra, a una distanza di fino a 5 km dall'aeroporto. Finché il segnale dell'attaccante supera in potenza il segnale autentico, il ricevitore dell'ATC percepirà il segnale dell'aggressore e mostrerà l'orientamento rispetto alla traiettoria verticale e orizzontale di volo prevista dall'attaccante.
Se l'inganno è organizzato male, il pilota inizierà a notare cambiamenti improvvisi o disordinati nei valori degli strumenti, che interpreterà come un guasto del sistema di controllo del traffico aereo. Per rendere la falsificazione più difficile da riconoscere, l'attaccante può precisare la posizione esatta dell'aereo utilizzando , un sistema che trasmette ogni secondo la posizione dell'aereo tramite GPS, l'altitudine, la velocità rispetto al suolo e altri dati a stazioni a terra e ad altri velivoli.
Utilizzando queste informazioni, un attaccante può iniziare a falsificare il segnale quando l'aereo in avvicinamento si inclina a sinistra o a destra rispetto alla pista d'atterraggio e inviargli un segnale che indica che l'aereo sta volando in linea retta. Il momento ottimale per l'attacco sarà quando l'aereo è appena passato il punto di riferimento, come mostrato nel video dimostrativo all'inizio dell'articolo.
Successivamente, l'attaccante può applicare un algoritmo di correzione e generazione del segnale in tempo reale, che modificherà costantemente il segnale malevolo per garantire che la deviazione dal percorso corretto corrisponda a tutti i movimenti dell'aereo. Anche se l'attaccante non possiede le competenze per creare un segnale falso impeccabile, sarà in grado di confondere a tal punto il GPS che il pilota non potrà fare affidamento su di esso durante l'atterraggio.
Una forma di spoofing del segnale è conosciuta come "attacco di ombreggiamento". L'attaccante invia segnali appositamente preparati con una potenza superiore a quella dei segnali del trasmettitore dell'aeroporto. Di solito, il trasmettitore dell'attaccante deve inviare segnali con una potenza di 20 W. Gli attacchi di ombreggiamento facilitano l'esecuzione di un convincente spoofing del segnale.
Attacco di ombreggiamento
Un'altra forma di spoofing del segnale è conosciuta come "attacco monotono". Il suo vantaggio è che consente di inviare un suono a una singola frequenza con una potenza inferiore a quella del KG dell'aeroporto. Ha alcuni svantaggi, ad esempio, l'attaccante deve conoscere esattamente la specifica dell'aereo – per esempio, la posizione delle antenne KG.
Attacco monotono
Assenza di soluzioni semplici
I ricercatori affermano che al momento non esistono modi per eliminare la minaccia degli attacchi di spoofing. Le tecnologie di navigazione alternative - inclusi il faro azimutale omnidirezionale, il faro attivo, il sistema di posizionamento globale e sistemi di navigazione satellitare simili - possono trasmettere segnali wireless privi di meccanismi di autenticazione e sono quindi vulnerabili agli attacchi di spoofing. Inoltre, solo il KGPS e il GPS possono fornire informazioni sulla traiettoria orizzontale e verticale dell'avvicinamento.
Nel loro lavoro, i ricercatori scrivono:
La maggior parte dei problemi di sicurezza affrontati da tecnologie come , e , è possibile correggerlo implementando la crittografia. Tuttavia, la crittografia da sola non sarà sufficiente per prevenire attacchi di spoofing. Ad esempio, la crittografia dei segnali GPS, simile alla tecnologia di navigazione militare, può prevenire gli attacchi di spoofing fino a un certo punto. Tuttavia, un malintenzionato potrà comunque deviare i segnali GPS con i ritardi temporali desiderati, raggiungendo così la sostituzione della posizione o del tempo. È possibile trarre ispirazione dalla letteratura esistente sulla prevenzione degli attacchi di spoofing GPS e sviluppare sistemi simili lato ricevitore. Un'alternativa potrebbe essere l'implementazione di un sistema di localizzazione sicuro su larga scala, basato su restrizioni spaziali e tecniche di conferma sicura della vicinanza. Tuttavia, ciò richiederebbe una comunicazione bidirezionale, e questo approccio necessita di ulteriori studi riguardanti la sua scalabilità, attuabilità e altro.
L'amministrazione federale dell'aviazione civile degli Stati Uniti ha comunicato che non hanno informazioni sufficienti riguardo alla dimostrazione condotta dai ricercatori per rilasciare commenti.
Questo attacco e l'ampio volume di ricerca condotta sono impressionanti, ma non c'è risposta alla domanda principale del lavoro: quanto è probabile che qualcuno voglia realmente dedicare sforzi per attuare un attacco del genere? Altri tipi di vulnerabilità, ad esempio, che consentono agli hacker di installare malware sui computer degli utenti o di aggirare popolari sistemi di crittografia, sono facilmente monetizzabili. Con un attacco di spoofing GPS non è così. In questa categoria rientrano anche gli attacchi mortali contro pacemaker e altri dispositivi medici.
E sebbene sia più difficile vedere la motivazione per tali attacchi, sarebbe un errore scartare la loro possibilità. Nel , pubblicato a maggio da C4ADS, un'organizzazione no profit che tratta problemi di conflitti globali e sicurezza interstatale, è indicato che la Federazione Russa ha frequentemente condotto test su larga scala di violazioni del sistema GPS, che hanno portato i sistemi di navigazione delle navi a errore di posizione di 65 miglia e oltre [In realtà, il rapporto afferma che durante l'apertura del ponte di Crimea (cioè, non «spesso», ma solo una volta) il segnale del sistema di navigazione globale è stato disturbato da un trasmettitore situato su quel ponte, e la sua influenza è stata percepita anche vicino ad Anapa, che si trova a 65 km (e non miglia) da quel punto. «Tutto il resto è corretto» (c) / nota del traduttore.].
«La Federazione Russa ha un vantaggio relativo nell'uso e nello sviluppo di capacità per ingannare i sistemi di navigazione globale», avverte il rapporto. «Tuttavia, il basso costo, la disponibilità in commercio e la semplicità d'uso di tali tecnologie offrono non solo agli stati, ma anche ai ribelli, ai terroristi e ai criminali ampie possibilità di destabilizzare reti statali e non statali».
Sebbene la sostituzione dei KGS possa sembrare un argomento esoterico nel 2019, è improbabile che sia così fantastica l'ipotesi che nei prossimi anni diventerà qualcosa di più comune, man mano che le tecnologie di attacco diventeranno più comprensibili e i trasmettitori radio controllati dal software più diffusi. Gli attacchi ai KGS non devono necessariamente essere condotti per generare incidenti. Possono essere eseguiti per interrompere le operazioni degli aeroporti, come i droni illegali che hanno portato alla chiusura dell'aeroporto di Gatwick a Londra lo scorso dicembre, solo pochi giorni prima di Natale, e tre settimane dopo, l'aeroporto di Heathrow.
«I soldi sono una motivazione, e la dimostrazione di forza è un'altra», ha detto Ranganathan. «Dal punto di vista della sicurezza, questi attacchi sono estremamente critici. È qualcosa di cui preoccuparsi, poiché in questo mondo ci saranno sufficienti persone che vorranno dimostrare la loro forza».
Fonte: habr.com
