Sistem navigasi radio yang digunakan oleh pesawat untuk mendarat dengan selamat adalah tidak selamat dan terdedah kepada penggodaman.

Isyarat yang digunakan oleh pesawat untuk mencari jalur pendaratan boleh dipalsukan dengan walkie-talkie bernilai $600.

Sebuah kapal terbang menunjukkan serangan ke atas radio kerana isyarat palsu. KGS mendarat di sebelah kanan landasan

Hampir setiap pesawat yang telah terbang dalam tempoh 50 tahun yang lalu—sama ada Cessna enjin tunggal atau jet jumbo 600 tempat duduk—telah bergantung pada radio untuk mendarat dengan selamat di lapangan terbang. Sistem pendaratan instrumen (ILS) ini dianggap sebagai sistem pendekatan ketepatan kerana, tidak seperti GPS dan sistem navigasi lain, ia menyediakan maklumat masa nyata yang penting tentang orientasi mendatar pesawat berbanding kedudukan pendaratannya. jalur dan sudut penurunan menegak. Dalam banyak keadaan - terutamanya apabila mendarat dalam kabus atau hujan pada waktu malam - navigasi radio ini kekal sebagai cara utama untuk memastikan pesawat mendarat di awal landasan dan tepat di tengah.

Seperti kebanyakan teknologi lain yang dicipta pada masa lalu, KGS tidak memberikan perlindungan daripada penggodaman. Isyarat radio tidak disulitkan dan kesahihannya tidak dapat disahkan. Juruterbang hanya menganggap bahawa isyarat audio yang diterima sistem mereka pada frekuensi yang ditetapkan lapangan terbang adalah isyarat sebenar yang disiarkan oleh pengendali lapangan terbang. Selama bertahun-tahun, kecacatan keselamatan ini tidak disedari, terutamanya kerana kos dan kesukaran untuk menipu isyarat menjadikan serangan tidak berguna.

Tetapi kini para penyelidik telah membangunkan kaedah penggodaman kos rendah yang menimbulkan persoalan tentang keselamatan CGS yang digunakan di hampir setiap lapangan terbang awam di dunia perindustrian. Menggunakan radio $600 pengurusan program, penyelidik boleh memalsukan isyarat lapangan terbang supaya instrumen navigasi juruterbang menunjukkan bahawa pesawat itu terkeluar dari landasan. Mengikut latihan, juruterbang mesti membetulkan kadar penurunan atau sikap kapal, sekali gus mewujudkan risiko kemalangan.

Satu teknik serangan adalah untuk memberi isyarat palsu bahawa sudut penurunan adalah kurang daripada yang sebenarnya. Mesej palsu mengandungi apa yang dipanggil Isyarat "turun" memberitahu juruterbang untuk meningkatkan sudut penurunan, mungkin mengakibatkan pesawat mendarat sebelum permulaan landasan.

Video itu menunjukkan isyarat yang dirosakkan yang boleh menimbulkan ancaman kepada pesawat yang akan mendarat. Penyerang boleh menghantar isyarat memberitahu juruterbang bahawa pesawatnya berada di sebelah kiri garis tengah landasan, sedangkan sebenarnya pesawat itu betul-betul berpusat. Juruterbang akan bertindak balas dengan menarik pesawat ke kanan, yang akhirnya akan menyebabkan ia hanyut ke tepi.

Penyelidik dari Universiti Timur Laut di Boston berunding dengan juruterbang dan pakar keselamatan, dan berhati-hati untuk ambil perhatian bahawa penipuan isyarat sedemikian tidak mungkin membawa kepada kemalangan dalam kebanyakan kes. Kepincangan fungsi CGS adalah bahaya keselamatan yang diketahui, dan juruterbang berpengalaman menerima latihan yang meluas tentang cara bertindak balas terhadapnya. Dalam cuaca cerah, juruterbang akan mudah menyedari bahawa pesawat itu tidak sejajar dengan garis tengah landasan, dan dia akan dapat mengelilinginya.

Satu lagi sebab untuk keraguan yang munasabah adalah kesukaran untuk melaksanakan serangan. Selain stesen radio boleh atur cara, antena arah dan penguat akan diperlukan. Semua peralatan ini agak sukar untuk diseludup ke dalam pesawat jika penggodam mahu melancarkan serangan dari pesawat. Jika dia memutuskan untuk menyerang dari bawah, ia akan mengambil banyak kerja untuk menyusun peralatan dengan jalur pendaratan tanpa menarik perhatian. Selain itu, lapangan terbang biasanya memantau gangguan pada frekuensi sensitif, yang boleh bermakna serangan dihentikan sejurus selepas ia bermula.

Pada tahun 2012, penyelidik Brad Haynes, yang dikenali sebagai Renderman, kelemahan terdedah dalam sistem ADS-B (Automatic Dependent Surveillance-Broadcast), yang digunakan oleh pesawat untuk menentukan lokasinya dan menghantar data ke pesawat lain. Beliau meringkaskan kesukaran untuk memalsukan isyarat CGS seperti berikut:

Jika semuanya disatukan - lokasi, peralatan tersembunyi, keadaan cuaca buruk, sasaran yang sesuai, penyerang yang bermotivasi tinggi, pintar dan berkuasa kewangan - apa yang berlaku? Dalam senario kes terburuk, pesawat mendarat di atas rumput dan kecederaan atau kematian adalah mungkin, tetapi reka bentuk pesawat yang selamat dan pasukan tindak balas pantas memastikan bahawa terdapat sangat sedikit peluang kebakaran besar yang mengakibatkan kehilangan keseluruhan pesawat. Dalam kes sedemikian, pendaratan akan digantung, dan penyerang tidak lagi dapat mengulanginya. Dalam senario kes terbaik, juruterbang akan melihat percanggahan itu, mengotorkan seluarnya, meningkatkan ketinggian, berkeliling dan melaporkan bahawa ada sesuatu yang tidak kena dengan CGS - lapangan terbang akan memulakan penyiasatan, yang bermaksud bahawa penyerang tidak lagi mahu tinggal berdekatan.

Jadi, jika semuanya bersatu, hasilnya akan menjadi minimum. Bandingkan ini dengan nisbah pulangan kepada pelaburan dan kesan ekonomi seorang bodoh dengan dron $1000 terbang di sekitar Lapangan Terbang Heathrow selama dua hari. Sudah tentu drone adalah pilihan yang lebih berkesan dan boleh dilaksanakan daripada serangan sedemikian.

Namun, penyelidik mengatakan terdapat risiko. Pesawat yang tidak mendarat dalam laluan luncuran—garisan khayalan yang dilalui pesawat semasa mendarat yang sempurna—lebih sukar untuk dikesan, walaupun dalam cuaca baik. Selain itu, beberapa lapangan terbang yang sibuk, untuk mengelakkan kelewatan, mengarahkan pesawat supaya tidak tergesa-gesa ke dalam pendekatan yang terlepas, walaupun dalam keadaan penglihatan yang lemah. Arahan garis panduan pendaratan daripada Pentadbiran Penerbangan Persekutuan AS, yang diikuti oleh banyak lapangan terbang AS, menunjukkan bahawa keputusan sedemikian harus dibuat pada ketinggian hanya 15 m. Arahan yang sama digunakan di Eropah. Mereka meninggalkan masa yang singkat kepada juruterbang untuk membatalkan pendaratan dengan selamat jika keadaan sekeliling visual tidak bertepatan dengan data daripada CGS.

"Mengesan dan memulihkan daripada sebarang kegagalan instrumen semasa prosedur pendaratan kritikal adalah salah satu tugas paling mencabar dalam penerbangan moden," tulis para penyelidik dalam kertas mereka. kerja bertajuk "Serangan tanpa wayar pada sistem laluan luncuran pesawat", diterima pakai di Simposium Keselamatan USENIX ke-28. "Memandangkan betapa juruterbang sangat bergantung pada CGS dan instrumen secara umum, kegagalan dan gangguan berniat jahat boleh membawa akibat bencana, terutamanya semasa pendekatan autonomi dan operasi penerbangan."

Apa yang berlaku kepada kegagalan KGS

Beberapa pendaratan hampir bencana menunjukkan bahaya kegagalan CGS. Pada 2011, penerbangan Singapore Airlines SQ327, dengan 143 penumpang dan 15 anak kapal, tiba-tiba membelok ke kiri manakala 10 meter di atas landasan di Lapangan Terbang Munich di Jerman. Selepas mendarat, Boeing 777-300 itu membelok ke kiri, kemudian membelok ke kanan, melintasi garisan tengah, dan berhenti dengan gear pendaratan di rumput di sebelah kanan landasan.

В lapor mengenai kejadian itu, yang diterbitkan oleh Suruhanjaya Penyiasatan Kemalangan Pesawat Persekutuan Jerman, ada tertulis bahawa pesawat itu terlepas titik pendaratan sebanyak 500 m. Penyiasat berkata bahawa salah satu punca dalam kejadian itu adalah herotan isyarat suar pendaratan penyetempat oleh pengambilan di luar kapal terbang. Walaupun tiada kemalangan jiwa dilaporkan, peristiwa itu menekankan betapa seriusnya kegagalan sistem CGS. Insiden lain yang melibatkan kegagalan CGS yang hampir berakhir dengan tragis termasuk penerbangan New Zealand NZ 60 pada tahun 2000 dan penerbangan Ryanair FR3531 pada tahun 2013. Video itu menerangkan apa yang berlaku dalam kes kedua.

Vaibhab Sharma mengendalikan operasi global syarikat keselamatan Silicon Valley dan telah menerbangkan pesawat kecil sejak 2006. Beliau juga mempunyai lesen pengendali komunikasi amatur dan merupakan anggota sukarelawan Peronda Udara Awam, di mana beliau dilatih sebagai pengawal penyelamat dan pengendali radio. Dia menerbangkan pesawat dalam simulator X-Plane, menunjukkan isyarat serangan spoofing yang menyebabkan pesawat itu mendarat di sebelah kanan landasan.

Sharma memberitahu kami:

Serangan sedemikian terhadap CGS adalah realistik, tetapi keberkesanannya bergantung pada gabungan faktor, termasuk pengetahuan penyerang tentang sistem navigasi udara dan keadaan semasa pendekatan. Jika digunakan dengan betul, penyerang akan dapat mengalihkan pesawat ke arah halangan yang mengelilingi lapangan terbang, dan jika dilakukan dalam keadaan penglihatan yang lemah, ia akan menjadi sangat sukar bagi pasukan juruterbang untuk mengesan dan menangani penyelewengan.

Beliau berkata serangan itu berpotensi mengancam kedua-dua pesawat kecil dan jet besar, tetapi atas sebab berbeza. Pesawat kecil bergerak pada kelajuan yang lebih rendah. Ini memberi masa kepada juruterbang untuk bertindak balas. Jet besar, sebaliknya, mempunyai lebih ramai anak kapal yang tersedia untuk bertindak balas terhadap kejadian buruk, dan juruterbang mereka biasanya menerima latihan yang lebih kerap dan ketat.

Beliau berkata perkara paling penting bagi pesawat besar dan kecil adalah untuk menilai keadaan sekeliling, terutamanya cuaca, semasa mendarat.

"Serangan seperti ini mungkin lebih berkesan apabila juruterbang perlu lebih bergantung pada instrumen untuk membuat pendaratan yang berjaya," kata Sharma. "Ini mungkin pendaratan malam dalam keadaan penglihatan yang lemah, atau gabungan keadaan yang buruk dan ruang udara yang sesak yang memerlukan juruterbang menjadi lebih sibuk, menyebabkan mereka sangat bergantung pada automasi."

Aanjan Ranganathan, seorang penyelidik di Universiti Timur Laut yang membantu membangunkan serangan itu, memberitahu kami bahawa terdapat sedikit untuk bergantung pada GPS untuk membantu anda jika CGS gagal. Penyimpangan dari landasan dalam serangan spoof yang berkesan akan berkisar antara 10 hingga 15 meter, kerana apa-apa yang lebih besar akan dapat dilihat oleh juruterbang dan pengawal trafik udara. GPS akan mengalami kesukaran yang besar untuk mengesan penyimpangan tersebut. Sebab kedua ialah sangat mudah untuk menipu isyarat GPS.

"Saya boleh menipu GPS selari dengan penipuan CGS," kata Ranganathan. "Persoalan keseluruhannya ialah tahap motivasi penyerang."

Pendahulu KGS

Ujian KGS telah bermula kembali pada tahun 1929, dan sistem kerja pertama telah digunakan pada tahun 1932 di lapangan terbang Jerman Berlin-Tempelhof.

KGS kekal sebagai salah satu sistem pendaratan yang paling berkesan. Pendekatan lain, contohnya, suar azimut omnidirectional, locator beacon, sistem kedudukan global dan sistem navigasi satelit yang serupa dianggap tidak tepat kerana ia hanya memberikan orientasi mendatar atau sisi. KGS dianggap sebagai sistem pertemuan yang tepat, kerana ia menyediakan kedua-dua orientasi mendatar dan menegak (laluan meluncur). Dalam beberapa tahun kebelakangan ini, sistem yang tidak tepat telah digunakan semakin kurang. CGS semakin dikaitkan dengan autopilot dan sistem pendaratan automatik.

Cara CGS berfungsi: penyetempat [localizer], cerun luncur [glideslope] dan suar penanda [marker beacon]

CGS mempunyai dua komponen utama. Penyetempatan memberitahu juruterbang sama ada pesawat diimbangi ke kiri atau kanan garis tengah landasan, dan cerun luncuran memberitahu juruterbang sama ada sudut penurunan terlalu tinggi untuk pesawat terlepas permulaan landasan. Komponen ketiga ialah suar penanda. Mereka bertindak sebagai penanda yang membolehkan juruterbang menentukan jarak ke landasan. Selama bertahun-tahun, mereka telah semakin digantikan oleh GPS dan teknologi lain.

Penyetempat menggunakan dua set antena, memancarkan dua pic bunyi berbeza - satu pada 90 Hz, dan satu lagi pada 150 Hz - dan pada frekuensi yang ditetapkan pada salah satu jalur pendaratan. Tatasusunan antena terletak di kedua-dua belah landasan, biasanya selepas titik berlepas, supaya bunyi terbatal apabila pesawat pendaratan terletak betul-betul di atas garisan tengah landasan. Penunjuk sisihan menunjukkan garis menegak di tengah.

Jika pesawat membelok ke kanan, bunyi 150 Hz menjadi semakin kedengaran, menyebabkan penunjuk penunjuk sisihan bergerak ke kiri tengah. Jika pesawat membelok ke kiri, bunyi 90 Hz menjadi kedengaran dan penunjuk bergerak ke kanan. Penyetempatan, sudah tentu, tidak dapat menggantikan sepenuhnya kawalan visual sikap pesawat; ia menyediakan cara utama dan sangat intuitif orientasi. Juruterbang hanya perlu memastikan penunjuk berada di tengah untuk memastikan pesawat betul-betul di atas garis tengah.

Cerun luncuran berfungsi dengan cara yang sama, cuma ia menunjukkan sudut penurunan pesawat berbanding permulaan jalur pendaratan. Apabila sudut satah terlalu rendah, bunyi 90 Hz menjadi kedengaran dan instrumen menunjukkan bahawa satah harus turun. Apabila penurunan terlalu tajam, isyarat pada 150 Hz menunjukkan bahawa pesawat perlu terbang lebih tinggi. Apabila pesawat kekal pada sudut laluan luncuran yang ditetapkan kira-kira tiga darjah, isyarat akan dibatalkan. Dua antena laluan luncuran terletak di menara pada ketinggian tertentu, ditentukan oleh sudut cerun luncuran yang sesuai untuk lapangan terbang tertentu. Menara ini biasanya terletak berhampiran dengan kawasan menyentuh jalur.

Sempurna palsu

Serangan penyelidik Universiti Timur Laut menggunakan pemancar radio perisian yang tersedia secara komersial. Peranti ini, dijual pada harga $400-$600, menghantar isyarat berpura-pura sebagai isyarat sebenar yang dihantar oleh SSC lapangan terbang. Pemancar penyerang boleh ditempatkan di dalam pesawat yang diserang dan di darat, pada jarak sehingga 5 km dari lapangan terbang. Selagi isyarat penyerang melebihi kuasa isyarat sebenar, penerima KGS akan melihat isyarat penyerang dan menunjukkan orientasi relatif kepada laluan penerbangan menegak dan mendatar yang dirancang oleh penyerang.

Jika penggantian tidak tersusun dengan baik, juruterbang akan melihat perubahan mendadak atau tidak menentu dalam bacaan instrumen, yang dia akan silap sebagai kerosakan CGS. Untuk menjadikan yang palsu lebih sukar untuk dikenali, penyerang boleh menjelaskan lokasi sebenar pesawat yang digunakan ADS-V, sistem yang setiap saat menghantar lokasi GPS pesawat, ketinggian, kelajuan darat dan data lain ke stesen darat dan kapal lain.

Menggunakan maklumat ini, penyerang boleh mula memalsukan isyarat apabila pesawat yang menghampiri telah bergerak ke kiri atau kanan berbanding landasan, dan menghantar isyarat kepada penyerang bahawa pesawat itu sedang berjalan. Masa yang optimum untuk menyerang adalah apabila pesawat baru sahaja melepasi titik laluan, seperti yang ditunjukkan dalam video demonstrasi pada permulaan artikel.

Penyerang kemudiannya boleh menggunakan pembetulan isyarat masa nyata dan algoritma penjanaan yang akan melaraskan isyarat berniat jahat secara berterusan untuk memastikan bahawa offset dari laluan yang betul adalah konsisten dengan semua pergerakan pesawat. Walaupun penyerang tidak mempunyai kemahiran untuk membuat isyarat palsu yang sempurna, dia boleh mengelirukan CGS sehingga juruterbang tidak boleh bergantung padanya untuk mendarat.

Satu varian penipuan isyarat dikenali sebagai "serangan membayangi." Penyerang menghantar isyarat yang disediakan khas dengan kuasa yang lebih besar daripada isyarat daripada pemancar lapangan terbang. Pemancar penyerang biasanya perlu menghantar kuasa 20 watt untuk melakukan ini. Serangan membayangi memudahkan untuk memalsukan isyarat dengan meyakinkan.

Serangan Bayangan

Pilihan kedua untuk menggantikan isyarat dikenali sebagai "serangan satu nada." Kelebihannya ialah ia boleh menghantar bunyi dengan frekuensi yang sama dengan kuasa kurang daripada KGS lapangan terbang. Ia mempunyai beberapa kelemahan, sebagai contoh, penyerang perlu mengetahui dengan tepat spesifikasi pesawat - contohnya, lokasi antena CGSnya.

Serangan nada tunggal

Tiada penyelesaian mudah

Penyelidik mengatakan belum ada cara lagi untuk menghapuskan ancaman serangan spoofing. Teknologi navigasi alternatif—termasuk suar azimut omnidirectional, suar pencari, sistem penentududukan global dan sistem navigasi satelit yang serupa—adalah isyarat wayarles yang tidak mempunyai mekanisme pengesahan dan oleh itu terdedah kepada serangan spoofing. Selain itu, hanya KGS dan GPS boleh memberikan maklumat mengenai trajektori pendekatan mendatar dan menegak.

Dalam kerja mereka, para penyelidik menulis:

Kebanyakan isu keselamatan yang dihadapi oleh teknologi seperti ADS-V, ACARS и TCAS, boleh diperbaiki dengan memperkenalkan kriptografi. Walau bagaimanapun, kriptografi tidak akan mencukupi untuk menghalang serangan penyetempatan. Contohnya, penyulitan isyarat GPS, serupa dengan teknologi navigasi tentera, boleh menghalang serangan spoofing pada tahap tertentu. Bagaimanapun, penyerang akan dapat mengubah hala isyarat GPS dengan kelewatan masa yang dia perlukan, dan mencapai penggantian lokasi atau masa. Inspirasi boleh diambil daripada literatur sedia ada tentang mengurangkan serangan penipuan GPS dan mencipta sistem yang serupa di hujung penerima. Alternatifnya adalah dengan melaksanakan sistem penyetempatan selamat berskala besar berdasarkan had jarak dan teknik pengesahan kedekatan selamat. Walau bagaimanapun, ini memerlukan komunikasi dua hala dan memerlukan kajian lanjut mengenai kebolehskalaan, kebolehlaksanaan, dsb.

Pentadbiran Penerbangan Persekutuan AS berkata ia tidak mempunyai maklumat yang mencukupi mengenai demonstrasi penyelidik untuk mengulas.

Serangan ini dan sejumlah besar penyelidikan yang telah dilakukan sangat mengagumkan, tetapi persoalan utama kerja itu masih belum terjawab: seberapa besar kemungkinan seseorang sebenarnya sanggup bersusah payah melakukan serangan sedemikian? Jenis kelemahan lain, seperti yang membenarkan penggodam memasang perisian hasad dari jauh pada komputer pengguna atau memintas sistem penyulitan popular, mudah untuk mengewangkan. Ini tidak berlaku dengan serangan spoofing CGS. Serangan yang mengancam nyawa pada perentak jantung dan peranti perubatan lain juga termasuk dalam kategori ini.

Walaupun motivasi untuk serangan sedemikian lebih sukar untuk dilihat, adalah satu kesilapan untuk menolak kemungkinan mereka. DALAM lapor, diterbitkan pada bulan Mei oleh C4ADS, sebuah organisasi bukan untung yang meliputi konflik global dan keselamatan antara negeri, mendapati bahawa Persekutuan Rusia kerap terlibat dalam ujian berskala besar gangguan sistem GPS yang menyebabkan sistem navigasi kapal berada di luar landasan sejauh 65 batu atau lebih [sebenarnya, laporan itu mengatakan bahawa semasa pembukaan jambatan Crimean (iaitu, bukan "kerap", tetapi hanya sekali), sistem navigasi global telah dirobohkan oleh pemancar yang terletak di jambatan ini, dan kerjanya dirasai walaupun hampir Anapa, terletak dalam 65 km (bukan batu) dari tempat ini. “Jadi semuanya benar” (c) / lebih kurang. terjemahan].

“Persekutuan Rusia mempunyai kelebihan perbandingan dalam mengeksploitasi dan membangunkan keupayaan untuk menipu sistem navigasi global,” laporan itu memberi amaran. “Walau bagaimanapun, kos rendah, ketersediaan terbuka dan kemudahan penggunaan teknologi sedemikian bukan sahaja memberi peluang kepada negara, tetapi juga pemberontak, pengganas dan penjenayah untuk menjejaskan kestabilan rangkaian negeri dan bukan negara.”

Dan sementara penipuan CGS kelihatan esoterik pada tahun 2019, sukar untuk berfikir bahawa ia akan menjadi lebih biasa pada tahun-tahun akan datang apabila teknologi serangan menjadi lebih difahami dan pemancar radio yang dikawal perisian menjadi lebih biasa. Serangan ke atas CGS tidak perlu dilakukan untuk menyebabkan kemalangan. Ia boleh digunakan untuk mengganggu lapangan terbang seperti mana dron haram menyebabkan penutupan Lapangan Terbang Gatwick London pada Disember lalu, beberapa hari sebelum Krismas, dan Lapangan Terbang Heathrow tiga minggu kemudian.

"Wang adalah satu motivasi, tetapi paparan kuasa adalah satu lagi," kata Ranganathan. – Dari sudut pertahanan, serangan ini sangat kritikal. Ini perlu dijaga kerana akan ada cukup orang di dunia ini yang mahu menunjukkan kekuatan.”

Sumber: www.habr.com