Radionavigatiesystemen die door vliegtuigen worden gebruikt voor veilige landingen, zijn onbetrouwbaar en kwetsbaar voor hacken.

Het signaal waarmee vliegtuigen de landingsbaan vinden, kan worden vervalst met behulp van een radio voor $600

Een vliegtuig dat een aanval demonstreert op de radio vanwege vervalste signalen ILS landt aan de rechterkant van de landingsbaan

Bijna elk luchtvaartuig dat in de afgelopen 50 jaar is opgestegen - of het nu een enkelvoudig Cessna-vliegtuig is of een gigantische passagiersvliegtuig met 600 zitplaatsen - heeft gebruikgemaakt van radiostations voor een veilige landing op luchthavens. Deze Instrument Landing Systems, ILS, worden beschouwd als precisienadering systemen, aangezien ze, in tegenstelling tot GPS en andere navigatiesystemen, cruciale real-time informatie bieden over de horizontale oriëntatie van het vliegtuig ten opzichte van de landingsbaan en de verticale daalhoek. In veel omstandigheden, vooral tijdens het landen in mist of onder regen 's nachts, blijft deze radionavigatie de belangrijkste manier om te garanderen dat het vliegtuig het land raakt aan het begin van de baan en precies in het midden.

Zoals veel andere technologieën die in het verleden zijn ontwikkeld, is er bij ILS geen rekening gehouden met beveiliging tegen hacking. Radiosignalen worden niet versleuteld en hun authenticiteit wordt niet bevestigd. Piloten gaan er gewoon vanuit dat de geluidssignalen die hun systemen op de voor de luchthaven gereserveerde frequentie ontvangen, echte signalen zijn die door de luchthavenoperator worden uitgezonden. Jarenlang maakte deze beveiligingslacune vrijwel niemand zich druk, voornamelijk omdat de kosten en complexiteit van het vervalsen van signalen aanvallen zinloos maakten.

Maar nu hebben onderzoekers een goedkope hackmethode ontwikkeld die vragen oproept over de veiligheid van ILS, die in bijna elke burgerluchtvaartluchthaven in de industriële wereld wordt gebruikt. Met een radio van $600 kunnen onderzoekers de signals van de luchthaven vervalsen, zodat de navigatie-instrumenten van de piloot aangeven dat het vliegtuig van koers is geraakt. Volgend de training moet de piloot de daalsnelheid of de oriëntatie van het toestel corrigeren, wat een dreiging van een incident kan creëren. programmeerbeheer, onderzoekers kunnen luchthavensignalen vervalsen zodat de navigatie-instrumenten van de piloot aangeven dat het vliegtuig van koers is. Volgens de training moet de piloot de hoogte of oriëntatie van het toestel corrigeren, waardoor een bedreiging voor een incident ontstaat.

Een technologie achter de aanval houdt in dat valse signalen aangeven dat de dalingshoek kleiner is dan deze werkelijk is. Het vervalste bericht bevat een zogenaamde 'dalen'-signaal dat de piloot vertelt dat hij de dalingshoek moet vergroten, wat er mogelijk toe kan leiden dat het vliegtuig de grond raakt voordat het de landingsbaan bereikt.

In de video is op een andere manier een vervalst signaal te zien dat een bedreiging kan vormen voor een vliegtuig dat aan het landen is. De aanvaller kan een signaal verzenden dat de piloot vertelt dat zijn vliegtuig zich links van de aslijn van de landingsbaan bevindt, terwijl het vliegtuig in werkelijkheid precies in het midden van de baan zit. De piloot zal reageren door het vliegtuig naar rechts te sturen, waardoor het uiteindelijk zal afwijken.

Onderzoekers van Northeastern University in Boston hebben een piloot en een veiligheidsexpert geraadpleegd en merken voorzichtig op dat een dergelijke vervalsing van signalen meestal een lage kans op een ongeluk heeft. Storing in de ADS-B is een bekende bedreiging voor de vliegveiligheid, en ervaren piloten krijgen uitgebreide training over hoe ze hierop moeten reageren. Voor een piloot zal het gemakkelijk zijn om in helder weer te zien dat het vliegtuig niet in lijn is met de aslijn van de baan, en hij zal in staat zijn om voor een tweede ronde te gaan.

Een andere reden voor een gezonde dosis scepsis is de complexiteit van het uitvoeren van de aanval. Naast een programmeerbaar radioapparaat zijn gerichte antennes en een versterker nodig. Al deze apparatuur zal nogal moeilijk ongemerkt aan boord van een vliegtuig te krijgen zijn, als de hacker een aanval vanuit het vliegtuig wil uitvoeren. Als hij besluit om vanaf de grond aan te vallen, is er veel werk nodig om de apparatuur met de landingsbaan uit te lijnen zonder de aandacht te trekken. Bovendien volgen luchthavens doorgaans interferentie op bijzonder belangrijke frequenties, waardoor de aanval mogelijk snel na het begin kan worden gestopt.

In 2012 onthulde onderzoeker Brad Haynes, bekend onder het roepnaam Renderman, kwulnerbaarheid in het ADS-B (Automatic Dependent Surveillance-Broadcast) systeem, dat vliegtuigen gebruiken om hun locatie te bepalen en gegevens aan andere vliegtuigen door te geven. Hij somde de moeilijkheden van de daadwerkelijke vervalsing van ADS-B-signalen als volgt samen:

Als alles samenkomt – locatie, verborgen apparatuur, slechte weersomstandigheden, een geschikt doelwit, een goed gemotiveerde, slimme en financieel capabele aanvaller – wat gebeurt er dan? In het ergste geval landt het vliegtuig op het gras, wat kan leiden tot verwondingen of fatale ongelukken, maar veilige vliegtuigconstructie en snelle reactieploegen zorgen voor een zeer kleine kans op een enorme brand waarbij het hele vliegtuig verloren gaat. In een dergelijk geval zou de landing worden stopgezet, en de aanvaller zou dit al niet meer kunnen herhalen. In het beste geval merkt de piloot een afwijking op, verontreinigt zijn broek, verhoogt de hoogte, maakt een tweede ronde en meldt dat er iets mis is met het ILS – de luchthaven begint een onderzoek, wat betekent dat de aanvaller niet meer in de buurt wil blijven.

Dus, als alles samenkomt, zal het resultaat minimaal zijn. Vergelijk dit met de verhouding tussen uitkomst en investeringen en het economische effect van de situatie waarin één neef met een drone van $1000 twee dagen rond de luchthaven Heathrow vloog. Die drone was werkelijk een effectievere en werkbare optie dan zo'n aanval.

Desondanks zeggen onderzoekers dat de risico's bestaan. Vliegtuigen die tijdens het landen niet in de glijhoek komen – de denkbeeldige lijn die een vliegtuig volgt bij een perfecte landing – zijn veel moeilijker op te merken, zelfs bij goed weer. Bovendien geven sommige drukke luchthavens om vertragingen te vermijden de vliegtuigen de instructie niet te haasten met de tweede ronde, zelfs niet bij slechte zichtbaarheid. Instructies voor landing van de Federal Aviation Administration van de VS, die door veel luchthavens in de VS worden gevolgd, geven aan dat een dergelijk besluit op een hoogte van slechts 15 m moet worden genomen. Dergelijke instructies zijn ook van toepassing in Europa. Ze geven de piloot zeer weinig tijd om de landing veilig af te breken als de visuele omstandigheid niet overeenkomt met de gegevens van het ILS.

‘Detectie en herstel van eventuele instrumentfalen tijdens kritieke landingprocedures is een van de moeilijkste taken in de moderne luchtvaart,’ schreven onderzoekers in hun werk met de titel ‘Draadloze aanvallen op vluchtgeleidende systemen’, aangenomen op de 28e symposium over beveiliging van USENIX. "Gezien hoe zeer piloten afhankelijk zijn van het ILS en in het algemeen van de instrumenten, kunnen storingen en kwaadwillige interferentie leiden tot catastrofale gevolgen, vooral tijdens autonome benaderingen en vluchten."

Wat er gebeurt bij ILS-storingen

Verschillende landingen die bijna tot een ramp leidden, tonen het gevaar van ILS-storingen aan. In 2011 maakte vlucht SQ327 van Singapore Airlines, met 143 passagiers en 15 bemanningsleden aan boord, onverwacht een helling naar links toen het zich 10 meter boven de landingsbaan op de luchthaven van München in Duitsland bevond. Na de landing week de Boeing 777-300 naar links af, draaide vervolgens naar rechts, oversteeg de aslijn en stopte toen het landingsgestel zich in het gras aan de rechterkant van de landingsbaan bevond.

In rapport over het voorval, gepubliceerd door de Duitse federale commissie voor de beoordeling van luchtvaartongevallen, staat dat het vliegtuig 500 meter voorbij het landingspunt landde. Onderzoekers gaven aan dat een van de oorzaken van het voorval de verstoring van de signalen van de koers-landingsradiobaken door het opstijgende vliegtuig was. Hoewel er geen gewonden werden gemeld, benadrukte dit voorval de ernst van ILS-storingen. Onder andere incidenten met ILS-storingen die bijna tragisch eindigden, zijn de Nieuw-Zeelandse vlucht NZ 60 in 2000 en de vlucht van Ryanair FR3531 in 2013. In een video wordt uitgelegd wat er misging in het laatste geval.

Vaibhav Sharma leidt het bedrijf uit Silicon Valley dat wereldwijd actief is in de veiligheid en vliegt sinds 2006 met kleine vliegtuigen. Hij heeft ook een licentie voor de populaire communicatie en doet vrijwilligerswerk in het burgerluchtpatrouille, waar hij is opgeleid als reddingsmedewerker en radiobediener. Hij simuleert met het X-Plane-simulator een aanval waarbij signalen worden vervalst, waardoor het vliegtuig rechts van de landingsbaan landt.

Sharma vertelde ons:

Een dergelijke aanval op het KGS is realistisch, maar de effectiviteit zal afhangen van een combinatie van factoren, waaronder de kennis van de aanvaller over de luchtvaartnavigatiesystemen en de omstandigheden tijdens de benadering. Als het op de juiste manier wordt toegepast, kan de aanvaller het luchtruimvoertuig omleiden naar obstakels rondom de luchthaven, en als dit gebeurt onder slechte zichtomstandigheden, zal het voor het pilotenteam erg moeilijk zijn om afwijkingen op te merken en hierop in te spelen.

Hij zei dat aanvallen potentieel een bedreiging kunnen vormen voor zowel kleine vliegtuigen als grote jets, maar om verschillende redenen. Kleine vliegtuigen vliegen met lagere snelheden. Dit geeft piloten tijd om te reageren. Grote jets daarentegen hebben meer teamleden die kunnen reageren op ongunstige situaties, en de piloten van dergelijke vliegtuigen worden meestal vaker en grondiger opgeleid.

Hij zei dat het voor zowel grote als kleine vliegtuigen het belangrijkst zal zijn om de omgevingsomstandigheden, vooral het weer, tijdens de landing te beoordelen.

‘Een dergelijke aanval zal waarschijnlijk effectiever zijn wanneer piloten in grotere mate op instrumenten moeten vertrouwen voor een succesvolle landing,’ zei Sharma. ‘Dit kunnen nachtlandingen zijn onder slechte zichtomstandigheden, of een combinatie van slechte omstandigheden met druk luchtverkeer, wat leidt tot een grotere werklast voor piloten, waardoor ze sterk afhankelijk zijn van automatisering.’

Aandjan Ranganathan, een onderzoeker van de Northeastern University die heeft geholpen bij de ontwikkeling van de aanval, vertelde ons dat GPS nauwelijks kan helpen bij een falen van het KGS. Deviaties van de landingsbaan bij een effectieve aanval met vervanging zullen tussen de 10 en 15 meter bedragen, aangezien alles daarboven opgemerkt kan worden door piloten en luchtverkeersleiders. GPS zal moeite hebben om dergelijke afwijkingen op te merken. Een tweede reden is dat het zeer eenvoudig is om GPS-signalen te vervalsen.

‘Ik kan GPS gelijktijdig vervalsen met de vervalsing van het KGS,’ zei Ranganathan. ‘Het gaat erom de motivatie van de aanvaller.’

Voorganger van KGS

De tests van KGS begonnen al in 1929, en het eerste operationele systeem werd in 1932 uitgerold op de Duitse luchthaven Berlijn-Tegel.

KGS blijft een van de meest effectieve landingssystemen. Andere benaderingen, bijvoorbeeld, alldirectionele azimut radionavigatie, een aangedreven radionavigatie, het wereldwijde positioneringssysteem en dergelijke sp satellitesystemen worden als onnauwkeurig beschouwd, omdat ze alleen horizontale of dwarsoriëntatie geven. Het KGS wordt echter beschouwd als een nauwkeurig benaderingssysteem, omdat het zowel horizontale als verticale (glijbaan) oriëntering biedt. In de laatste jaren werden onnauwkeurige systemen steeds minder gebruikt. KGS werd steeds vaker gekoppeld aan autopiloten en automatische landingssystemen.

Hoe KGS werkt: de koersgerichte landingsradiozender [localizer], de glijbaanhoek [glideslope] en de markeringsradiosenders [marker beacon]

KGS heeft twee belangrijke componenten. De koersgerichte landingsradiozender informeert de piloot of het vliegtuig naar links of rechts van de middellijn van de landingsbaan is verschoven, terwijl de glijbaanhoek aangeeft of de afdaalhoek te steil is zodat het vliegtuig niet naast het begin van de baan landt. De derde component zijn de markeringsradiosenders. Ze functioneren als mijlpalen die de piloot in staat stellen de afstand tot de baan te bepalen. Na verloop van tijd worden ze steeds vaker vervangen door GPS en andere technologieën.

De koersgerichte landingsradiozender gebruikt twee antennestelsels die twee verschillende hoge tonen uitzenden - één op 90 Hz en de andere op 150 Hz - bij de frequentie die aan een van de landingsbanen is toegewezen. De antennegrids zijn aan beide zijden van de baan geplaatst, meestal achter het startpunt, en zo gepositioneerd dat de tonen elkaar onderdrukken wanneer het landende vliegtuig zich recht boven de middellijn van de baan bevindt. De afwijkingsindicator toont een verticale lijn in het midden.

Als het vliegtuig naar rechts afwijkt, wordt de 150 Hz toon luider, waardoor de afwijkingsindicator naar links van het centrum beweegt. Als het vliegtuig meer naar links afwijkt, wordt de 90 Hz toon luider, en de indicator beweegt naar rechts. De koersgerichte landingsradiozender kan natuurlijk de visuele controle van de positie van het vliegtuig niet volledig vervangen, maar biedt een cruciaal en zeer intuïtief middel voor oriëntering. Piloten hoeven alleen de indicator in het midden te houden om het vliegtuig precies boven de middellijn te houden.

De glijvlakhoek werkt ongeveer hetzelfde, maar geeft de neigingshoek van het vliegtuig aan ten opzichte van het begin van de landingsbaan. Wanneer de hoek van het vliegtuig te klein is, wordt het geluid op 90 Hz duidelijker, en de instrumenten geven aan dat het vliegtuig moet dalen. Wanneer de daling te steil is, geeft het signaal op 150 Hz aan dat het vliegtuig hoger moet vliegen. Wanneer het vliegtuig op de voorgeschreven glijhoek van ongeveer drie graden blijft, worden de signalen wederzijds vernietigd. Twee glijvlokannten zijn geplaatst op een toren op een bepaalde hoogte, bepaald door de glijvlakhoek die geschikt is voor de specifieke luchthaven. De toren bevindt zich meestal dicht bij de raakzone van de baan.

Onberispelijke vervalsing

De aanval van onderzoekers van de Northeastern University gebruikt commerciële radiosenders. Deze apparaten, die te koop zijn voor $400-$600, zenden signalen uit die zich voordoen als echte signalen verzonden door de luchthaven's GCS. De zender van de aanvaller kan zich zowel aan boord van het aangevallen vliegtuig bevinden als op de grond, tot op 5 km afstand van de luchthaven. Zolang het signaal van de aanvaller sterker is dan het echte signaal, zal de GCS-ontvanger het signaal van de aanvaller waarnemen en de oriëntatie ten opzichte van de verticale en horizontale vluchttrajecten, zoals gepland door de aanvaller, tonen.

Als de vervalsing slecht is uitgevoerd, zal de piloot plotselinge of chaotische veranderingen in de instrumenten zien, die hij als een storing van de GCS zal beschouwen. Om de vervalsing moeilijker te maken om te herkennen, kan de aanvaller de exacte locatie van het vliegtuig verfijnen met behulp van AZN-V, een systeem dat elke seconde de locatie van het vliegtuig via GPS, de hoogte, de snelheid ten opzichte van de grond en andere gegevens naar grondstations en andere luchtvaartuigen verzendt.

Met deze informatie kan de aanvaller de vervalsing van het signaal starten wanneer het naderende vliegtuig naar links of rechts van de landingsbaan is verschoven, en een signaal sturen dat het vliegtuig recht vliegt. Het optimale tijdstip voor de aanval is wanneer het vliegtuig net voorbij het waypointhas, zoals getoond in de demonstratievideo aan het begin van het artikel.

Vervolgens kan de aanvaller een algoritme voor signalencorrectie en -generatie toepassen, dat voortdurend het kwaadaardige signaal bijstelt om ervoor te zorgen dat de afwijking ten opzichte van de juiste route overeenkomt met alle bewegingen van het vliegtuig. Zelfs als de aanvaller niet over de vaardigheden beschikt om een perfecte valse signaal te maken, kan hij het KGS zo verwarren dat de piloot er niet op kan vertrouwen tijdens de landing.

Een variant van signaalvervalsing staat bekend als een 'schaduwaanval'. De aanvaller stuurt speciaal voorbereide signalen met een kracht groter dan die van de signalen van de luchthavenzender. De aanvaller heeft doorgaans een zender nodig die signalen met een kracht van 20 W kan verzenden. Schaduwaanvallen maken het gemakkelijker om een overtuigende vervalsing van het signaal uit te voeren.

Schaduwaanval

Een tweede variant van signaalvervalsing staat bekend als een 'eenfrequentieaanval'. Het voordeel daarvan is dat geluid met één frequentie kan worden verzonden met een kracht die lager is dan die van het KGS van de luchthaven. Het heeft echter enkele nadelen, zoals dat de aanvaller precies moet weten wat de specificaties van het vliegtuig zijn – bijvoorbeeld de locatie van de KGS-antennes.

Eenfrequentieaanval

Gebrek aan gemakkelijke oplossingen

Onderzoekers zeggen dat er momenteel geen manieren zijn om de bedreiging van vervalsingsaanvallen te elimineren. Alternatieve navigatietechnologieën – inclusief omnidirectionele azimutale radiobaken, geleidende radiobaken, global positioning system en soortgelijke satellietnavigatiesystemen – zijn draadloze signalen zonder authentificatiemechanisme en zijn derhalve kwetsbaar voor vervalsingsaanvallen. Bovendien kunnen alleen KGS en GPS informatie over de horizontale en verticale aanloopbaan bieden.

In hun werk schrijven de onderzoekers:

De meeste veiligheidsproblemen waarmee deze technologieën worden geconfronteerd, zijn AZN-V, ACARS en TCAS, kan worden gecorrigeerd door cryptografie te implementeren. Echter, cryptografie zal niet voldoende zijn om aanvallen met lokalisatie te voorkomen. Bijvoorbeeld, de encryptie van GPS-signalen, vergelijkbaar met militaire navigatietechnologie, kan aanvallen met vervalsing tot op zekere hoogte voorkomen. Desondanks kan een aanvaller GPS-signalen met de gewenste tijdvertragingen omleiden om locatiewijziging of tijdsvervalsing te bereiken. Inspiratie kan worden gehaald uit bestaande literatuur over het voorkomen van aanvallen met GPS-vervalsing en vergelijkbare systemen aan de ontvangerzijde ontwikkelen. Een alternatief kan de implementatie zijn van een grootschalig veilig lokalisatiesysteem, gebaseerd op afstandsbeperkingen en veilige bevestigingstechnieken. Echter, dit vereist bidirectionele communicatie, en deze optie vereist verdere studie met betrekking tot schaalbaarheid, uitvoerbaarheid en dergelijke.

De Amerikaanse federale luchtvaartadministratie heeft verklaard dat zij niet over voldoende informatie beschikt met betrekking tot de demonstratie van de onderzoekers om commentaar te geven.

Deze aanval en de aanzienlijke hoeveelheid verricht onderzoek zijn indrukwekkend, maar de belangrijkste vraag in het werk blijft onbeantwoord - hoe waarschijnlijk is het dat iemand de moeite neemt om daadwerkelijk een dergelijke aanval uit te voeren? Andere soorten kwetsbaarheden, bijvoorbeeld die hackers in staat stellen om schadelijke software op de computers van gebruikers op afstand te installeren, of populaire encryptiesystemen te omzeilen, zijn gemakkelijk te monetiseren. Met een aanval op het GPS-signaal is dat niet zo. In deze categorie vallen ook levensbedreigende aanvallen op pacemakers en andere medische apparaten.

En hoewel het moeilijker is om motivatie voor dergelijke aanvallen te zien, zou het een vergissing zijn om hun mogelijkheid te negeren. In rapport, gepubliceerd in mei door C4ADS, een niet-gouvernementele organisatie die zich richt op kwesties van wereldwijde conflicten en interstatelijke veiligheid, wordt gesteld dat de Russische Federatie vaak grootschalige testen heeft uitgevoerd van verstoringen in het GPS-systeem, met als gevolg dat navigatiesystemen van schepen meer dan 65 mijl van hun juiste locatie afwijken [In het rapport staat eigenlijk dat tijdens de opening van de Krimbrug (dus niet 'vaak', maar slechts één keer) de wereldwijde navigatiesystemen verstoord werden door een zender op deze brug, en de werking ervan was voelbaar tot dichtbij Anapa, dat 65 km (en niet mijlen) van deze plek ligt. 'En verder is alles correct' (c) / opm. vert.].

'De Russische Federatie heeft een relatief voordeel in het gebruik en de ontwikkeling van mogelijkheden om globale navigatiesystemen te misleiden', waarschuwt het rapport. 'Echter, de lage kosten, beschikbaarheid in de open verkoop en het gebruiksgemak van dergelijke technologieën biedt niet alleen staten, maar ook rebellen, terroristen en criminelen uitgebreide mogelijkheden voor het destabiliseren van zowel staats- als niet-staatsnetwerken.'

En hoewel vervalsing van GPS in 2019 als een esoterisch begrip lijkt, is het niet zo'n fantastische veronderstelling dat het in de komende jaren een gangbare praktijk kan worden, naarmate de technologieën voor aanvallen begrijpelijker worden en op afstand bestuurde zenders gebruikelijker. GPS-aanvallen hoeven niet per se te worden uitgevoerd om ongelukken te veroorzaken. Ze kunnen ook worden uitgevoerd om de werking van luchthavens te verstoren, zoals illegale drones die in december vorig jaar de luchthaven Gatwick in Londen sloten, enkele dagen voor Kerstmis, en drie weken later de luchthaven Heathrow.

'Geld is één motivatie, en een demonstratie van kracht is een andere', aldus Ranganathan. 'Vanuit beveiligingsperspectief zijn deze aanvallen zeer kritisch. We moeten daarvoor zorgen, omdat er in deze wereld genoeg mensen te vinden zijn die hun kracht willen demonstreren.'

Bron: habr.com