Sygnał, na podstawie którego samoloty znajdują pas startowy, można podrobić za pomocą radia za 600 $
Samolot w demonstracji ataku na radio z powodu fałszywych sygnałów lądowanie z przesuwnym odchyleniem w prawo od pasa startowego
Praktycznie każde powietrzne urządzenie, które wzbiło się w powietrze w ciągu ostatnich 50 lat – niezależnie czy to jednosilnikowy samolot Cessna, czy ogromny samolot pasażerski na 600 miejsc – korzystało z pomocy stacji radiowych dla bezpiecznego lądowania na lotniskach. Systemy podejścia precyzyjnego (ILS, ang. instrument landing system) uważane są za systemy dokładnego podejścia, ponieważ, w przeciwieństwie do GPS i innych systemów nawigacyjnych, dostarczają żywotnych informacji w czasie rzeczywistym na temat poziomej orientacji samolotu w odniesieniu do pasa startowego oraz pionowego kąta opadania. W wielu warunkach – szczególnie podczas lądowania w mgle lub deszczu nocą – ta nawigacja radiowa pozostaje głównym sposobem zapewnienia, że samolot dotknie ziemi na początku pasa startowego i dokładnie w jego środku.
Jak wiele innych technologii stworzonych w przeszłości, ILS nie przewidywało zabezpieczeń przed włamaniami. Sygnały radiowe nie są szyfrowane, a ich autentyczność nie jest potwierdzana. Piloci po prostu zakładają, że sygnały dźwiękowe odbierane przez ich systemy na ustalonej częstotliwości lotniska są prawdziwymi sygnałami nadawanymi przez operatora lotniska. Przez wiele lat taki brak bezpieczeństwa prawie nikogo nie niepokoił, głównie dlatego, że koszt i złożoność podrabiania sygnałów czyniły ataki bezsensownymi.
Jednak teraz naukowcy opracowali niedrogi sposób na włamanie, stawiający pytania o bezpieczeństwo ILS, używanego prawie w każdym cywilnym porcie lotniczym na świecie przemysłowym. Używając radia za 600 $ z , naukowcy mogą fałszować sygnały lotniska tak, że instrumenty nawigacyjne pilota będą wskazywały, że samolot zboczył z trasy. Zgodnie z procedurami, pilot powinien skorygować prędkość opadania lub orientację statku, co stwarza zagrożenie dla bezpieczeństwa.
Jedna z technologii ataku polega na tym, że fałszywe sygnały informują, że kąt opadania jest mniejszy, niż w rzeczywistości. Podrobiony komunikat zawiera tzw. sygnał „przyjmij w dół”, informujący pilota o konieczności zwiększenia kąta opadania, co może doprowadzić do tego, że samolot dotknie ziemi przed początkiem pasa startowego.
Na filmie pokazany jest w inny sposób sfałszowany sygnał, który może stanowić zagrożenie dla samolotu zniżającego się do lądowania. Atakujący może wysłać sygnał informujący pilota, że jego samolot znajduje się na lewo od osi pasa startowego, podczas gdy w rzeczywistości samolot jest dokładnie na środku. Pilot zareaguje, przesuwając samolot w prawo, co w końcu spowoduje przemieszczenie w tę stronę.
Badacze z Northeastern University w Bostonie konsultowali się z pilotem i ekspertem ds. bezpieczeństwa, a ostrożnie zauważają, że podobna fałszywka sygnałów z niewielkim prawdopodobieństwem doprowadzi do awarii w większości przypadków. Usterki w działaniu ADS-B to znane zagrożenie dla bezpieczeństwa lotów, a doświadczeni piloci przechodzą szczegółowe szkolenie, jak na nie reagować. Pilot w bezchmurną pogodę łatwo zauważy, że samolot nie jest wycelowany w oś pasa startowego, i będzie mógł wykonać drugi krąg.
Kolejnym powodem do rozsądnego sceptycyzmu jest złożoność przeprowadzenia ataku. Oprócz programowalnej stacji radiowej potrzebne będą skierowane anteny oraz wzmacniacz. Całe to wyposażenie będzie dość trudne do potajemnego wniesienia na pokład samolotu, jeśli haker zechce przeprowadzić atak z jego wnętrza. Jeśli zdecyduje się zaatakować z ziemi, będzie potrzebne dużo pracy, aby wyrównać sprzęt z pasem startowym, nie przyciągając uwagi. Co więcej, lotniska zazwyczaj monitorują obecność zakłóceń na szczególnie ważnych częstotliwościach, co może sprawić, że atak zostanie szybko przerwany po rozpoczęciu.
W 2012 roku badacz Brad Haynes, znany pod pseudonimem , w systemie ADS-B (automatyczne zależne obserwowanie i nadawanie), który samoloty wykorzystują do określenia swojego położenia i przekazywania danych innym samolotom. Podsumował trudności związane z rzeczywistym fałszowaniem sygnałów ADS-B w ten sposób:
Jeśli wszystko się zbiegnie – lokalizacja, ukryte wyposażenie, zła pogoda, odpowiedni cel, dobrze zmotywowany, sprytny i dysponujący środkami finansowymi napastnik – co się wydarzy? W najgorszym przypadku samolot wyląduje na trawie, mogą wystąpić obrażenia lub ofiary śmiertelne, jednak bezpieczny rozwój samolotów i zespołów reagowania kryzysowego zapewniają bardzo niskie prawdopodobieństwo ogromnego pożaru związane z utratą całego samolotu. W takim przypadku lądowanie zostanie wstrzymane, a napastnik nie będzie w stanie tego powtórzyć. W najlepszym przypadku pilot dostrzega nieprawidłowość, brudzi spodnie, podnosi wysokość, wykonuje drugi krąg i informuje, że coś jest nie tak z ILS – lotnisko rozpocznie dochodzenie, co oznacza, że napastnik nie będzie już chciał pozostawać w pobliżu.
Więc jeśli wszystko się zbiegnie, to wynik będzie minimalny. Porównaj to z proporcją zysku do inwestycji i efektem ekonomicznym, jaki przynosi sytuacja, gdy jeden facet z dronem za 1000 dolarów przez dwa dni krążył wokół lotniska Heathrow. Zdecydowanie dron był bardziej efektywnym i funkcjonalnym rozwiązaniem niż taki atak.
Niemniej jednak, badacze podkreślają, że ryzyko istnieje. Samoloty, które nie podchodzą do lądowania zgodnie z podejściem – wyimaginowaną linią, którą samolot powinien podążać podczas idealnego lądowania – są znacznie trudniejsze do wykrycia, nawet w dobrych warunkach pogodowych. Co więcej, niektóre zatłoczone lotniska, aby uniknąć opóźnień, zalecają samolotom, aby na wszelki wypadek nie spieszyły się z ponownym krążeniem, nawet w warunkach słabej widoczności. dotyczące lądowania od Federalnej Administracji Lotnictwa USA, które stosują wiele amerykańskich lotnisk, wskazują, że decyzję tę należy podjąć na wysokości zaledwie 15 m. Takie instrukcje obowiązują także w Europie. Pozostawiają pilotowi bardzo niewiele czasu na bezpieczne przerwanie lądowania, jeśli wizualnie warunki otoczenia nie odpowiadają danym z ILS.
„Wykrywanie i odzyskiwanie w przypadku awarii jakichkolwiek instrumentów podczas krytycznych procedur lądowania to jedno z najtrudniejszych zadań współczesnego lotnictwa” – pisali badacze w swojej pod tytułem „Bezgodowe ataki na systemy podejścia i lądowania”, przyjętej na . "Biorąc pod uwagę, jak bardzo piloci polegają na systemach ILS i ogólnie na narzędziach, awaria i złośliwe zakłócenia mogą prowadzić do katastrofalnych skutków, zwłaszcza podczas autonomicznych podejść i lotów.
Co się dzieje z awariami ILS
Kilka lądowań, które mogły skończyć się katastrofą, pokazuje niebezpieczeństwo awarii ILS. W 2011 roku lot SQ327 Singapore Airlines z 143 pasażerami i 15 członkami załogi na pokładzie niespodziewanie przechylił się w lewo, będąc 10 metrów nad pasem startowym na lotnisku w Monachium w Niemczech. Po wylądowaniu Boeing 777-300 odchylił się w lewo, luego skręcił w prawo, przeszedł przez oś pasa, a zatrzymał się, gdy podwozie znalazło się w trawie po prawej stronie pasa startowego.
W o incydencie opublikowanym przez niemiecką federalną komisję ds. badania wypadków lotniczych, wskazuje, że samolot minął punkt lądowania o 500 m. Śledczy stwierdzili, że jednym z winowajców incydentu było zakłócenie sygnałów radiolatarni ILS przez wznoszący się samolot. Choć nie zgłoszono rannych, zdarzenie to podkreśliło powagę awarii systemów ILS. Wśród innych incydentów związanych z awarią ILS, które mogły skończyć się tragicznie, wymieniane są nowozelandzki lot NZ 60 w 2000 roku oraz lot Ryanair FR3531 w 2013 roku. Na wideo wyjaśniono, co poszło nie tak w ostatnim przypadku.
Vaibhav Sharma kieruje firmą z Doliny Krzemowej zajmującą się bezpieczeństwem na całym świecie i lata małymi samolotami od 2006 roku. Posiada również licencję operatora amatorskiej komunikacji i angażuje się na zasadach wolontariatu w cywilnej straży powietrznej, gdzie przeszedł szkolenie na ratownika i operatora radio. Pilotuje samolot w symulatorze X-Plane, demonstrując atak z podmienionymi sygnałami, który zmusza samolot do lądowania po prawej stronie pasa startowego.
Sharma powiedział nam:
Taki atak na KGS jest realistyczny, ale jego skuteczność będzie zależała od kombinacji czynników, w tym wiedzy atakującego na temat systemu nawigacji lotniczej oraz warunków podczas podejścia. Jeśli zostanie użyty w odpowiedni sposób, atakujący będzie mógł skierować statek powietrzny w stronę przeszkód otaczających lotnisko, a jeśli stanie się to w warunkach słabej widoczności, załodze pilotów będzie bardzo trudno zauważyć odchylenia i sobie z nimi poradzić.
Powiedział, że ataki mają potencjał zagrażać zarówno małym samolotom, jak i dużym odrzutowcom, jednak z różnych powodów. Małe samoloty poruszają się z mniejszymi prędkościami. To daje pilotom czas na reakcję. Z drugiej strony, w dużych odrzutowcach jest więcej członków załogi, którzy są w stanie zareagować na niesprzyjające wydarzenia, a piloci tych statków zazwyczaj są szkoleni częściej i dokładniej.
Powiedział, że dla dużych i małych samolotów najważniejsza będzie ocena warunków otoczenia, w szczególności pogody, podczas lądowania.
„Taki atak prawdopodobnie będzie bardziej skuteczny, gdy piloci będą musieli w większym stopniu polegać na przyrządach w celu przeprowadzenia udanego lądowania,” powiedział Sharma. „Mogą to być nocne lądowania w warunkach słabej widoczności lub kombinacja złych warunków z zatłoczonym przestrzenią powietrzną, co wymaga od pilotów większego zaangażowania, przez co stają się bardzo zależni od automatyzacji.”
Aandjan Ranganathan, badacz z Northeastern University, który pomógł w opracowaniu ataku, powiedział nam, że w przypadku awarii KGS prawie nie można liczyć na GPS. Odchylenia od pasa startowego przy skutecznym ataku z podmianą będą wynosić od 10 do 15 metrów, ponieważ wszystko, co będzie większe, będą mogli zauważyć piloci i kontrolerzy lotów. GPS z dużym trudem wykryje takie odchylenia. Drugim powodem jest to, że łatwo jest podmienić sygnały GPS.
„Mogę podmienić GPS równolegle z podmianą KGS,” powiedział Ranganathan. „Cała sprawa polega na stopniu motywacji atakującego.”
Poprzednik KGS
Testy KGS rozpoczęły się , a pierwszy działający system wdrożono w 1932 roku na niemieckim lotnisku Berlin-Tempelhof.
KGS pozostaje jednym z najbardziej efektywnych systemów lądowania. Inne podejścia, na przykład, , prowadzący radiozestaw, globalny system pozycjonowania i podobne systemy nawigacji są uważane za niedokładne, ponieważ dają tylko orientację poziomą lub poprzeczną. KGŚ natomiast jest uważany za dokładny system zbliżenia, ponieważ zapewnia zarówno orientację poziomą, jak i pionową (zjazd). W ostatnich latach systemy niedokładne były używane coraz rzadziej. KGŚ coraz częściej łączono z autopilotami i systemami automatycznego lądowania.
Jak działa KGŚ: kierunkowy system lądowania [localizer], kąt zjazdu [glideslope] i radiozestawy markerowe [marker beacon]
KGŚ ma dwa kluczowe składniki. Kierunkowy system lądowania informuje pilota, czy samolot jest przesunięty w lewo czy w prawo od linii środkowej pasa startowego, a kąt zjazdu informuje, czy kąt opadania nie jest zbyt stromy, aby samolot nie przegapił początku pasa. Trzeci składnik to radiozestawy markerowe. Działają one jak znaki, pozwalające pilotowi ocenić odległość do pasa. Z biegiem lat są coraz częściej zastępowane przez GPS i inne technologie.
Kierunkowy system lądowania używa dwóch zestawów anten, emitujących dwa różne dźwięki na różnych wysokościach – jeden na 90 Hz, a drugi na 150 Hz – przy częstotliwości przypisanej jednemu z pasów lądowania. Siatki antenowe są umieszczone po obu stronach pasa, zwykle za punktem startowym, tak, aby dźwięki wzajemnie się niwelowały, gdy lądujący samolot znajduje się dokładnie nad linią środkową pasa. Wskaźnik odchylenia pokazuje pionową linię na środku.
Jeśli samolot odchyla się w prawo, dźwięk o częstotliwości 150 Hz staje się coraz głośniejszy, co powoduje, że wskaźnik odchylenia przesuwa się w lewo od centrum. Jeśli samolot odchyla się w lewo, dźwięk o częstotliwości 90 Hz staje się głośniejszy, a wskaźnik przesuwa się w prawo. Kierunkowy system lądowania nie może oczywiście całkowicie zastąpić wizualnej kontroli pozycji samolotu, ale daje kluczowe i bardzo intuicyjne środki orientacji. Piloci muszą po prostu utrzymywać wskaźnik w centrum, aby samolot znajdował się dokładnie nad linią środkową.
Kąt ścieżki podejścia działa w przybliżeniu w ten sam sposób, jednak wskazuje on kąt opadania samolotu względem początku pasa startowego. Gdy kąt samolotu jest zbyt mały, głośniejszy staje się dźwięk na 90 Hz, a urządzenia pokazują, że samolot musi obniżyć wysokość. Gdy zniżanie jest zbyt szybkie, sygnał na 150 Hz oznacza, że samolot musi podnieść się. Kiedy samolot utrzymuje zalecany kąt nachylenia ścieżki podejścia wynoszący około trzy stopnie, sygnały wzajemnie się znoszą. Dwie anteny podejścia znajdują się na wieży na określonej wysokości, której wartość określa kąt nachylenia ścieżki podejścia odpowiedni dla konkretnego lotniska. Wieża zazwyczaj znajduje się w pobliżu strefy styku pasa.
Nienaganna podróbka
Atak badaczy z Uniwersytetu Northeastern wykorzystuje dostępne na rynku oprogramowania nadajniki radiowe. Urządzenia te, sprzedawane w cenie od 400 do 600 dolarów, transmitują sygnały, udające prawdziwe sygnały wysyłane przez systemy KGS lotniska. Nadajnik napastnika może znajdować się zarówno na pokładzie atakowanego samolotu, jak i na ziemi, w odległości do 5 km od lotniska. Dopóki sygnał napastników jest mocniejszy od prawdziwego sygnału, odbiornik KGS będzie odbierał sygnał atakującego i wyświetlał orientację względem zaplanowanej pionowej i poziomej trajektorii lotu.
Jeśli podstawienie sygnału jest źle zorganizowane, pilot dostrzega nagłe lub chaotyczne zmiany wskazań przyrządów, które uzna za awarię KGS. Aby trudniej było rozpoznać fałszerstwo, napastnik może określić dokładną lokalizację samolotu, korzystając z , systemu, który co sekundę przekazuje lokalizację samolotu przez GPS, wysokość, prędkość względem ziemi i inne dane do stacji naziemnych oraz innych statków.
Wykorzystując te informacje, napastnik może rozpocząć podstawienie sygnału, gdy nadlatujący samolot przesunie się w lewo lub w prawo względem pasa startowego i wyśle mu sygnał, że samolot leci na wprost. Optymalnym momentem na atak będzie chwila, gdy samolot właśnie przeszedł obok punktu nawigacyjnego, co pokazano w filmie demonstracyjnym na początku artykułu.
Następnie atakujący może zastosować algorytm korekcji i generacji sygnału w czasie rzeczywistym, który nieustannie koryguje złośliwy sygnał, aby zapewnić, że przesunięcie względem właściwej ścieżki odpowiada wszystkim ruchom samolotu. Nawet jeśli atakujący nie ma wystarczających umiejętności, aby stworzyć doskonały fałszywy sygnał, może tak wprowadzić w błąd KGS, że pilot nie będzie mógł polegać na nim podczas lądowania.
Jednym z wariantów fałszowania sygnału jest tzw. "atak zasłonowy". Atakujący wysyła specjalnie przygotowane sygnały o mocy większej niż sygnały nadajnika lotniska. Nadajnik atakującego zwykle musi wysyłać sygnały o mocy 20 W. Ataki zasłonowe ułatwiają przeprowadzenie przekonującej podmiany sygnału.
Atak zasłonowy
Drugim wariantem podmiany sygnału jest tzw. "atak jednoczęstotliwościowy". Jego zaletą jest to, że można wysyłać dźwięk o jednej częstotliwości z mocą mniejszą niż moc KGS lotniska. Ma on kilka wad, na przykład atakujący musi dokładnie znać specyfikę samolotu – na przykład lokalizację jego anten KGS.
Atak jednoczęstotliwościowy
Brak łatwych rozwiązań
Naukowcy mówią, że obecnie nie ma sposobów, aby wyeliminować zagrożenie atakami z podmianą. Alternatywne technologie nawigacji – w tym wszechkierunkowy radiolatarni azymutowej, radiolatarni prowadzącej, globalnego systemu pozycjonowania i podobnych systemów nawigacji satelitarnej – są sygnałami bezprzewodowymi, które nie mają mechanizmu autoryzacji, a zatem są podatne na ataki podmiany. Ponadto tylko KGS i GPS mogą dostarczyć informacje o poziomej i pionowej trajektorii podejścia.
W swojej pracy badacze piszą:
Większość problemów z bezpieczeństwem, z którymi borykają się takie technologie jak , i , można to poprawić, wdrażając kryptografię. Niemniej jednak kryptografia nie wystarczy, aby zapobiec atakom z lokalizacji. Na przykład szyfrowanie sygnału GPS, podobne do technologii nawigacji wojskowej, może do pewnego stopnia zapobiec atakom typu spoofing. Mimo to, złośliwy użytkownik nadal może przekierowywać sygnały GPS z pożądanymi opóźnieniami, co pozwoli mu na zmianę lokalizacji lub czasu. Inspirację można czerpać z istniejącej literatury dotyczącej zapobiegania atakom typu spoofing GPS i tworzyć podobne systemy po stronie odbiornika. Alternatywą może być wdrożenie zintegrowanego, bezpiecznego systemu lokalizacji, opartego na ograniczeniach odległości i bezpiecznych technik potwierdzania zbliżenia. Wymagałoby to jednak zapewnienia dwustronnej komunikacji, a ta opcja wymaga dalszych badań pod względem skalowalności, wykonalności i innych kwestii.
W amerykańskim Federalnym Urzędzie Lotnictwa Cywilnego poinformowano, że nie mają wystarczających informacji o przeprowadzonej demonstracji przez badaczy, aby móc skomentować.
Ten atak oraz znaczna ilość przeprowadzonych badań robią wrażenie, ale podstawowe pytanie w pracy pozostaje bez odpowiedzi – jak prawdopodobne jest, że ktoś zechce włożyć wysiłek w rzeczywistą realizację tego rodzaju ataku? Inne typy podatności, na przykład pozwalające hakerom zdalnie instalować złośliwe oprogramowanie na komputerach użytkowników, czy omijać popularne systemy szyfrowania, łatwo można spieniężyć. Z atakiem typu spoofing GPS nie jest to takie proste. Do tej samej kategorii należą niebezpieczne dla życia ataki na rozruszniki serca i inne urządzenia medyczne.
I chociaż motywację do takich ataków trudno dostrzec, byłoby błędem odrzucać ich możliwość. W , opublikowanym w maju przez C4ADS, organizację non-profit zajmującą się problemami konfliktów globalnych i bezpieczeństwa międzynarodowego, wskazano, że Federacja Rosyjska często przeprowadzała szeroko zakrojone testy zakłóceń systemu GPS, w wyniku których nawigacyjne systemy statków myliły się w swoim położeniu o 65 mil i więcej [Raport rzeczywiście mówi, że podczas otwierania Mostu Krymskiego (czyli nie «często», a tylko raz) globalny system nawigacji był zakłócany przez nadajnik znajdujący się na tym moście, a jego działanie odczuwalne było nawet w pobliżu Anapy, oddalonej o 65 km (a nie mil) od tego miejsca. «A tak wszystko się zgadza» (przyp. tłum.)].
«Federacja Rosyjska ma względną przewagę w używaniu i rozwijaniu możliwości oszukiwania systemów globalnej nawigacji», ostrzega raport. «Jednak niska cena, dostępność w otwartej sprzedaży i łatwość użycia takich technologii dają nie tylko państwom, ale także buntownikom, terrorystom i przestępcom szerokie możliwości destabilizacji sieci państwowych i niepaństwowych».
I chociaż podmiana systemów GPS wydaje się ezoteryką w 2019 roku, trudno będzie uznać to za fantastyczne przypuszczenie, że w nadchodzących latach stanie się to bardziej powszechne, w miarę jak technologie ataków będą stawały się coraz bardziej zrozumiałe, a programowalne nadajniki radiowe – powszechniejsze. Ataki na systemy GPS niekoniecznie muszą być przeprowadzane w celu wywołania awarii. Mogą być używane do zakłócania pracy lotnisk, tak jak nielegalne drony doprowadziły do zamknięcia lotniska Gatwick w Londynie w zeszłym grudniu, na kilka dni przed Bożym Narodzeniem, a trzy tygodnie później – lotniska Heathrow.
«Pieniądze to jedna motywacja, a demonstrowanie siły to druga» — powiedział Ranganathan. – «Z punktu widzenia ochrony te ataki są dość krytyczne. Należy się tym zająć, ponieważ w tym świecie znajdzie się wystarczająco dużo ludzi, którzy będą chcieli pokazać swoją siłę».
Źródło: habr.com
