O sinal que os aviões usam para encontrar a pista de pouso pode ser falsificado com uma rádio por $600.
Avião em demonstração de ataque à rádio devido a sinais falsificados. pousa à direita da pista de pouso.
Praticamente qualquer aeronave que decolou nos últimos 50 anos – seja um monomotor Cessna ou um gigantesco cargueiro de 600 assentos – conta com a ajuda de estações de rádio para um pouso seguro em aeroportos. Esses sistemas de aproximação de precisão, ILS (instrument landing system), são considerados sistemas de aproximação precisa, pois, ao contrário do GPS e de outros sistemas de navegação, eles fornecem informações vitais em tempo real sobre a orientação horizontal da aeronave em relação à pista e ao ângulo vertical de descida. Em muitas condições – especialmente durante pousos em névoa ou sob chuva à noite – essa navegação por rádio continua sendo o principal meio de garantir que o avião toque o chão no início da pista e exatamente no meio.
Como muitas outras tecnologias criadas no passado, o ILS não previa proteção contra invasões. Os sinais de rádio não são criptografados e sua autenticidade não é confirmada. Os pilotos simplesmente assumem que os sinais sonoros recebidos por seus sistemas em uma frequência alocada ao aeroporto são sinais reais transmitidos pelo operador do aeroporto. Durante muitos anos, essa falha de segurança praticamente não preocupou ninguém, principalmente porque o custo e a complexidade da falsificação de sinais tornavam os ataques sem sentido.
Mas agora pesquisadores desenvolveram um método barato de invasão que levanta questões sobre a segurança do ILS usado em praticamente todos os aeroportos civis do mundo industrial. Usando uma rádio de $600, os pesquisadores podem falsificar sinais do aeroporto de forma que os instrumentos de navegação do piloto indiquem que o avião está fora de curso. De acordo com o treinamento, o piloto deve corrigir a velocidade de descida ou a orientação da aeronave, criando assim uma ameaça de incidente.
Uma das tecnologias de ataque consiste em emitir sinais falsos que indicam um ângulo de descida menor do que o real. A mensagem falsificada contém um chamado "sinal de descida", informando ao piloto sobre a necessidade de aumentar o ângulo de descida, o que pode resultar em o avião tocar o solo antes do início da pista de pouso.
O vídeo mostra um sinal falsificado de outra forma, que pode representar uma ameaça ao avião em aproximação para pouso. O atacante pode enviar um sinal informando ao piloto que seu avião está à esquerda da linha central da pista de pouso, quando na verdade o avião está exatamente no centro. O piloto reagirá movendo o avião para a direita, resultando em um desvio.
Pesquisadores da Northeastern University em Boston consultaram um piloto e um especialista em segurança, e observam cuidadosamente que tal falsificação de sinais provavelmente resultará em um acidente na maioria dos casos. Falhas no funcionamento do ADS-B (Broadcast de Vigilância Dependente de Aeronaves) são uma ameaça de segurança conhecida em voos, e pilotos experientes recebem treinamento detalhado sobre como reagir a elas. Em boa visibilidade, um piloto facilmente notará que o avião não está alinhado com a linha central da pista, permitindo que ele opte por um segundo circuito.
Outra razão para um ceticismo razoável é a complexidade de realizar o ataque. Além de uma estação de rádio programável, seriam necessárias antenas direcionais e um amplificador. Todo esse equipamento seria bastante difícil de contrabandear para dentro do avião, caso um hacker decidisse realizar o ataque a partir de bordo. Se ele optar por atacar do solo, seria necessário muito trabalho para alinhar o equipamento com a pista de pouso sem chamar atenção. Além disso, os aeroportos geralmente monitoram a possibilidade de interferência em frequências particularmente importantes, o que pode resultar na interrupção do ataque logo após o início.
Em 2012, o pesquisador Brad Haynes, conhecido pelo indicativo , no sistema ADS-B (Vigilância Dependente Automática da Aeronave), que os aviões usam para determinar sua localização e transmitir dados para outras aeronaves. Ele resumiu as dificuldades da falsificação real dos sinais ADS-B da seguinte forma:
Se tudo se alinhar - localização, equipamento oculto, condições climáticas adversas, um alvo adequado, um atacante bem motivado, inteligente e financeiramente capaz - o que pode acontecer? No pior dos casos, o avião aterrissa na grama, podendo haver ferimentos ou fatalidades; no entanto, o desenvolvimento seguro de aviões e as equipes de resposta rápida garantem uma probabilidade muito baixa de um grande incêndio com a perda total da aeronave. Nesse caso, a aterrissagem seria suspensa, e o atacante não poderia repetir a ação. No melhor dos casos, o piloto perceberá a discrepância, ficará assustado, irá ganhar altitude, fará uma nova aproximação e relatará que há algo errado com o ILS - o aeroporto iniciará uma investigação, o que significa que o atacante não desejará permanecer nas proximidades.
Portanto, se tudo se alinhar, o resultado será mínimo. Compare isso com a relação resultado-investimento e o efeito econômico do caso em que um idiota com um drone de $1000 sobrevoou por dois dias o aeroporto de Heathrow. Com certeza, o drone foi uma opção muito mais eficaz e operacional do que esse tipo de ataque.
E ainda assim, os pesquisadores afirmam que existem riscos. Aviões que não se encaixam na descida - a linha imaginária que o avião deve seguir para uma aterrissagem ideal - são muito mais difíceis de detectar, mesmo em boas condições climáticas. Além disso, alguns aeroportos movimentados, para evitar atrasos, instruem os aviões a não apressar a volta ao circuito, mesmo em condições de baixa visibilidade. A diretriz sobre aterrissagens da Administração Federal de Aviação dos EUA, seguida por muitos aeroportos nos EUA, estabelece que tal decisão deve ser tomada a uma altura de apenas 15 metros. Diretrizes semelhantes também são aplicáveis na Europa. Elas deixam pouco tempo ao piloto para interromper a aterrissagem com segurança se as condições visuais ao redor não coincidirem com os dados do ILS.
"A detecção e a recuperação em caso de falha de quaisquer instrumentos durante procedimentos críticos de aterrissagem é uma das tarefas mais desafiadoras da aviação moderna", escreveram os pesquisadores em seu intitulado "Ataques sem fio em sistemas de glide slope das aeronaves", aceito no . «Considerando o quanto os pilotos dependem do ILS e, em geral, das ferramentas, uma falha ou interferência maliciosa pode levar a consequências catastróficas, especialmente durante a aproximação e o voo autônomos».
O que acontece com as falhas do ILS
Vários pousos que quase resultaram em catástrofes demonstram o perigo das falhas do ILS. Em 2011, o voo SQ327 da Singapore Airlines, com 143 passageiros e 15 membros da tripulação a bordo, inclinou-se inesperadamente para a esquerda a apenas 10 metros acima da pista de pouso no aeroporto de Munique, na Alemanha. Após o pouso, o Boeing 777-300 desviou-se para a esquerda, depois virou para a direita, cruzou a linha central e parou com o trem de pouso na grama à direita da pista.
Em sobre o incidente, publicado pela Comissão Federal de Investigações de Acidentes Aéreos da Alemanha, afirma que a aeronave passou 500 metros além do ponto de pouso. Os investigadores disseram que uma das causas do incidente foi a distorção dos sinais do farol de aterrissagem pelo avião em decolagem. Embora não houvesse relatos de feridos, o evento destacou a gravidade da falha dos sistemas de ILS. Outros incidentes de falha do ILS que quase resultaram em tragédias incluem o voo NZ 60 da Air New Zealand em 2000 e o voo FR3531 da Ryanair em 2013. Um vídeo explica o que deu errado no último caso.
Vaibhav Sharma dirige uma empresa de segurança do Vale do Silício, atuando globalmente, e pilota pequenas aeronaves desde 2006. Ele também possui uma licença de operador de rádio amador e participa voluntariamente do Patrulha Aérea Civil, onde recebeu treinamento como resgatador e operador de rádio. Ele pilota um avião no simulador X-Plane, demonstrando um ataque com troca de sinais, forçando a aeronave a pousar à direita da pista.
Sharma nos contou:
Um ataque ao ILS é realista, mas sua eficácia dependerá de uma combinação de fatores, incluindo o conhecimento do atacante sobre os sistemas de navegação aérea e as condições de aproximação. Se utilizado adequadamente, o atacante poderá desviar a aeronave em direção a obstáculos ao redor do aeroporto, e se isso ocorrer em condições de baixa visibilidade, a equipe de pilotos terá muita dificuldade em detectar e lidar com as divergências.
Ele afirmou que os ataques têm potencial para ameaçar tanto aeronaves pequenas quanto grandes aviões de passageiros, porém por razões diferentes. Aeronaves pequenas voam a velocidades menores. Isso dá aos pilotos tempo para reagir. Por outro lado, aviões de passageiro maiores têm mais membros da equipe capazes de responder a eventos adversos, enquanto os pilotos dessas aeronaves normalmente recebem treinamento mais frequente e intenso.
Ele disse que, para aviões grandes e pequenos, o mais importante será avaliar as condições ao redor, especialmente o clima, durante a aterrissagem.
“Esse tipo de ataque provavelmente será mais eficaz quando os pilotos tiverem que depender mais dos instrumentos para realizar uma aterrissagem bem-sucedida”, disse Sharma. “Isso pode ocorrer em aterrissagens noturnas em condições de baixa visibilidade, ou uma combinação de condições ruins com um espaço aéreo congestionado, exigindo que os pilotos estejam mais sobrecarregados, tornando-os muito dependentes da automação.”
Aandjan Ranganathan, pesquisador da Universidade do Nordeste, que ajudou a desenvolver o ataque, nos contou que não se pode contar quase nada com o GPS quando se trata de um ILS falhando. Desvios da pista durante um ataque eficaz com spoofing serão de 10 a 15 metros, uma vez que qualquer desvio maior pode ser percebido pelos pilotos e controladores de tráfego aéreo. O GPS terá dificuldade em detectar tais desvios. A segunda razão é que spoofar sinais de GPS é muito fácil.
“Eu posso spoofar o GPS ao mesmo tempo que faço spoofing do ILS”, disse Ranganathan. “A questão toda é o nível de motivação do atacante.”
Predecessor do ILS
Os testes do ILS começaram , e o primeiro sistema funcional foi implantado em 1932 no aeroporto berlinense de Tempelhof.
O ILS continua sendo um dos sistemas de aterrissagem mais eficazes. Outras abordagens, como , um rádio farol de direção, sistema de posicionamento global e outros sistemas de navegação por satélite são considerados imprecisos, pois fornecem apenas orientação horizontal ou transversal. O KGS, por outro lado, é considerado um sistema de aproximação preciso, pois fornece tanto a orientação horizontal quanto a vertical (glissade). Nos últimos anos, sistemas imprecisos foram cada vez menos utilizados. O KGS passou a ser associado com pilotos automáticos e sistemas de pouso automático.
Como funciona o KGS: rádio farol de pouso em curso [localizer], inclinação de glissade [glideslope] e rádio faróis de marcação [marker beacon]
O KGS tem dois componentes-chave. O rádio farol de pouso em curso informa ao piloto se a aeronave está deslocada para a esquerda ou para a direita da linha central da pista de pouso, enquanto a inclinação de glissade indica se o ângulo de descida é muito grande para que a aeronave não passe do início da pista. O terceiro componente são os rádio faróis de marcação. Eles funcionam como marcos que permitem ao piloto determinar a distância até a pista. Com o passar dos anos, eles têm sido cada vez mais substituídos por GPS e outras tecnologias.
O rádio farol de pouso em curso utiliza dois conjuntos de antenas que emitem dois sons diferentes em altura – um a 90 Hz e o outro a 150 Hz – sendo ambos na frequência designada para uma das pistas de pouso. As grelhas de antena estão localizadas em ambos os lados da pista, geralmente após o ponto de decolagem, de forma que os sons se anulem mutuamente quando a aeronave em pouso está diretamente sobre a linha central da pista. O indicador de desvio mostra uma linha vertical no centro.
Se a aeronave se desviar para a direita, o som a 150 Hz se torna cada vez mais audível, fazendo com que o indicador de desvio se mova para a esquerda do centro. Se a aeronave se desviar para a esquerda, o som a 90 Hz se torna mais audível, e o indicador se move para a direita. O rádio farol de pouso em curso, é claro, não pode substituir completamente o controle visual da posição da aeronave, mas fornece um meio chave e intuitivo de orientação. Os pilotos precisam apenas manter o indicador no centro para que a aeronave esteja exatamente sobre a linha central.
O ângulo da rampa de descida funciona de forma semelhante, mostrando o ângulo de descida da aeronave em relação ao início da pista. Quando o ângulo da aeronave é muito baixo, o som a 90 Hz torna-se mais audível e os instrumentos indicam que a aeronave deve descer. Se a descida for muito abrupta, o sinal a 150 Hz avisa que a aeronave precisa subir. Quando a aeronave mantém o ângulo de descida prescrito de cerca de três graus, os sinais se anulam mutuamente. Duas antenas de sinalizador estão localizadas na torre a uma certa altura, determinada pelo ângulo de descida adequado para o aeroporto em questão. A torre é geralmente posicionada perto da zona de toque da pista.
Cópia impecável
O ataque de pesquisadores da Northeastern University utiliza transmissores de rádio comerciais. Esses dispositivos, que custam entre $400 e $600, transmitem sinais que imitam os verdadeiros sinais enviados pelo sistema de pouso do aeroporto. O transmissor do atacante pode estar tanto a bordo da aeronave alvo quanto no solo, a uma distância de até 5 km do aeroporto. Enquanto o sinal do invasor superar em potência o sinal real, o receptor do sistema de pouso considerará o sinal do atacante, demonstrando a orientação em relação à trajetória vertical e horizontal de voo programada pelo invasor.
Se a falsificação for realizada de maneira inadequada, o piloto poderá observar variações súbitas ou desordenadas nas leituras dos instrumentos, que ele interpretará como uma falha no sistema de pouso. Para dificultar a detecção da falsificação, o atacante pode determinar a localização exata da aeronave usando , um sistema que transmite continuamente a localização da aeronave por GPS, altitude, velocidade em relação ao solo e outros dados para estações em terra e outras aeronaves.
Usando essas informações, o atacante pode iniciar a falsificação do sinal quando a aeronave aproximando-se desvia para a esquerda ou para a direita em relação à pista de pouso e enviar-lhe um sinal de que a aeronave está voando em linha reta. O momento ideal para o ataque será logo após a aeronave passar por um ponto de referência, como mostrado no vídeo de demonstração no início do artigo.
Em seguida, o atacante pode aplicar um algoritmo de correção e geração de sinal em tempo real, que ajustará continuamente o sinal malicioso para garantir que o desvio em relação ao caminho correto corresponda a todos os movimentos da aeronave. Mesmo que o atacante não tenha habilidades suficientes para criar um sinal falso impecável, ele pode confundir o ILS a ponto de o piloto não conseguir confiar nele durante a aterrissagem.
Uma variante da falsificação de sinal é conhecida como "ataque de sombra". O atacante envia sinais especialmente preparados com uma potência maior do que os sinais do transmissor do aeroporto. Para isso, o transmissor do criminoso geralmente precisa emitir sinais com potência de 20 W. Ataques de sombra facilitam a realização de uma substituição de sinal convincente.
Ataque de sombra
A segunda variante de substituição de sinal é conhecida como "ataque monocromático". Sua vantagem é que é possível enviar um som de uma única frequência com uma potência menor do que a do ILS do aeroporto. Porém, possui algumas desvantagens, como a necessidade do atacante de conhecer exatamente as especificações da aeronave – por exemplo, a localização de suas antenas de ILS.
Ataque monocromático
A ausência de soluções fáceis
Pesquisadores afirmam que, até o momento, não existem maneiras de eliminar a ameaça de ataques de substituição. Tecnologias de navegação alternativas – incluindo beacons de rádio azimutais omnidirecionais, beacons de rádio de condução, sistemas de posicionamento global e sistemas de navegação por satélite semelhantes – representam sinais sem fio que não possuem um mecanismo de autenticação e, portanto, são suscetíveis a ataques de substituição. Além disso, apenas ILS e GPS são capazes de fornecer informações sobre a trajetória horizontal e vertical de aproximação.
Em seu trabalho, os pesquisadores escrevem:
A maioria dos problemas de segurança enfrentados por tecnologias como , e , pode ser corrigido ao implementar criptografia. No entanto, a criptografia não será suficiente para prevenir ataques de localização. Por exemplo, a criptografia de sinal GPS, semelhante à tecnologia de navegação militar, pode prevenir ataques de falsificação até certo ponto. Mesmo assim, um invasor pode redirecionar sinais de GPS com os atrasos de tempo desejados, alcançando a falsificação de localização ou horário. A inspiração pode ser retirada da literatura existente sobre a prevenção de ataques de falsificação de GPS e criar sistemas semelhantes do lado do receptor. Uma alternativa pode ser a implementação de um sistema de localização seguro em grande escala, baseado na restrição de distância e técnicas seguras de confirmação de aproximação. No entanto, isso requer comunicação bidirecional, e essa opção demanda mais estudo em relação à sua escalabilidade, viabilidade e outros aspectos.
A Administração Federal de Aviação dos EUA informou que não possui informações suficientes sobre a demonstração realizada pelos pesquisadores para comentar sobre o assunto.
Esse ataque e o volume significativo de pesquisa realizado são impressionantes, mas a principal questão do trabalho não tem resposta – quão provável é que alguém queira empenhar esforços para realmente realizar um ataque desse tipo? Outros tipos de vulnerabilidades, como as que permitem que hackers instalem malware remotamente em computadores de usuários, ou burlam sistemas de criptografia populares, são facilmente monetizáveis. Com o ataque de falsificação de GPS, isso não é o caso. Também estão incluídos nesta categoria os ataques que podem ameaçar a vida, como os direcionados a marcapassos e outros dispositivos médicos.
E embora a motivação para tais ataques seja mais difícil de identificar, seria um erro descartar sua possibilidade. No , publicado em maio pela C4ADS, uma organização sem fins lucrativos que aborda questões de conflitos globais e segurança interestatal, foi indicado que a Federação Russa frequentemente realizava testes em larga escala de violações do funcionamento do sistema GPS, resultando em erros de localização de sistemas de navegação de navios de 65 milhas ou mais [Na verdade, o relatório menciona que, durante a abertura da ponte da Crimeia (ou seja, não "frequentemente", mas apenas uma vez), um transmissor localizado nessa ponte interferiu no sistema global de navegação, e sua operação pôde ser sentida até mesmo perto de Anapa, que fica a 65 km (e não em milhas) daquele local. "E tudo o mais está correto" (c) / nota do tradutor.].
"A Federação Russa possui uma vantagem relativa na utilização e desenvolvimento de capacidades para enganar sistemas globais de navegação", alerta o relatório. "No entanto, o baixo custo, a disponibilidade em vendas abertas e a facilidade de uso dessas tecnologias oferecem não apenas aos Estados, mas também a insurgentes, terroristas e criminosos amplas oportunidades para desestabilizar redes estatais e não estatais."
E embora a substituição do SGS pareça uma esoteria em 2019, é pouco provável que a suposição de que, nos próximos anos, isso se torne uma prática mais comum seja tão fantástica, à medida que as tecnologias de ataque se tornem mais compreensíveis e os transmissores de rádio programavelmente controlados se tornem mais difundidos. Ataques ao SGS não precisam necessariamente ser realizados para causar acidentes. Eles podem ser realizados para interromper as operações de aeroportos, assim como drones ilegais levaram ao fechamento do aeroporto de Gatwick em Londres no passado dezembro, poucos dias antes do Natal, e três semanas depois — do aeroporto de Heathrow.
"Dinheiro é uma motivação, e demonstrar força é outra," disse Ranganathan. "Do ponto de vista da proteção, esses ataques são extremamente críticos. Isso precisa ser atendido, pois, neste mundo, haverá pessoas suficientes que quererão demonstrar poder."
Fonte: habr.com
