Radioprocessystemen som används av flygplan för säker landning är osäkra och utsatta för hacking.

Signalen som används av flygplan för att hitta landningsbanan kan förfalskas med en radio för $600.

Flygplanet i en demonstrationsattack mot radion på grund av falska signaler. ILS landar till höger om landningsbanan.

Nästan varje flygfarkost som har lyft under de senaste 50 åren – oavsett om det är en enmotorig Cessna eller en jumbojet med 600 platser – har använde hjälp av radiosystem för säker landning på flygplatser. Dessa ILS-system (Instrument Landing System) betraktas som precisa tillnärmingssystem eftersom de, till skillnad mot GPS och andra navigationssystem, tillhandahåller kritisk realtidsinformation om flygplanets horisontella orientering i förhållande till landningsbanan och det vertikala fallvinkeln. I många situationer – särskilt vid landningar i dimma eller regn på natten – förblir denna radionavigation det främsta sättet att säkerställa att flygplanet vidrör marken i början av banan och precis i mitten.

Som många andra teknologier skapade i det förflutna, saknar ILS skydd mot inbrott. Radiosignaler är inte krypterade, och deras äkthet bekräftas inte. Piloter antar helt enkelt att de ljudsignaler som deras system mottar på en frekvens tilldelad flygplatsen är de riktiga signalerna som sänds av flygplatsoperatören. Under många år oroade denna säkerhetsbrist nästan ingen, främst för att kostnaden och komplexiteten för att förfalska signaler gjorde attacker meningslösa.

Men nu har forskare utvecklat en kostnadseffektiv metod för att hacka, vilket väcker frågor om säkerheten hos ILS som används i nästan varje civil flygplats i den industrialiserade världen. Genom att använda en radio för $600 med programvarustyrning, kan forskarna förfalska flygplatsens signaler så att pilotens navigationsverktyg visar att flygplanet har avvikit från kursen. Enligt träningen måste piloten justera fallhastigheten eller farkostens orientering, vilket skapar en potentiell olycksrisk.

En attackteknologi innebär att falska signaler påstår att nedstigningsvinkeln är mindre än den faktiskt är. Det förfalskade meddelandet innehåller ett så kallat "accept down"-signal som informerar piloten om att öka nedstigningsvinkeln, vilket kan leda till att flygplanet rör vid marken innan det når landningsbanan.

I videon visas en annan typ av förfalskad signal som kan utgöra ett hot mot ett flygplan som närmar sig för landning. Attackeraren kan skicka en signal som informerar piloten om att hans flygplan ligger till vänster om mittlinjen för landningsbanan, när det faktiskt är precis i mitten. Piloten reagerar genom att föra flygplanet till höger, vilket i slutändan leder till en förskjutning.

Forskare från Northeastern University i Boston har konsulterat en pilot och en säkerhetsexpert och påpekar försiktigt att en sådan signalförfalskning, med låg sannolikhet, skulle leda till en olycka i de flesta fall. Fel i ADS-B (Automatic Dependent Surveillance–Broadcast) är ett känt säkerhetshot för flygningar, och erfarna piloter genomgår noggrann träning i hur de ska reagera. Det är lätt för en pilot i klart väder att märka att flygplanet inte är i linje med mittlinjen för banan, och han kan välja att gå en cirkelrunda.

En annan anledning till rimlig skepticism är svårigheten att genomföra en attack. Förutom en programmerbar radio krävs riktade antenner och en förstärkare. Allt detta utrustning skulle vara ganska svårt att smuggla ombord på ett flygplan om hackaren vill genomföra attacken från flygplanet. Om han väljer att attackera från marken skulle det krävas mycket arbete för att rikta in utrustningen mot landningsbanan utan att dra uppmärksamhet. Dessutom övervakar flygplatser vanligtvis förekomsten av störningar på särskilt viktiga frekvenser, vilket gör att attacken snabbt kan stoppas efter att den har börjat.

År 2012 avslöjade forskaren Brad Haynes, som är känd under sitt samtalsnamn Renderman, brister i säkerheten i ADS-B (Automatic Dependent Surveillance-Broadcast)-systemet som flygplan använder för att fastställa sin position och överföra data till andra flygplan. Han sammanfattade svårigheterna med att förfalska ADS-B-signaler på följande sätt:

Om allt stämmer – platsen, dold utrustning, dåliga väderförhållanden, rätt mål, välmotiverad, smart och ekonomiskt kapabel angripare – vad skulle hända? I värsta fall landar planet på gräset, skador eller dödsfall kan förekomma, men säker flygplansdesign och snabba insatser gör att risken för en stor brand med total förlust av planet är väldigt liten. I sådana fall skulle landningen avbrytas, och angriparen skulle inte kunna göra om det. I bästa fall märker piloten en avvikelse, får panik, höjer höjden, gör en rondell och rapporterar att något är fel med ILS – flygplatsen börjar en utredning, vilket innebär att angriparen inte längre vill stanna i närheten.

Så om allt stämmer blir resultatet minimalt. Jämför detta med förhållandet mellan resultat och investeringar samt den ekonomiska effekt som uppstod när en pojke med en drönare för $1000 flög runt Heathrow i två dagar. En drönare var definitivt ett mer effektivt och fungerande alternativ än en sådan attack.

Ändå säger forskare att riskerna finns. Plan som inte går in i glidebanan vid landning – den tänkta linjen som planet följer vid en perfekt landning – är mycket svårare att upptäcka även under bra väder. Dessutom instruerar vissa upptagna flygplatser för att undvika förseningar plan att inte skynda sig med att gå på andra varv även under dålig sikt. Instruktioner för landning från Federal Aviation Administration i USA, som många amerikanska flygplatser följer, föreskriver att sådana beslut ska fattas på en höjd av endast 15 m. Lika regler gäller i Europa. De lämnar mycket lite tid för piloten att säkert avbryta landningen om de visuella omgivande förhållandena inte överensstämmer med data från ILS.

«Upptäckten och återställningen av alla instrument vid kritiska landningsprocedurer – en av de mest utmanande uppgifterna i modern flygning», skrev forskarna i sin arbetet titled «Trådlösa attacker på kurs- och glidebanesystem för luftfartyg», antagen vid den 28:e symposiet för säkerhet på USENIX. "Med tanke på hur mycket piloter förlitar sig på GPS och verktyg i allmänhet kan ett misslyckande eller ett avsiktligt ingrepp leda till katastrofala konsekvenser, särskilt under autonoma inflygningar och flygningar."

Vad händer med GPS-fel

Flera landningar som nästan ledde till katastrof visar faran med GPS-fel. År 2011 lutade Singapore Airlines flygning SQ327 med 143 passagerare och 15 besättningsmedlemmar plötsligt åt vänster vid 10 meter över landningsbanan på Münchens flygplats i Tyskland. Efter landningen avvek Boeing 777-300 åt vänster, svängde sedan åt höger, korsade mittlinjen och stannade med underredet på gräset till höger om landningsbanan.

I rapporten om incidenten, publicerad av den tyska federala kommissionen för utredning av flygolyckor, konstaterar att planet missade landningspunkten med 500 meter. Utredarna sade att en av orsakerna till incidenten var förvrängning av signalerna från det kursorienterade landningsradiomärket av det startande planet. Även om inga skador rapporterades, underströk denna händelse allvaret med GPS-systemens misslyckande. Bland andra incidenter med GPS-fel som nästan slutade tragiskt finns New Zealands flygning NZ 60 år 2000 och Ryanair-flygning FR3531 år 2013. En video förklarar vad som gick fel i det senaste fallet.

Vaibhav Sharma leder ett företag i Silicon Valley som arbetar med säkerhet globalt och har flugit små plan sedan 2006. Han har också en licens för amatörradio och deltar ideellt i det civila flygpatrullen, där han har utbildats till räddningspersonal och radiooperatör. Han kör planet i X-Plane-simulatorn och visar en attack med signalutbyte som får planet att landa till höger om landningsbanan.

Sharma berättade för oss:

En sådan attack mot KGS är realistisk, men dess effektivitet kommer att bero på en kombination av faktorer, inklusive angriparens kunskap om flygtrafiksystem och förhållandena vid inflygning. Om den används på rätt sätt kan angriparen styra flygplanet mot hinder runt flygplatsen, och om detta görs under dålig sikt kommer det att vara mycket svårt för piloterna att upptäcka avvikelser och hantera dem.

Han sa att attacker har potential att hota både små flygplan och stora jetflygplan, men av olika skäl. Små flygplan rör sig med lägre hastigheter. Detta ger piloterna tid att reagera. Stora jetflygplan, å sin sida, har fler besättningsmedlemmar som kan reagera på ogynnsamma händelser, och piloterna på sådana flygplan utbildas vanligtvis oftare och grundligare.

Han sa att det viktigaste för både stora och små flygplan är att bedöma de omgivande förhållandena, särskilt vädret, under landning.

"En sådan attack kommer sannolikt att vara mer effektiv när piloterna i högre grad måste förlita sig på instrumenten för att genomföra en framgångsrik landning," sa Sharma. "Detta kan vara nattlandningar under dålig sikt, eller en kombination av dåliga förhållanden med ett trafikerat luftrum, vilket kräver att piloterna har mer att göra och därmed blir de starkt beroende av automatiseringen."

Aandjan Ranganathan, forskare vid Northeastern University som hjälpt till med att utveckla attacken, berättade för oss att GPS knappt kan användas för att hjälpa till vid ett KGS-fel. Avvikelser från landningsbanan vid en effektiv attack med förfalskning kan uppgå till 10 till 15 meter, eftersom allt som är mer än detta kan piloter och flygledare märka. GPS kommer att ha svårt att upptäcka sådana avvikelser. En annan orsak är att förfalskning av GPS-signaler är mycket lätt.

"Jag kan förfalska GPS parallellt med förfalskning av KGS," sa Ranganathan. "Frågan handlar om graden av motivation hos angriparen."

Föregångare till KGS

Tester av KGS inleddes redan 1929, och det första operativa systemet rullades ut 1932 på den tyska flygplatsen Berlin-Tempelhof.

KGS förblir ett av de mest effektiva landningssystemen. Andra metoder, till exempel, omni-riktad azimutal radiomarkör, drivmärket, globala positionssystem och liknande navigationssatelliter anses vara oprecisa, eftersom de endast ger horisontell eller tvär orientering. KGS anses däremot vara ett exakt tillgänglighetsystem eftersom det ger både horisontell och vertikal (glidslope) orientering. Under de senaste åren har oprecisa system använts allt mindre. KGS har alltmer kopplats till autopiloter och landningssystem.

Hur KGS fungerar: kurs landningsradiomarkör [localizer], glidslope [glideslope] och markeringsradiomarkörer [marker beacon]

KGS har två nyckelkomponenter. Kurs landningsradiomarkören informerar piloten om flygplanet är förskjutet åt vänster eller höger från mittlinjen på landningsbanan, och glidslope informerar om vinkeln av nedstigning är för brant så att flygplanet inte missar början av banan. Den tredje komponenten är markeringsradiomarkörerna. De fungerar som vägvisare och låter piloten bestämma avståndet till banan. Med åren har GPS och andra teknologier alltmer ersatt dem.

Kurs landningsradiomarkören använder två uppsättningar antenner som sänder två olika ljud på olika höjder – en på 90 Hz och en annan på 150 Hz – och på den frekvens som tilldelats en av landningsbanorna. Antennritningarna är placerade på båda sidor av banan, vanligtvis efter startpunkten, och så att ljuden neutraliserar varandra när det landande flygplanet är direkt över mittlinjen av banen. Avvikelseindikatorn visar en vertikal linje i mitten.

Om flygplanet avviker åt höger blir ljudet på 150 Hz alltmer hörbart, vilket får avvikelseindikatorn att flytta sig åt vänster från mitten. Om flygplanet avviker åt vänster blir ljudet på 90 Hz mer hörbart, och indikatorn flyttar sig åt höger. Kurs landningsradiomarkören kan givetvis inte helt ersätta visuell kontroll av flygplanets position; den ger ett avgörande och mycket intuitivt sätt att orientera sig. Piloterna behöver bara hålla indikatorn i mitten för att flygplanet ska vara precis över mittlinjen.

Glissade-lutningen fungerar på ungefär samma sätt, men den visar flygplanets nedgångsvinkel i förhållande till början av landningsbanan. När flygplanets vinkel är för låg blir ljudet på 90 Hz tydligare, och instrumenten indikerar att flygplanet måste gå ner. När nedstigningen är för brant visar signalen på 150 Hz att flygplanet måste stiga. När flygplanet håller sig vid den föreskrivna glissadevinkeln på cirka tre grader, neutraliseras signalerna. Två glissande antenner är placerade på ett torn på en viss höjd som bestäms av lutningsvinkeln som är lämplig för den specifika flygplatsen. Tornet är vanligtvis beläget nära landningsbana.

Perfekt förfalskning

Forskarattacken från Northeastern University använder kommersiellt tillgängliga programvara-sändare. Dessa enheter, som säljs för $400-$600, sänder signaler som låtsas vara riktiga signaler som skickas av flygbolagets kontrollsystem. Angriparens sändare kan befinna sig antingen ombord på det attackerade flygplanet eller på marken, upp till 5 km från flygplatsen. Så länge angriparens signal är starkare än den verkliga signalen, kommer flygbolagets kontrollsystem att uppfatta angriparens signal och visa orientering i förhållande till den vertikala och horisontella flygbanan som angriparen planerat.

Om förfalskningen inte är välorganiserad kommer piloten att se plötsliga eller oförutsägbara förändringar i instrumentens värden som han kommer att ta för ett fel på flygbolagets kontrollsystem. För att göra det svårare att upptäcka förfalskningen kan angriparen precisera flygplanets exakta position med hjälp av AZN-V, ett system som varje sekund sänder flygplanets position via GPS, höjd, hastighet relativt marken och annan data till markstationer och andra fartyg.

Genom att använda denna information kan angriparen börja förfalska signalen när det närmande flygplanet har flyttat sig till vänster eller höger i förhållande till landningsbanan och skicka en signal att flygplanet är på rätt väg. Det optimala tidsfönstret för attacken är just när flygplanet precis har passerat en waypoints, vilket visas i demonstrationen i början av artikeln.

Därefter kan angriparen tillämpa en algoritm för korrigering och signalgenerering i realtid, som ständigt justerar den skadliga signalen så att förskjutningen från den korrekta banan motsvarar alla flygplansrörelser. Även om angriparen saknar färdigheter för att skapa en perfekt falsk signal, kan han förvirra CGS så att piloten inte kan lita på den vid landning.

Ett alternativ för signalförfalskning kallas "skuggattack". Angriparen skickar speciellt förberedda signaler med en större effekt än flygplatsens sändare. För detta behöver angriparens sändare vanligtvis skicka signaler med en effekt på 20 W. Skuggattacker underlättar en trovärdig förfalskning av signalen.

Skuggattack

Det andra alternativet för signalförfalskning kallas "tonattack". Dess fördel är att man kan skicka ljud med en frekvens med lägre effekt än CGS vid flygplatsen. Det har flera nackdelar, exempelvis att angriparen måste veta specifikationerna för flygplanet - som placeringen av dess CGS-antenn.

Tonattack

Avsaknad av lätta lösningar

Forskare säger att det inte finns några sätt att eliminera hotet från förfalskningsattacker än. Alternativa navigeringsteknologier – inklusive omnidirektionell azimutal radiomarkör, ledd radiomarkör, global positioneringssystem och liknande satellitnavigeringssystem – är trådlösa signaler som saknar autentiseringsmekanism och är därmed sårbara för förfalskningsattacker. Dessutom kan endast CGS och GPS ge information om den horisontella och vertikala inflygningsbanan.

I sitt arbete skriver forskarna:

De flesta säkerhetsproblem som sådana teknologier står inför, såsom AZN-V, ACARS och TCAS, kan rättas till genom att införa kryptografi. Dock kommer kryptografi inte vara tillräckligt för att förhindra attacker med lokaliseringsbedrägerier. Till exempel kan kryptering av GPS-signaler, liknande den militär teknologi för navigering, förhindra attacker med manipulering till viss del. Ändå kan en angripare omdirigera GPS-signaler med nödvändiga tidsfördröjningar och därmed åstadkomma en förfalskning av plats eller tid. Inspiration kan hämtas från befintlig litteratur om hur man förebygger attacker med GPS-manipulering och skapa liknande system på mottagarsidan. Ett alternativ kan vara att implementera ett storskaligt säkert lokaliseringssystem baserat på avståndsbegränsning och säkra teknik för närhetsbekräftelse. Men detta kräver att man säkerställer tvåvägskommunikation, och detta alternativ kräver ytterligare studier gällande dess skalbarhet, genomförbarhet och mer.

Den amerikanska federala myndigheten för civil luftfart har meddelat att de inte har tillräcklig information om den demonstration som utfördes av forskarna för att kunna kommentera.

Denna attack och den betydande mängden utförd forskning är imponerande, men den centrala frågan i arbetet får inget svar - hur sannolikt är det att någon faktiskt skulle vilja lägga ner ansträngning på att genomföra en sådan attack? Andra typer av sårbarheter, såsom att tillåta hackers att fjärrinstallera skadlig programvara på användarnas datorer, eller kringgå populära krypteringssystem, är lätta att monetisera. Med attacken med GPS-manipulering är det inte så. I denna kategori faller även livsfarliga attacker mot pacemakers och andra medicinska apparater.

Och även om det är svårare att se motivationen bakom sådana attacker, skulle det vara ett misstag att avfärda deras möjlighet. I rapporten, publicerad i maj av C4ADS, en icke-vinstdrivande organisation som belyser frågor om globala konflikter och mellanstatlig säkerhet, anges att Ryska federationen ofta har utfört storskaliga tester av störningar av GPS-system, vilket resulterade i att navigationssystem på fartyg misstog sig om sin position med 65 miles eller mer [I själva verket nämner rapporten att under öppnandet av Krimbron (det vill säga, inte ”ofta”, utan endast en gång) störde en sändare som var placerad på bron det globala navigationssystemet, och dess påverkan kändes till och med nära Anapa, som ligger 65 km från denna plats. ”Och annars är allt korrekt” (c) / anm. övers.].

”Den Ryska federationens relativa fördel i användning och utveckling av teknologier för att vilseleda globala navigationssystem” varnar rapporten. ”Men den låga kostnaden, tillgängligheten för allmän försäljning och enkelheten i att använda sådana teknologier ger inte bara stater, utan också upprorsmakare, terrorister och brottslingar stora möjligheter att destabilisera statliga och icke-statliga nätverk.”

Och även om ersättning av GNS verkar som esoterik år 2019, är det knappast en så fantastisk tanke att det i framtiden kommer att bli en mer vanlig åtgärd, efterhand som attackteknologier blir mer begriplig och programstyrda radiosändare mer spridda. Attacker mot GNS behöver inte nödvändigtvis utföras för att orsaka olyckor. De kan genomföras för att störa flygplatsers verksamhet, så som olagliga drönare ledde till stängningen av Gatwick flygplats i London förra december, några dagar före jul, och tre veckor senare — Heathrow flygplats.

”Pengar är en motivation, och att demonstrera makt en annan,” sade Ranganathan. ”Ur ett försvarsperspektiv är dessa attacker mycket kritiska. Vi måste ta hand om detta, eftersom det finns tillräckligt många människor i denna värld som skulle vilja demonstrera sin makt.”

Källa: habr.com