[論文レビュー] Safety vs. Security: Attacking Avionic Systems with Humans in the Loop

Matthew Smith, Martin Strohmeier+3 more|arXiv (Cornell University)|May 20, 2019

Air Traffic Management and Optimization参考文献 18被引用数 4

ひとこと要約

本論文は、フライトシミュレータで30名のエアバスA320ライセンス保有パイロットを対象に制御された実験を実施し、実世界の無線サイバー攻撃が安全至上主義の航空電子機器に与える影響を調査している。TCAS、GPWS、ILSに対する新規で実用的な攻撃が、飛行操作を著しく混乱させ、パイロットの作業負荷を増加させ、38％のパイロットが安全装置を無効化する結果となった。これは、航空業界が能動的セキュリティ措置よりも安全文化に依存しているという深刻なギャップを示している。

ABSTRACT

Many wireless communications systems found in aircraft lack standard security mechanisms, leaving them fundamentally vulnerable to attack. With affordable software-defined radios available, a novel threat has emerged, allowing a wide range of attackers to easily interfere with wireless avionic systems. Whilst these vulnerabilities are known, concrete attacks that exploit them are still novel and not yet well understood. This is true in particular with regards to their kinetic impact on the handling of the attacked aircraft and consequently its safety. To investigate this, we invited 30 Airbus A320 type-rated pilots to fly simulator scenarios in which they were subjected to attacks on their avionics. We implement and analyse novel wireless attacks on three safety-related systems: Traffic Collision Avoidance System (TCAS), Ground Proximity Warning System (GPWS) and the Instrument Landing System (ILS). We found that all three analysed attack scenarios created significant control impact and cost of disruption through turnarounds, avoidance manoeuvres, and diversions. They further increased workload, distrust in the affected system, and in 38% of cases caused the attacked safety system to be switched off entirely. All pilots felt the scenarios were useful, with 93.3% feeling that simulator training for wireless attacks could be valuable.

研究の動機と目的

• パイロットが飛行意思決定に積極的に関与する状況下で、無線サイバー攻撃が安全至上主義の航空電子機器に与える実世界の運動的および運用的影響を評価すること。
• 航空業界が有する既存の安全文化および訓練が、意図的かつ標的型の無線干渉攻撃を緩和できるかどうかを調査すること。
• パイロットがTCAS、GPWS、ILSの3つの主要システムに対して、新規で現実的である攻撃にどのように反応するかを評価すること。
• フライトシミュレータを用いた訓練が、無線サイバー攻撃の認識および対応能力を向上させられるか、その可能性と価値を特定すること。
• 特にセキュリティ・バイ・デザインがまだ導入されていない分野において、現在および将来の航空電子機器セキュリティに向けた実行可能な緩和策を同定し、改善を提言すること。

提案手法

• ソフトウェア定義無線（SDR）を用いて、実世界の攻撃状況を模倣する、TCAS、GPWS、ILSに対する3つの新規で実用的な無線干渉攻撃を開発および実装した。
• 30名のプロフェッショナルなエアバスA320ライセンス保有パイロットを対象に、人間が関与するフライトシミュレータ実験を実施し、現実的なサイバー攻撃シナリオを提示した。
• シミュレータ内でのパフォーマンスデータ、パイロットの作業負荷指標、および事後インタビューを収集し、行動的および運用的反応を分析した。
• 攻撃が飛行の安全性および操縦に与える影響を定量化するために、システム無効化、回避行動、作業負荷の変化といったパイロットの意思決定を分析した。
• スパクトラムモニタリングおよびクラウドソーシングされた航空交通監視ネットワークが、主要な航空周波数での不正送信を検出する早期警戒システムとしての可能性を評価した。
• DMEを用いたILS信号認証や、将来的な安全設計を備えたデータリンク（例：AeroMACS）の推進を含め、標的型で低コストの緩和策を提言した。

実験結果

リサーチクエスチョン

• RQ1 パイロットがシミュレートされたフライト環境でTCAS、GPWS、ILSに対する現実的で実用的な無線攻撃にさらされた場合、行動的および運用的反応はどのように変化するか？
• RQ2 既存の安全文化および訓練慣行は、意図的で標的型の無線干渉攻撃の影響をどれほど緩和できるか、あるいはリスクを増大させる可能性があるか？
• RQ3 これらの攻撃が航空機の操縦に与える運動的影響（作業負荷、操縦のずれ、システム無効化など）はどの程度か？
• RQ4 無線サイバー攻撃に対するフライトシミュレータ訓練が、パイロットの認識および準備状態を向上させられるか。また、その訓練が逆効果（ネガティブ・トレーニング効果）を引き起こすリスクは何か？
• RQ5 セキュリティ・バイ・デザインのアップグレードが実現可能になるまでの間、実行可能で低コストの緩和策は何か？

主な発見

• 38％のパイロットが攻撃シナリオ中に攻撃対象の安全装置を無効化した。これは、ストレスや混乱状態でシステムが無効化されるリスクが顕著であることを示している。
• 3つの攻撃シナリオすべてが測定可能な混乱を引き起こし、回避行動、作業負荷の増加、飛行経路のずれが生じた。特にTCAS攻撃が最も混乱を引き起こした。
• 93.3％のパイロットが、無線サイバー攻撃に対するシミュレータベースの訓練が価値があると回答した。これは、こうした訓練プログラムに対する強い支持を示している。
• パイロットは、操縦を維持できたにもかかわらず、攻撃中は安全性が低下したと感じた。これは、攻撃が重要なシステムに対する信頼を損なう可能性があることを示している。
• 現在の航空電子機器に標準的なセキュリティメカニズムが欠如しているため、低コストで入手可能なSDRを用いた攻撃に対して根本的に脆弱である。
• スパクトラムモニタリングおよびクラウドソーシングされた監視ネットワークが、主要な航空周波数での不正送信を検出する有望な早期警戒システムであると特定された。