[論文レビュー] Silent Subversion: Sensor Spoofing Attacks via Supply Chain Implants in Satellite Systems

Jack Vanlyssel, Gruia-Catalin Roman+1 more|arXiv (Cornell University)|Mar 11, 2026

Space Satellite Systems and Control被引用数 0

ひとこと要約

この論文は、衛星シミュレータ内でスキーマ有効性と韻律正確性を満たす偽装テレメトリを生成するエンドツーエンドの船上供給連鎖インプラントを実証し、新たな内部脅威ベクトルを明らかにし、小型衛星向けの対策を提案します。

ABSTRACT

Spoofing attacks are among the most destructive cyber threats to terrestrial systems, and they become even more dangerous in space, where satellites cannot be easily serviced, and operators depend on accurate telemetry to ensure mission success. When telemetry is compromised, entire spaceborne missions are placed at risk. Prior work on spoofing has largely focused on attacks from Earth, such as injecting falsified uplinks or overpowering downlinks with stronger radios. In contrast, onboard spoofing originating from within the satellite itself remains an underexplored and underanalyzed threat. This vector is particularly concerning given that modern satellites, especially small satellites, rely on modular architectures and globalized supply chains that reduce cost and accelerate development but also introduce hidden risks. This paper presents an end-to-end demonstration of an internal satellite spoofing attack delivered through a compromised vendor-supplied component implemented in NASA's NOS3 simulation environment. Our rogue Core Flight Software application passed integration and generated packets in the correct format and cadence that the COSMOS ground station accepted as legitimate. By undermining both onboard estimators and ground operator views, the attack directly threatens mission integrity and availability, as corrupted telemetry can bias navigation, conceal subsystem failures, and mislead operators into executing harmful maneuvers. These results expose component-level telemetry spoofing as an overlooked supply-chain vector distinct from jamming or external signal injection. We conclude by discussing practical countermeasures-including authenticated telemetry, component attestation, provenance tracking, and lightweight runtime monitoring-and highlight the trade-offs required to secure resource-constrained small satellites.

研究の動機と目的

• 妨害されたベンダー提供の衛星部品を介して提供されるセンサー偽装のリスクを動機づけ、定量化する。
• 衛星シミュレータ内での船上テレメトリ偽装のエンドツーエンドの実現可能性を示す。
• 偽装テレメトリが標準の地上システム検証を通過し、運用者を誤らせる方法を示す。
• 小型衛星におけるサプライチェーンに基づく偽装を緩和するアーキテクチャ的・運用的対策を提案する。

提案手法

• Core Flight Software (cFS)を用いてNASA NOS3内に悪意のある飛行ソフトウェア補助部品であるSOLOを実装する。
• 同一のメッセージIDとデータ構造を用いて標的テレメトリ接口（スター・トラッカー）を再現し、ソフトウェア・バスの同一性を実現する。
• 遅延後にミッション文脈トリガを介して偽装を作動させ、その後正規センサデータを置換またはバイアスをかける。
• 正規デバイスと同じカデンスで偽装テレメトリパケットを発行し、地上ツールによる構文検出を回避する。
• COSMOSがフォーマットと韻律を検証する一方で偽装データの出所を隠し、置換とバイアスの両方のモードを示す。

実験結果

リサーチクエスチョン

• RQ1 供給連鎖を経由して挿入された第三者の船上コンポーネントは、正規データと同等に見えるスキーマ有効な偽装テレメトリを生成できるか。
• RQ2 事前出荷検証および軌道上モニタリングを回避する船上センサ偽装を可能にするアーキテクチャ的弱点は何か。
• RQ3 偽装テレメトリは地上オペレータの認識と任務の完全性にどのような影響を与えるか（シミュレーション環境で）。
• RQ4 リソース制約下の衛星に対して、サプライチェーンのセンサ偽装に対抗する有効な対策とアーキテクチャ的変更は何か。

主な発見

• 悪意のある船上コンポーネントは統合テストを通過し、正しく形式化された韻律が正しいテレメトリを発行し、地上ツールに正当なものとして受け入れられる。
• 偽装テレメトリは推定量をバイアス付けたり、センサストリームを完全に置換したりして、形式やタイミングの異常を検出されずに使用できる。
• 地上ツール（COSMOS）は構文を検証するが意味的一貫性や出所の真正性は検証せず、ステルスな名義詐称を可能にしている。
• 正規デバイスの内部抑制と偽装データへの置換が、地上ログやテレメトリアーカイブに顕著な指標なしに発生し得る。
• 研究は、不透明なサプライチェーン、テレメトリへの暗黙の信頼、ランタイム監視の欠如、観測性の制限といった検出を妨げるアーキテクチャ的弱点を特定する。