[논문 리뷰] Safety vs. Security: Attacking Avionic Systems with Humans in the Loop

Matthew Smith, Martin Strohmeier외 3명|arXiv (Cornell University)|2019. 05. 20.

Air Traffic Management and Optimization참고 문헌 18인용 수 4

한 줄 요약

이 논문은 비행기 조종사 30명이 포함된 비행 시뮬레이터에서 제어된 실험을 통해 무선 사이버공격이 안전성에 중대한 영향을 미치는지 실생활 영향을 조사한다. TCAS, GPWS, ILS에 대한 새로운 실용적 공격이 비행 조작을 심각하게 방해하고 조종사의 작업 부담을 증가시키며, 38%의 조종사가 안전 장치를 비활성화하도록 유도함으로써 항공 분야가 활성 보안 조치보다 안전 문화에 의존하는 데에 심각한 격차가 있음을 드러낸다.

ABSTRACT

Many wireless communications systems found in aircraft lack standard security mechanisms, leaving them fundamentally vulnerable to attack. With affordable software-defined radios available, a novel threat has emerged, allowing a wide range of attackers to easily interfere with wireless avionic systems. Whilst these vulnerabilities are known, concrete attacks that exploit them are still novel and not yet well understood. This is true in particular with regards to their kinetic impact on the handling of the attacked aircraft and consequently its safety. To investigate this, we invited 30 Airbus A320 type-rated pilots to fly simulator scenarios in which they were subjected to attacks on their avionics. We implement and analyse novel wireless attacks on three safety-related systems: Traffic Collision Avoidance System (TCAS), Ground Proximity Warning System (GPWS) and the Instrument Landing System (ILS). We found that all three analysed attack scenarios created significant control impact and cost of disruption through turnarounds, avoidance manoeuvres, and diversions. They further increased workload, distrust in the affected system, and in 38% of cases caused the attacked safety system to be switched off entirely. All pilots felt the scenarios were useful, with 93.3% feeling that simulator training for wireless attacks could be valuable.

연구 동기 및 목표

• 조종사가 비행 결정에 직접 관여할 때, 무선 사이버공격이 안전성에 중대한 영향을 미치는지 실생활의 운동적 영향과 운영적 영향을 평가하기 위해.
• 의도적이고 표적으로 삼은 무선 간섭 공격에 대비해 현재 항공 분야의 안전 문화와 훈련이 충분한지 여부를 조사하기 위해.
• 세 가지 핵심 시스템인 TCAS, GPWS, ILS에 대한 새로운 실용적인 무선 공격에 대한 조종사의 반응을 평가하기 위해.
• 비행 시뮬레이터를 활용한 훈련이 무선 사이버공격을 인지하고 대응하는 데 있어 실현 가능하고 가치 있는지 평가하기 위해.
• 특히 보안 설계 기반 보안이 아직 구현되지 않은 상황에서 현재 및 향후 항공전자장비 보안을 향상시키기 위한 실질적인 대응 조치를 도출하고 개선 방안을 제안하기 위해.

제안 방법

• 소프트웨어 정의 신호기(SDR)를 사용하여 실제 공격 조건을 모의한, TCAS, GPWS, ILS에 대한 세 가지 새로운 실용적 무선 간섭 공격을 개발하고 구현하였다.
• 30명의 전문 Airbus A320 자격을 가진 조종사를 대상으로 조종사가 참여하는 제어된 비행 시뮬레이터 실험을 실시하여 현실적인 사이버공격 시나리오를 제공하였다.
• 비행 시뮬레이터 내 성능 데이터, 조종사의 작업 부담 지표, 실험 후 인터뷰를 수집하여 행동적 및 운영적 반응을 분석하였다.
• 공격에 대한 조종사의 결정, 시스템 비활성화, 회피 조작, 작업 부담 변화 등을 분석하여 공격이 비행 안전성과 조작에 미치는 영향을 정량화하였다.
• 스펙트럼 모니터링과 커뮤니티 기반 항공교통 감시 네트워크가 유령 전파를 감지하기 위한 조기 경고 시스템으로서의 잠재력을 평가하였다.
• DME를 활용한 ILS 신호 신원 확인과 향후 AeroMACS와 같은 보안 설계 기반 데이터 링크의 도입을 제안하는 타겟팅된 저비용 대응 조치를 제시하였다.

실험 결과

연구 질문

• RQ1 비행 시뮬레이터 환경에서 TCAS, GPWS, ILS에 대한 현실적인 무선 공격을 경험한 조종사들이 행동적 및 운영적으로 어떻게 반응하는가?
• RQ2 기존의 안전 문화와 훈련 관행이 의도적 무선 간섭 공격의 영향을 어느 정도 완화하는가, 아니면 위험을 증폭시키는가?
• RQ3 이러한 공격이 조종성에 미치는 운동적 영향은 무엇인가? 특히 작업 부담, 조작 이탈, 시스템 비활성화를 포함하여.
• RQ4 무선 사이버공격 대응을 위한 비행 시뮬레이터 훈련이 조종사의 인지도 및 준비도를 향상시킬 수 있는가? 또, 부정적 훈련 효과가 발생할 위험은 무엇인가?
• RQ5 보안 설계 기반 업그레이드가 실현 가능해지기 전까지 실현 가능한 저비용 대응 조치는 무엇인가?

주요 결과

• 38%의 조종사가 시나리오 동안 공격을 받은 안전 장치를 비활성화하여, 스트레스나 혼란 상황에서 장치 비활성화 위험이 상당히 높다는 것을 시사한다.
• 세 공격 시나리오 모두 유의미한 방해를 유발하였으며, 회피 조작, 작업 부담 증가, 비행 경로 이탈이 발생했고, 특히 TCAS 공격가 가장 심각한 영향을 주었다.
• 93.3%의 조종사가 무선 사이버공격 대응을 위한 시뮬레이터 기반 훈련이 유용할 것이라고 보고하여, 이러한 훈련 프로그램에 대한 강력한 지지가 있음을 나타낸다.
• 조종사들은 조종을 유지하더라도 공격 중에 안전성 감소를 인식했으며, 이는 공격가 핵심 시스템에 대한 신뢰를 약화시킬 수 있음을 시사한다.
• 현재 항공전자장비에 표준 보안 메커니즘이 부족하여, 저비용이고 접근 용이한 SDR 기반 공격에 근본적으로 취약하다.
• 스펙트럼 모니터링과 커뮤니티 기반 감시 네트워크가 핵심 항공 주파수에서의 유령 전파 감지를 위한 유망한 조기 경고 시스템으로 확인되었다.