[论文解读] Safety vs. Security: Attacking Avionic Systems with Humans in the Loop

Matthew Smith, Martin Strohmeier+3 more|arXiv (Cornell University)|May 20, 2019

Air Traffic Management and Optimization参考文献 18被引用 4

一句话总结

本论文通过在飞行模拟器中对30名空客A320认证飞行员开展受控实验，研究了无线网络攻击对关键飞行电子设备在现实世界中的影响。研究展示了针对TCAS、GPWS和ILS的新型实用型攻击显著扰乱飞行操作，增加飞行员工作负荷，并导致38%的飞行员禁用安全系统，凸显了航空业过度依赖安全文化而非主动安全措施所存在的严重漏洞。

ABSTRACT

Many wireless communications systems found in aircraft lack standard security mechanisms, leaving them fundamentally vulnerable to attack. With affordable software-defined radios available, a novel threat has emerged, allowing a wide range of attackers to easily interfere with wireless avionic systems. Whilst these vulnerabilities are known, concrete attacks that exploit them are still novel and not yet well understood. This is true in particular with regards to their kinetic impact on the handling of the attacked aircraft and consequently its safety. To investigate this, we invited 30 Airbus A320 type-rated pilots to fly simulator scenarios in which they were subjected to attacks on their avionics. We implement and analyse novel wireless attacks on three safety-related systems: Traffic Collision Avoidance System (TCAS), Ground Proximity Warning System (GPWS) and the Instrument Landing System (ILS). We found that all three analysed attack scenarios created significant control impact and cost of disruption through turnarounds, avoidance manoeuvres, and diversions. They further increased workload, distrust in the affected system, and in 38% of cases caused the attacked safety system to be switched off entirely. All pilots felt the scenarios were useful, with 93.3% feeling that simulator training for wireless attacks could be valuable.

研究动机与目标

• 评估在飞行员积极参与飞行决策时，无线网络攻击对关键飞行电子设备产生的实际动能和操作影响。
• 调查航空业现有的安全文化与培训是否足以缓解故意的、有针对性的无线干扰攻击。
• 评估飞行员对TCAS、GPWS和ILS三套关键系统所遭受的新型、现实型无线攻击的反应。
• 确定并评估在飞行模拟器中开展无线网络攻击训练的可行性与价值，以提升飞行员对攻击的识别与应对能力。
• 识别可操作的缓解措施，并为当前及未来飞行电子设备安全提出改进建议，尤其针对尚未实施安全设计的系统。

提出的方法

• 利用软件定义无线电（SDRs）开发并实施了三种新型实用型无线干扰攻击，分别针对TCAS、GPWS和ILS，以模拟真实攻击环境。
• 在飞行模拟器中对30名专业空客A320认证飞行员开展受控实验，使其在人机协同环境中面对真实感的网络攻击场景。
• 收集模拟器内性能数据、飞行员工作负荷指标以及实验后的访谈记录，以分析行为与操作层面的反应。
• 分析飞行员决策，包括系统禁用、规避机动与工作负荷变化，以量化攻击对飞行安全与操作的影响。
• 评估频谱监测与基于众包的空中交通监视作为检测关键航空频段中非法传输的早期预警系统的潜力。
• 提出针对性的低成本缓解措施，例如利用DME实现ILS信号认证，并倡导未来采用AeroMACS等安全设计型数据链。

实验结果

研究问题

• RQ1 在模拟飞行环境中，飞行员在遭受针对TCAS、GPWS和ILS的现实型无线攻击时，其行为与操作反应如何？
• RQ2 现有的安全文化与培训实践在多大程度上能缓解故意无线干扰的影响，还是反而会加剧风险？
• RQ3 这些攻击对飞机操控的动能影响如何，包括工作负荷、控制偏差与系统禁用？
• RQ4 针对无线网络攻击的飞行模拟器训练能否提升飞行员的意识与准备度？其是否存在负面训练效应的风险？
• RQ5 在全面实现安全设计升级之前，有哪些切实可行且低成本的缓解措施可立即实施以降低此类攻击风险？

主要发现

• 38%的飞行员在攻击场景中禁用了被攻击的安全系统，表明在压力或困惑状态下系统被禁用的风险显著。
• 所有三种攻击场景均造成可测量的干扰，包括规避机动、工作负荷增加与航迹偏离，其中TCAS攻击最具破坏性。
• 93.3%的飞行员表示基于模拟器的无线网络攻击训练具有重要价值，凸显了对这类培训项目强烈的支持。
• 飞行员报告称，在攻击期间即使仍能保持控制，也感知到安全性下降，表明攻击可能削弱对关键系统的信心。
• 当前飞行电子设备缺乏标准安全机制，使其极易受到低成本、易获取的SDR攻击。
• 频谱监测与基于众包的监视网络被识别为检测关键航空频段中非法传输的有前景的早期预警系统。