Кибербезопасность авиационных информационносвязных систем

Кибербезопасность полетов воздушных судов (ВС) обеспечивается различными мерами, например, рутинным запретом несанкционированного прямого доступа в бортовые системы неавторизованного персонала, пассажиров через бортовые системы развлечений и т. п. Вместе с тем нерешенным остается обеспечение кибербезопасности при взаимодействии ВС в полете с «окружающей средой» — системой управления воздушным движением (УВД) и другими воздушными судами, в том числе от возможных непреднамеренных ошибок «благонамеренных» пользователей, и целенаправленных кибератак через системы информации и связи, определяемые согласно терминологии Международной организации гражданской авиации ИКАО в соответствии с главой 18 Doc 8973 «Руководство по авиационной безопасности» и Doc 9985 «Руководство по безопасности системы организации воздушного движения».

Рассмотрим существующую ситуацию с обеспечением кибербезопасности на примере наблюдения — определения местоположения ВС при управлении воздушным движением, как одной из главных процедур обеспечения безопасности полетов. Основными целями ее выполнения является получение полной информации и обеспечение адекватной ситуационной осведомленности для органов УВД и для непосредственных участников движения — пилотов.

Ситуационная осведомленность предполагает непрерывное наблюдение и определение идентификатора ВС, текущих координат (широты, долготы и высоты над уровнем моря), направления и скорости движения всех ВС в реальном времени.

В настоящее время для наблюдения ВС в системе УВД, в основном, используются методы вторичной радиолокации (ВР/1). При сканировании воздушного пространства локатор передает сигнал запроса и измеряет наклонную дальность до ВС. Получив запрос, каждое ВС формирует ответный сигнал со своим идентификатором, текущей высотой полета и другими параметрами. Наземная инфраструктура ВР/1 достаточно сложна и затратна при создании и эксплуатации. По этой причине в конце XX столетия авиационное сообщество возлагало большие надежды на безра-дарный метод АЗН-В (автоматическое зависимое наблюдение радиовещательного типа — почти подстрочный перевод с Automatic Dependent Surveillance — Broadcast (ADS-B).

Каждое ВС с устройством АЗН-В непрерывно и автономно, например, с помощью системы спутниковой навигации GPS/ГЛОНАСС,определяет свое текущее местоположение и по определенному протоколу сообщает эти данные в радиовещательном режиме посредством линии передачи данных (ЛПД). Эту информацию одновременно принимают все заинтересованные участники воздушного движения без выдачи подтверждений о приеме.

Международная организация гражданской авиации (ИКАО), авиационные администрации ведущих стран первоначально рассматривали АЗН-В как основной метод наблюдения, заменяющий ВРЛ и обязательный для гражданской авиации на рубеже 2020 года. АЗН-В обеспечивает наземное наблюдение воздушных судов без использования РЛС,а также ситуационную осведомленность пилотов при прямом взаимодействии борт-борт, либо при передаче от наземной системы УВД на борт информации, в том числе о ВС, не оборудованных аппаратурой АЗН-В. Одновременно по мере возможностей той же ЛПД осуществляется полетно-информационное обслуживание, предоставляется оперативная метеорологическая, аэронавигационная информация, навигационное обслуживание в части обеспечения данными о целостности спутниковых навигационных сигналов и дифференциальных поправок, связь пилота с диспетчером и/или авиакомпанией, а также информация для поисково-спасательного обеспечения.

Первоначально технологии АЗН-В развивались по различным направлениям, обусловленным использованием различныхЛПД. В 2003 году 11-я Аэронавигационная конференция рекомендовала для начального внедрения использовать АЗН-В на базе ЛПД расширенного сквиттера (extended squitter) на частоте 1090 МГц — 1090 ES (далее — АЗН-В/1090). Благодаря усилиям, главным образом, FAA/RTCA (США), и EUROCAE (Европа), в последующем был разработан ряд документов, закрепляющих использование АЗН-В/1090 в качестве монопольного источника информации о положении ВС.

К настоящему времени в мире произошло неблагоприятное для гражданской авиации изменение геополитической обстановки, обусловленное квалифицированным терроризмом, что может оказать весьма сильное влияние на гражданскую авиацию и ее технологии.

В стремлении использовать изощренные технические методы и средства террористы в XXI веке получили доступ, в частности, к недорогим средствам поражения целей — беспилотным летательным аппаратам (БЛА) со средствами наведения — многочисленными радиоконструкторами SDR (software-defined radio), которые выпускают фирмы — производители элементной базы для рекламы возможностей и ускорения продаж.

SDR могут быть использованы для изготовления устройств для атаки на средства АЗН-В и нарушения корректной работы бортовых навигационных и телекоммуникационных систем ВС. Анализ возможных видов воздействия кибератак на АЗН-В/1090 приведен в 2016 году в сборнике ИКАО (Е. FaLkov, S. Shavrin, Security related candidate SARPS, ICAO RPASP-4-WP/8,29/02/16).

Внедряемое в большинстве стран оборудование АЗН-В/1090 показало свою незащищенность в новых условиях квалифицированного терроризма и несоответствие современным требованиям обеспечения безопасности воздушного движения. Интернет заполнен серией фундаментальных обзоров ([3-4] и др.) статей, демонстрирующих абсолютное отсутствие у АЗН-В/1090 возможностей противодействия кибератакам.

В системе АЗН-В/1090 для передачи сигналов используются открытые каналы без каких-либо средств защиты от несанкционированного доступа к информации. При определенных обстоятельствах система АЗН-В/1090 может стать квалифицированным подспорьем для террористов, открытый характер сообщений которой о воздушном движении транслируется в сети Интернет владельцами сайта FLightRadar24.com практически для всего мира.

Безопасность полетов диктует необходимость разработки концепции и средств обеспечения информационной безопасности функции АЗН-В, связанной с ЛПД, гарантирующих защиту от:

• перехвата сообщений, содержащих одновременно идентификатор воздушного судна и его координаты, несанкционированными органами и частными лицами;
• навязывания ложной информации со стороны террористов и легальных участников воздушного движения;
• исключения возможности передачи в эфир ложных сообщений АЗН-В легальным участником воздушного движения и отрицания таких фактов;
• исключения повторов ранее переданных и записанных сообщений террористами и легальными участниками воздушного движения;
• навязывания террористами и легальными участниками воздушного движения сообщений «от чужого имени» — от лица других участников движения.

Решение задач защиты от кибератак осложняется двумя противоречивыми требованиями: надежной защиты передаваемой информации от несанкционированных действий посторонних лиц, среди которых могут оказаться достаточно квалифицированные террористы, и вместе с тем должен обеспечиваться доступ достаточно широкого круга лиц — диспетчеров и пилотов ВС всех стран в целях информирования о воздушной обстановке, выполнения правил эшелонирования и предупреждения столкновений.

Наиболее адекватным средством решения задачи создания системы информационной безопасности ВС в сложившихся условиях представляется использование двухключевых (Public-Key) алгоритмов криптографической защиты информации в соответствии со следующими требованиями:

1. Наличие в составе системы автоматических невыключаемых / неостанавливаемых средств наблюдения, сигналы которых с идентификатором ВС, временными, пространственными координатами защищены криптографическими средствами от перехвата кем-либо.
2. Сохранение в системе процессов использования всей информации, поступавшей из несанкционированных источников, с их аутентификацией и проверкой на подлинность в целях исключения использования информации из несанкционированных источников. Предоставление получателям сообщений возможности контроля их действительного происхождения и отсутствия изменений при передаче. Оформление сообщений и процесса передачи должны исключать нарушителю возможности замены подлинных сообщений на ложные или маскировки под других абонентов сети.
3. Поддержка функции идентификации и обеспечения возможностей выявления фантомов от реальных ВС.
4. Возможность определения в системе местонахождения сигналов-призраков для надлежащего их подавления.
5. Обеспечение неотрекаемости отправителей, исключающей ложное отрицание авторства ложных сообщений и их посылки. Получение каждого сообщения должно регистрироваться и подтверждаться с посылкой уведомления о его получении отправителю.
6. Обеспечение в рамках системы возможности управления и относительной навигации ВС при подавлении сигналов GNSS.
7. В целях записи и последующей интерпретации событий, включая поисково-спасательные действия, сигналы АЗН-В следует соотнести со шкалой времени (метка времени), что исключит дублирование передачи ранее записанных сообщений, для записи положения всех ВС в четырех измерениях.
8. Все меры по обеспечению безопасности должны строиться на принципе их соизмеримости с угрозами. После оценки риска, проводимой национальными полномочными органами, необходима разработка мер защиты критически важных систем, информационных и связных технологий, используемых в гражданской авиации, вмешательство в которые может поставить под угрозу безопасность полетов. Политика риска должна быть объективной, прозрачной, предсказуемой, контролируемой и сосредоточенной на самом высоком риске, а разработка степеней безопасности по стандарту типа ARP 4754А SAE. Классификации условий отказов и вероятности, соответствующие классам типа катастрофических, опасных/жестких крупных, крупных, мелких и отсутствия влияния на безопасность должны назначаться едиными для всех высокоинтегрированных информационно-связных бортовых систем.
9. Обнаружение, запись, анализ системой безопасности кибератак, обеспечение надлежащей защиты от вирусов и хакерских программ и разработки соответствующего противодействия.
10. Наличие подтвержденного статуса (approved) криптографических алгоритмов, используемых в системе, сертификация средств защиты. Длина ключа должна обеспечивать требуемый уровень защиты. Обеспечение устойчивости к попыткам составления несанкционированными лицами «словарей» сообщений известного содержания, зашифрованных открытым ключом двухключевого алгоритма, исключающей возможность распознавания сообщений в составе информационного потока.

Указанные положения включены в рабочие документы по разработке проекта стандарта ИКАО по информационной безопасности линий передачи данных применительно к дистанционно-пилотируемым авиационным системам (RPAS), который принят Комитетом ИКАО RPASP и включен в план дальнейшего прохождения в рамках работы ИКАО в целом.

Представленные требования могут быть реализованы на протоколах, поддерживающих диалоговый характер обмена информацией. Многочисленные исследования зарубежных специалистов показали невозможность обеспечения требуемого уровня информационной защиты в рамках системы АЗН-В/1090. Криптографические средства 1090ES, и, в частности, формат DF-19, не защищает от спуфинга, поскольку используют единый ключ для всех участников информационного обмена.Указанный формат недавно вообще исключен из стандарта на АЗН-В/1090. Размер информационных блоков не согласован с алгоритмами шифрования, криптостойкость которых аттестуется как approved по требованиям NIST. И, самое главное, система АЗН-В/1090 не поддерживает диалоговых протоколов обмена информацией, что является основным препятствием использованию двухключевых криптографических алгоритмов и формированию сеансовых ключей.

Решение поставленных проблем может быть достигнуто использованием самоорганизующихся воздушных сетей (СОВС) на основе специальных коммутирующих радиотранспондеров, функционирующих по протоколам VDL-4. Концепция СОВС, которая как система АЗН-В является альтернативой системе стандарта 1090ES, предложена и одобрена на 12-й АНК и на 38-й Ассамблее. В ней исключается использование результатов наблюдений другими странами в разведывательных цепях и снимается зависимость процесса наблюдения от действий другой страны.

Системный подход к наблюдению за воздушными судами в рамках СОВС снимает проблему наложения во времени сигналов разных воздушных судов, передаваемых на одной частоте, и обусловленные этим взаимные помехи.

Защита информации в СОВС строится на основе двухключевых алгоритмов крипто защиты (см.рисунок).

Каждое ВС оснащается двухключевой криптосистемой, открытый ключ которой размещается в базе авиаданных. Каждое передаваемое сообщение шифруется открытым ключом адресата и аутентифицируется закрытым ключом источника.

Синхронный характер сети обеспечивает возможность использования мультилатерационных механизмов — как для локализации источников злонамеренных воздействий, так и в целях навигации в отсутствие сигналов ГНСС.

Представленный выше анализ последствий отсутствия необходимой кибер защиты на примере АЗН-В/1090 показывает достаточно типовые выводы для использования всех используемых в гражданской авиации линий передачи данных. Почти так же беззащитны такие применения, гак АЗН-К, CPDLC, TIS-B, A-SGMCS, FIS-B, SWIM, DGNSS, АОС и др. Не меньшую опасность представляет использование незащищенных голосовых аналоговых сообщений.

Представляется, что в ближайшие годы будут пересмотрены многие или все существующие технологии УВД с позиции обеспечения необходимой кибер безопасности, которые целесообразно осуществлять на единой методологической основе использования двухключевых алгоритмов криптографической защиты информации. Предпосылай обеспечения необходимой кибер безопасности наряду с повышением эффективности функционирования видится использование самоорганизующихся воздушных сетей.