Spoofing: En ny trussel mot sivil luftfart

Satellittnavigasjon (GNSS), først og fremst i form av GPS, er et sentralt verktøy for posisjonsbestemmelse, navigasjon og nøyaktig tidsangivelse. GPS er i stor grad et primært navigasjonshjelpemiddel for sivil luftfart i dag, og vil bli enda viktigere i årene som kommer på grunn av EUs mål om å basere de fleste operasjoner på PBN fra 2030. I mange ulike typer luftfartøy er GPS-mottakeren en viktig leverandør av data om posisjon og tid til flere forskjellige systemer ombord. 

Satellittnavigasjon som GPS er sårbart for ulike typer naturlige og menneskeskapte signalforstyrrelser, og Flysikkerhetskomiteen i Norsk Flygerforbund har jobbet mye med spørsmål rundt økende avhengighet av satellittnavigasjon, tilhørende sårbarhet, og behov for robuste sikringstiltak på ulike nivå for å håndtere signalforstyrrelser på en sikker måte. Flysikkerheten har naturligvis størst prioritet når forstyrrelser inntreffer, men vi vektlegger også evne til sikre operasjoner uten satellittnavigasjon av hensyn til kontinuitet og beredskap. 

Menneskeskapte forstyrrelser er normalt ulovlige enten disse er tilsiktede eller ikke, med unntak av varslet testing i avgrensede områder o.l. Jamming av GPS er den typen forstyrrelse som har fått mest fokus i flere år, og gjelder tilsiktede eller utilsiktede forstyrrelser som ofte fører til bortfall av et pålitelig satellittsignal i en mottaker så lenge den utsettes for jamming. Dessverre erfarer mange flygere at jamming nærmest har blitt en "normaltilstand" i flere regioner i verden, deriblant i luftrommet over deler av Finnmark. Generelt anses luftfarten som nokså robust i møte med jamming og bortfall av satellittsignaler, gjennom bruk av ulike alternative systemer for navigasjon. Når det gjelder flysikring og lufttrafikktjenester stiller regelverket for EU/EØS krav til at alle medlemsland skal opprettholde konvensjonelle og uavhengige systemer for navigasjonsstøtte i tilfelle bortfall av satellittsignaler. Dette kravet er svært viktig og skal sikre mye av grunnlaget for evnen til å håndtere forstyrrelser i europeisk luftrom, iallefall når det gjelder tilgjengelighet av bakkebaserte systemer for navigasjon og luftromsovervåkning (ulike radarsystemer) som fungerer uten satellittsignaler. 

Mange kommersielle flytyper har også systemer for treghetsnavigasjon (Inertial Reference System / IRS) ombord. IRS er en relativt selvstendig kilde til navigasjonsdata som fortsetter å beregne posisjon etter bortfall av GPS. Nøyaktigheten vil imidlertid avta over tid. Nyere IRS-enheter benytter GPS-data for oppdatering underveis, og det har oppstått spørsmål om dette kan innebære en uventet sårbarhet ved såkalt spoofing.

SPOOFING

Spoofing er en annen og mer alvorlig type forstyrrelse som kan ramme GPS-mottakere, og handler kort sagt om ulovlig bruk av falske og kraftige signaler for å narre eller manipulere mottakeren til å tro at den befinner seg et annet sted og/eller på et annet tidspunkt. Spoofing av sivil flytrafikk har vært beskrevet som en mulig trussel i flere år, men samtidig vurdert til å være lite sannsynlig sammenlignet med jamming, ihvertfall i Europa. Spoofing krever angivelig mer ressurser og kompetanse enn jamming. Såvidt vi vet har det vært få eller ingen rapporterte tilfeller av spoofing som har rammet sivil luftfart før nylig.   

I slutten av september publiserte bloggen OpsGroup en artikkel om et antall rapporterte hendelser med GPS-spoofing i luftrommet over det nordøstlige Irak ved grensen til Iran. Det som er særlig interessant i denne sammenhengen er at spoofingen, via GPS-mottakerne, også ser ut til å ha påvirket IRS-enheter (eller data fra disse) i flere ulike flytyper slik at feil posisjon ble angitt. IRS er i utgangspunktet et selvstendig system som ikke skal påvirkes av GPS-forstyrrelser, og disse hendelsene har dermed skapt bekymring for en uventet sårbarhet. Flere av flyene som ble utsatt for spoofing fikk navigasjonsstøtte fra lufttrafikktjenesten ved bruk av radar frem til de fikk gjenopprettet egne systemer.      

En hypotese om hendelsesforløpet er at IRS-enhetene har blitt oppdatert med falske GPS-data som følge av spoofing og dermed blitt ubrukelige. Navigasjonssystemet skal i utgangspunktet fortsatt kunne ta inn og presentere riktige data fra bakkebaserte navigasjonshjelpemidler, og det er i skrivende stund uklart om og eventuelt hvorfor dette sviktet ved noen av de rapporterte hendelsene. Det kan være snakk om funksjoner og avhengigheter som er spesifikke for ulike flytyper og navigasjonssystemer. Vi har foreløpig få opplysninger rundt tekniske detaljer og sammenhenger, og avventer offisiell informasjon fra fly- og utstyrsfabrikanter. Tidligere opplysninger fra enkelte fabrikanter kan tyde på at noen fly- og utstyrstyper er mer robuste enn andre når det gjelder GPS-forstyrrelser generelt. 

FOR CREW

Vi anbefaler som ellers å følge med på gjeldende informasjon fra aktuelle fabrikanter/leverandører og operatører angående systemenes funksjon og sårbarhet, tiltak og prosedyrer, samt NOTAM. Er det for eksempel aktuelt å slå av GPS-oppdatering ved mistanke om spoofing, eller ved flyging i eller nær områder der spoofing kan forventes? 

Foruten navigasjon gjelder dette også TAWS / EGPWS med Forward-Looking Terrain Avoidance, ADS-B/C, klokker, SATCOM, datalink, og andre systemer ombord som bruker data fra GNSS/GPS-mottakere. Vær oppmerksom på at TAWS / EGPWS kan svikte eller gi misvisende varsler ved spoofing, også potensielt ved jamming.  

Etter det vi kjenner til er det lav sannsynlighet for spoofing i europeisk luftrom, men man må være forberedt. Noen langruter kan være mer utsatt i visse områder, som UM688 i Irak ved grensen til Iran. Irak, Iran, Syria, Aserbajdsjan, deler av Tyrkia og tilstøtende områder har som kjent vært særlig utsatt for forstyrrelser og andre trusler i flere år, og den sikkerhetspolitiske situasjonen i området er stadig spent.

Se også IFALPA Safety Bulletin.