Je online navigace bezpečná?
Časopis Yachting Monthly přinesl zajímavý článek o tom, jak bezpečná je online navigace používaná při jachtingu. Stále častější model má svá negativa, o kterých je dobré vědět.
Inspirací k článku byl červencový výpadek služeb Navionics, který neumožnil mimo jiné ani stahování map. Výpadek začal 23. července a byl způsoben útokem na servery Navionicsu.
Z rozhovoru časopisu se zástupcem bezpečnostní společnosti Red Sky Alliance Jonathonem Sweeneyem přinášíme krátké shrnutí.
Jak je ve světle výpadku u Garminu (Navionics patří pod Garmin) online navigace zranitelná počítačovými útoky?
Každá online služba je v tomto směru zranitelná. GPS je složená ze tří částí – přijímače, satelity a pozemní stanice. Každá z těchto částí je zranitelná. Pokud například útok zasáhne GPS přijímač v mobilním telefonu, může si zařízení myslet, že je na jiném místě, ačkoli nejsou zasaženy satelity ani pozemní stanice. Ovlivněn bude jen jediný uživatel.
Pokud je útočník schopen úspěšně aktivovat ransomware v systémech, které udržují pozemní stanici v provozu, pravděpodobně by to narušilo možnosti GPS pro více uživatelů. S nárůstem využití podobných technologií budou systémy zranitelnější.
Jak zranitelná je síť GPS vůči útoku, například GPS spoofing (falšování identity)?
Není pravděpodobné, že by se to povedlo nějakému „teenagerovi ve sklepě“. I když je to možné, hackování sítě GPS vyžaduje relativně vysokou úroveň dovedností. Jak prokázali studenti University of Texas v Austin v roce 2013, spoofing GPS lze provést přehlušením signálů přicházejících ze satelitů a jejich nahrazením signálem útočníka. Jak jsme viděli ve výpadku Garminu, šlo o útok WastedLocker, o kterém se soudí, že pochází od sofistikované skupiny známé jako EvilCorp. Nikoli tedy od náhodného útočníka, který měl štěstí. Největší zranitelnost v tomto řetězci systémů je v přijímači. Hackování satelitních a / nebo pozemních systémů je možné, ale cílení na přijímač je mnohem snazší a je mnohem méně pravděpodobné, že způsobí poplach.
Jak pravděpodobné jsou výše uvedené scénáře?
Stručně řečeno, nejsou pravděpodobné. Zdá se zatím, že útočníci na tyto systémy necílí. Je to proto, že existují jednodušší způsoby, jak dosáhnout zisku nebo poškodit společnost. Jak bude cílení na tyto systémy snazší, budou útoky mnohem pravděpodobnější. Nejpravděpodobnějším scénářem by byla nepřátelská země, která by zmátla GPS lodi, aby ji přiměla plout na dané místo. Mohou pak například tuto loď zadržet z politických, finančních nebo jiných důvodů s odůvodněním, že vstoupila do jejich vod nelegálně. Jiným scénářem je situace, kdy útočníci zacílí na loď s civilisty a zmatou GPS kvůli zisku či proto, aby o sobě dali vědět. Opět platí, že čím více společností se spoléhá na systémy napojené na GPS, tím vyšší je pravděpodobnost, že je útočník využije.
Dělá veřejný a soukromý sektor dost na zmírnění hrozby útoku na online navigační sítě?
Ne. Veřejný ani soukromý sektor dost pro zmírnění ohrožení navigačních systémů nedělají. Poučíme-li se z historie, bude třeba mnohem závažnějších ohrožení, než byl výpadek Garminu, aby došlo ke změnám. Pokud by kvůli kybernetickému útoku uvízla uprostřed oceánu bez navigačních systémů některá výletní loď plná pasažérů, mohlo by to vést ke změně přístupu k zabezpečení. Zatím se čeká, co bude. Pokud by Garmin a další ve veřejném sektoru dělali dost pro zabezpečení svých systémů, mohlo dojít k kybernetickému útoku, ale ten by neměl za následek výpadek a už vůbec ne výpadek, který trval několik dnů. Stále by ale měly být k dispozici záložní systémy (LORAN-C až eLORAN). To však stojí čas a peníze.
Dalším problémem je, že vlády nedělají dost pro pronásledování útočníků. Skupiny jako EvilCorp jsou úspěšné, protože jsou schopny zůstat v bezpečí ve svých zemích a mohou páchat útoky s vědomím, že nebudou stíhány ani potrestány. Na země, které poskytují bezpečnou základnu útočníkům, není vyvíjen dostatečně velký tlak, aby tyto útočníky předaly k potrestání.
Měli by se rekreační jachtaři obávat hrozby kybernetického útoku a jeho dopadu na online navigaci?
V tuto chvíli bych jako zkušený rekreační jachtař nebyl znepokojen. Za prvé je mnohem méně pravděpodobné, že budu terčem, protože útočník by z útoku na jednotlivce moc nezískal (pokud tato osoba není bohatá a / nebo slavná). Dále dostane-li se rekreační jachtař do problémů, může zavolat pobřežní stráž nebo jinou veřejnou službu, aby pomohla. Zacílí-li útočník na GPS lodi pobřežní stráže, bude to horší. A nakonec by rekreační jachtaři měli umět ovládat svá plavidla, pokud by selhala veškerá elektronika. To z nich dělá málo atraktivní cíle.
Jak může rekreační jachtař rozpoznat, že online navigace byla napadena?
Stručná odpověď zní, že rekreační jachtař by to pravděpodobně nevěděl, dokud by nebylo příliš pozdě. Problém spoofingu přijímače spočívá v tom, že přijímač si „myslí“, že stále funguje správně, takže nemusí nikdy zobrazit alarm, který by naznačoval, že něco není v pořádku.
Mezi, které je třeba sledovat, patří: Systém funguje neobvykle, poskytuje neobvyklá data, vydává neobvyklé zvuky, zobrazuje výstrahy zabezpečení atd. Navigace na obrazovce neodpovídá vizuální navigaci. Dále může dojít k poškození systémů (přehřátí hardwaru, načítání aplikací / softwaru atd.). Správný jachtař by měl vždy mít na palubě navigační mapy, mobilní telefon a VHF rádio.
Jaké kroky mohou rekreační jachtaři udělat, aby nebezpečí snížili na minimum?
Nejbezpečnější je, umět navigovat offline. Používejte tradiční navigační techniky (mapa a kompas, terestrická navigace a astronavigace). Pokud se pohybujete bez online systémů, útok je méně nebezpečný. Nakupujte systémy od prodejců, kteří do svých systémů implementovali určitou úroveň zabezpečení. Věnujte pozornost a buďte si vědomi běžných hrozeb pro tyto typy systémů. Právě teď nejsou velkým cílem, ale to se pravděpodobně v budoucnu změní. Udržujte VŠECHNY online systémy aktuální prostřednictvím aktualizací a oprav softwaru. To je pro technicky méně zručné často obtížné, ale mnoho útočníků využívá slabých míst, která jsou roky známá.
Může být online navigace skutečně bezpečná?
Bezpečná? Ano. Nedobytná? Ne. Nic co je „online“, není nikdy kybernetickým útokem nenapadnutelné. Jsou ale způsoby, jak zabezpečit komunikaci mezi systémy. Například silné šifrování. Podmínkou je také odstranění výchozích hesel z navigačních systémů. Použití záložních systémů a nedigitálních záloh tak často, jak je to možné, je také důležité.
Je ironií, že jedním ze způsobů, jak mnoho společností řeší zajištění, je kontrolovaný průnik do systému. Zaplatí bezpečnostní firmě, aby pronikla do systémů a následně sdělí, co kde je slabé místo, které je třeba zabezpečit.