Cyber-Resilience and Trust-Aware Command Authorization for Autonomous UAV Swarms in GPS-Denied Environments

Stellen Sie sich einen Schwarm von Drohnen vor, die gemeinsam fliegen, ohne GPS zu nutzen, und sich dabei durch die Wahrnehmung ihrer Umgebung und den Austausch untereinander orientieren. In dieser hochriskanten Umgebung muss eine einzelne Drohne entscheiden, ob sie einem Befehl eines menschlichen Operators oder einer benachbarten Drohne gehorchen soll. Die zentrale Herausforderung besteht nicht nur darin, zu verifizieren, dass die Nachricht von einer bekannten Quelle stammt, sondern festzustellen, ob es gerade sicher ist, dieser Nachricht zu folgen. Ein Befehl kann vollkommen authentisch sein – mit dem korrekten digitalen Schlüssel signiert –, aber dennoch gefährlich sein, wenn die Lokalsensoren der Drohne versagen, ihre Batterie schwach ist oder die Person, die den Befehl gesendet hat, nicht mehr vertrauenswürdig ist. Diese Arbeit adresst die Lücke zwischen kryptografischer Sicherheit und physischer Sicherheit und schlägt ein System vor, das jede eingehende Anweisung als potenzielles Risiko behandelt, bis sie eine strenge, mehrschichtige Prüfung bestanden hat. Die Forscher entwickelten ein Framework, das als Gatekeeper fungiert und sicherstellt, dass eine Drohne niemals eine Fernanweisung ausführt, es sei denn, der gesamte Kontext ihres Fluges, ihr Zustand und ihr Vertrauen in den Absender stimmen perfekt überein.

Die Arbeit konzentriert sich auf autonome Drohnenschwärme, die in GPS-gestörten Umgebungen operieren, in denen die übliche Satellitennavigation nicht verfügbar ist. Unter diesen Bedingungen verlassen sich die Drohnen auf Peer-to-Peer-Kommunikation und Onboard-Sensoren, um Formation und Missionsintegrität aufrechtzuerhalten. Der Autor argumentiert, dass traditionelle Sicherheitsmodelle, die oft bei der Verifizierung einer digitalen Signatur aufhören, für physische Maschinen unzureichend sind. Eine Signatur beweist, wer die Nachricht gesendet hat, aber sie beweist nicht, dass die Nachricht sicher auszuführen ist. Um dies zu lösen, entwickelten die Forscher einen „Fail-Closed“-Runtime-Supervisor. Dies ist eine Software, die den internen Zustand der Drohne und ihre äußere Umgebung ständig überwacht. Sie betrachtet neun verschiedene Faktoren, darunter die Qualität der Funkverbindung, das Vertrauen in die eigene Lokationsschätzung der Drohne, den Batteriestand und die Vertrauenswürdigkeit der Entität, die den Befehl erlässt. Basierend auf diesen Eingaben weist das System der Drohne einen von neun spezifischen Sicherheitszuständen zu, die von „vollständig vertrauenswürdig“ bis „sofort isoliert“ reichen.

Das System arbeitet nach dem Prinzip einer strikten Hierarchie. Wenn die Drohne einen kritischen Fehler erkennt, wie etwa einen Abfall des Batteriestands unter einen sicheren Schwellenwert oder einen plötzlichen Verlust der Kommunikation, wechselt sie sofort in einen Zustand, in dem sie alle Fernbefehle ignoriert und ein vorprogrammiertes Sicherheitsmanöver ausführt, wie etwa eine Landung oder die Rückkehr zum Heimathafen. Diese Entscheidung erfolgt automatisch und kann selbst von einem authentifizierten Remote-Operator nicht überschrieben werden. Die Forscher implementierten diese Logik in einer C++ Softwareplattform und testeten sie gegen verschiedene Szenarien. Sie fanden heraus, dass das System Befehle erfolgreich ablehnte, die technisch gültig, aber kontextuell unsicher waren. Wenn beispielsweise das Vertrauen in die Positionierung der Drohne unter einen bestimmten Schwellenwert sank, verweigerte das System beispielsweise einen Befehl zum Halten der Formation, selbst wenn der Befehl von einem vertrauenswürdigen Anführer kam und aktuell war. Ähnlich verhielt es sich, wenn das System Anzeichen eines Replay-Angriffs feststellte – bei dem eine alte, gültige Nachricht erneut gesendet wird, um die Drohne zu verwirren – dann wechselte es in einen verdächtigen Zustand und blockierte die weitere Fernsteuerung.

Ein wichtiges Ergebnis der Studie ist, dass ein einzelner zusammengesetzter Wert für die „Gesundheit“ nicht ausreicht, um diese Entscheidungen zu treffen. Die Forscher zeigten, dass das Vertrauen auf einen gewichteten Durchschnitt verschiedener Faktoren gefährlich sein kann. Beispielsweise könnte eine Drohne mit exzellenter Batterie und großem Vertrauen in den Absender dennoch eine schreckliche Funkverbindung haben. Wenn das System nur auf einen Durchschnittswert schauen würde, ließe es einen Befehl möglicherweise zu, obwohl die Verbindung unterbrochen ist. Stattdessen verwendet dieses Framework harte Schwellenwerte. Wenn die Funkverbindung unter eine bestimmte Qualität fällt oder der Vertrauenswert des Absenders unter eine spezifische Zahl sinkt, schränkt das System die Autorität sofort ein, ungeachtet dessen, wie gut die anderen Werte aussehen. Dies stellt sicher, dass ein Fehler in einem kritischen Bereich nicht durch den Erfolg in einem anderen Bereich maskiert werden kann. Das System verfolgt zudem „Manipulationsbeweise“ (Tamper Evidence), indem es Punkte für verschiedene Arten von Anomalien wie replizierte Nachrichten oder Uhrenabweichungen sammelt. Wenn genügend Beweise akkumuliert wurden, wechselt die Drohne in einen Zustand, in dem sie nur noch ihren eigenen lokalen Sicherheitssystemen vertraut.

Die Forscher testeten ihr Software-Framework mithdem Einsatz eines Repositories von Unit-Tests und Szenariosimulationen. Sie bestätigten, dass das System manipulierte Nachrichten, replizierte Befehle und Anweisungen von Absendern mit niedrigen Vertrauenswerten korrekt ablehnte. Sie maßen auch die Zeit, die die Software für diese Sicherheitsprüfungen benötigte. Die Ergebnisse zeigten, dass der Authentifizierungspfad einen Median von 12,219 Millisekunden und einen Durchschnitt von 22,603 Millisekunden beanspruchte. Während dies für viele Softwareanwendungen schnell genug ist, merkt der Autor vorsichtig an, dass diese Zahlen aus einer lokalen Computersimulation stammen und keine zertifizierte Echtzeitgarantie für tatsächliche Flughardware darstellen. Die Studie gibt explizit an, dass sie keine physischen Flugtests, Radio-Jamming-Experimente oder formale mathematische Beweise für die Perfektion des Codes enthält. Stattdessen bietet sie ein softwarebasiertes, mathematisch explizites Modell dafür, wie Sicherheitsbeweise in physische Kontrollautorität umgewandelt werden sollten.

Das Framework enthält zudem eine spezielle Ausnahme für Notfallbefehle. Wenn ein Befehl als Notlandung markiert ist, erlaubt das System diesen, einige der üblichen Vertrauens- und Aktualitätsprüfungen zu umgehen, vorausgesetzt, die Nachricht hat die initiale kryptografische Verifizierung bestanden. Diese Designentscheidung priorisiert die unmittelbare physische Sicherheit vor der strikten Protokolltreue und erkennt an, dass in einer Krise ein verifizierter Befehl zur Landung wichtiger ist als ein Befehl, auf weitere Bestätigungen zu warten. Diese Ausnahme ist jedoch eng kontrolliert; sie funktioniert nur, wenn die Nachricht über den sicheren, authentifizierten Kanal gesendet wurde. Die Forscher betonen, dass dieser Notfall-Override eine bewusste Vertrauensgrenze darstellt, die sorgfältig verwaltet werden muss.

Letztendlich zeigt diese Arbeit, dass es bei autonomen Maschinen nicht nur darum geht, Hacker fernzuhalten, sondern darum, dass die Maschine weiß, wann sie „Nein“ sagen muss. Das vorgeschlagene System schafft eine Defense-in-Depth-Kette, in der ein Befehl die Authentifizierung, Aktualitätsprüfung, Vertrauensevaluierung und Sicherheitsbeschränkungen durchlaufen muss, bevor er die Motoren der Drohne beeinflussen kann. Durch die Trennung der Fragen „Wer hat das gesendet?“ von „Sollten wir das tun?“ haben die Forscher ein Modell geschaffen, das autonome Schwärme sowohl gegenüber Cyberangriffen als auch gegenüber physischen Ausfällen resilienter machen könnte. Die Studie kommt zu dem Schluss, dass, obwohl die Softwarelogik fundiert und die Ablehnung unsicherer Befehle deterministisch ist, die vollständige Validierung dieses Ansatzes zukünftige Arbeiten erfordert, die Hardware-Tests und reale Adversarial-Szenarien beinhalten. Für den Moment stellt sie einen klaren, softwarebasierten Bauplan dar, wie autonome Systeme die Sicherheit aufrechterhalten können, wenn die Welt um sie herum ungewiss wird.