Cyber-Resilience and Trust-Aware Command Authorization for Autonomous UAV Swarms in GPS-Denied Environments

एक ड्रोन के झुंड की कल्पना करें जो बिना जीपीएस के एक साथ उड़ रहे हैं, जो अपने परिवेश को महसूस करके और एक-दूसरे से बात करके नेविगेट कर रहे हैं। इस उच्च-जोखिम वाले वातावरण में, एक एकल ड्रोन को यह निर्णय लेना होगा कि वह एक मानव ऑपरेटर या एक पड़ोसी ड्रोन द्वारा भेजे गए आदेश का पालन करे या नहीं। मुख्य चुनौती केवल यह सत्यापित करना नहीं है कि संदेश एक ज्ञात स्रोत से आया है, बल्कि यह निर्धारित करना है कि क्या अभी उस संदेश का पालन करना सुरक्षित है। एक कमांड पूरी तरह से प्रामाणिक हो सकती है—सही डिजिटल कुंजी के साथ हस्ताक्षरित—फिर भी यदि ड्रोन के स्थान सेंसर विफल हो रहे हों, उसकी बैटरी कम हो, या संदेश भेजने वाला व्यक्ति अब विश्वसनीय न रहा हो, तो वह खतरनाक हो सकती है। यह शोध पत्र क्रिप्टोग्राफिक सुरक्षा और भौतिक सुरक्षा के बीच के अंतर को संबोधित करता है, और एक ऐसा सिस्टम प्रस्तावित करता है जो प्रत्येक इनकमिंग ऑर्डर को एक कठोर, बहु-स्तरीय जांच से गुजरने तक एक संभावित जोखिम के रूप में देखता है। शोधकर्ताओं ने एक ढांचा तैयार किया है जो एक गेटकीपर के रूप में कार्य करता है, यह सुनिश्चित करते हुए कि एक ड्रोन कभी भी किसी रिमोट निर्देश को निष्पादित न करे जब तक कि उसके उड़ान का पूरा संदर्भ, उसका स्वास्थ्य और प्रेषक के प्रति उसका विश्वास पूरी तरह से मेल न खा जाए।

यह कार्य जीपीएस-रहित वातावरणों में संचालित स्वायत्त ड्रोन झुंडों पर केंद्रित है, जहाँ सामान्य उपग्रह नेविगेशन उपलब्ध नहीं होता है। इन स्थितियों में, ड्रोन फॉर्मेशन और मिशन अखंडता बनाए रखने के लिए पियर-टू-पियर संचार और ऑनबोर्ड सेंसर पर भरोसा करते हैं। लेखक का तर्क है कि पारंपरिक सुरक्षा मॉडल, जो अक्सर डिजिटल हस्ताक्षर के सत्यापन पर ही रुक जाते हैं, भौतिक मशीनों के लिए अपर्याप्त हैं। एक हस्ताक्षर यह प्रमाणित करता है कि संदेश किसने भेजा, लेकिन यह प्रमाणित नहीं करता कि संदेश पर कार्रवाई करना सुरक्षित है या नहीं। इसे हल करने के लिए, शोधकर्ताओं ने एक "फेल-क्लोज्ड" (fail-closed) रनटाइम सुपरवाइजर विकसित किया है। यह एक सॉफ्टवेयर का हिस्सा है जो लगातार ड्रोन की आंतरिक स्थिति और इसके बाहरी वातावरण की निगरानी करता है। यह नौ अलग-अलग कारकों को देखता है, जिनमें वायरलेस कनेक्शन की गुणवत्ता, ड्रोन के अपने स्थान के अनुमान में विश्वास, बैटरी का स्तर और आदेश जारी करने वाली इकाई की विश्वसनीयता शामिल है। इन इनपुट के आधार पर, सिस्टम ड्रोन को नौ विशिष्ट सुरक्षा अवस्थाओं में से एक में असाइन करता है, जो पूर्ण विश्वास से लेकर तत्काल अलगाव तक विस्तृत है।

यह प्रणाली एक सख्त पदानुक्रम के सिद्धांत पर काम करती है। यदि ड्रोन एक महत्वपूर्ण विफलता का पता लगाता है, जैसे कि सुरक्षित सीमा से नीचे बैटरी गिरना या संचार का अचानक नुकसान होना, तो यह तुरंत एक ऐसी अवस्था में प्रवेश करता है जहाँ यह सभी रिमोट कमांड को अनदेखा कर देता है और एक पूर्व-निर्धारित सुरक्षा युद्धाभ्यास (maneuver) निष्पादित करता है, जैसे कि लैंडिंग या घर वापसी। यह निर्णय स्वचालित है और इसे रिमोट ऑपरेटर द्वारा ओवरराइड नहीं किया जा सकता है, भले ही वह ऑपरेटर प्रमाणित हो। शोधकर्ताओं ने इस लॉजिक को एक C++ सॉफ्टवेयर प्लेटफॉर्म में लागू किया और विभिन्न परिदृश्यों के विरुद्ध इसका परीक्षण किया। उन्होंने पाया कि सिस्टम ने उन कमांड्स को सफलतापूर्वक खारिज कर दिया जो तकनीकी रूप से वैध थे लेकिन संदर्भ के अनुसार असुरक्षित थे। उदाहरण के लिए, यदि ड्रोन का लोकेशन कॉन्फिडेंस एक विशिष्ट थ्रेशोल्ड से नीचे गिर जाता है, तो सिस्टम एक 'फॉर्मेशन-होल्ड' कमांड को अस्वीकार कर देगा, भले ही वह कमांड एक विश्वसनीय लीडर से आया हो और ताज़ा हो। इसी तरह, यदि सिस्टम 'रिप्ले अटैक' (replay attack) के संकेत पाता है—जहाँ भ्रमित करने के लिए एक पुराना, वैध कमांड फिर से भेजा जाता है—तो यह एक संदिग्ध अवस्था में बदल जाएगा और आगे के रिमोट कंट्रोल को ब्लॉक कर देगा।

अध्ययन का एक प्रमुख निष्कर्ष यह है कि निर्णयों के लिए "स्वास्थ्य" का एक एकल संयुक्त स्कोर पर्याप्त नहीं है। शोधकर्ताओं ने प्रदर्शित किया कि विभिन्न कारकों के एक भारित औसत (weighted average) पर भरोसा करना खतरनाक हो सकता है। उदाहरण के लिए, एक ड्रोन जिसमें उत्कृष्ट बैटरी और प्रेषक में मजबूत विश्वास है, उसमें अभी भी बहुत खराब वायरलेस कनेक्शन हो सकता है। यदि सिस्टम केवल एक औसत स्कोर को देखता, तो यह एक टूटे हुए लिंक के बावजूद कमांड को गुजरने दे सकता था। इसके बजाय, यह ढांचा 'हार्ड थ्रेशोल्ड्स' का उपयोग करता है। यदि वायरलेस लिंक एक निश्चित गुणवत्ता से नीचे गिर जाता है, या यदि प्रेषक का ट्रस्ट स्कोर एक विशिष्ट संख्या से नीचे गिर जाता है, तो सिस्टम तुरंत अधिकार को प्रतिबंधित कर देता है, चाहे अन्य नंबर कितने भी अच्छे क्यों न दिखें। यह सुनिश्चित करता है कि एक महत्वपूर्ण क्षेत्र में विफलता को दूसरे क्षेत्र की सफलता द्वारा छिपाया न जा सके। सिस्टम "टैम्पर एविडेंस" (छेड़छाड़ के साक्ष्य) को भी ट्रैक करता है, जो रिप्ले किए गए संदेशों या क्लॉक मिसमैच जैसे विभिन्न प्रकार के विसंगतियों के लिए अंक संचित करता है। यदि पर्याप्त साक्ष्य एकत्र हो जाते हैं, तो ड्रोन एक ऐसी अवस्था में चला जाता है जहाँ वह केवल अपने स्थानीय सुरक्षा सिस्टम पर भरोसा करता है।

शोधकर्ताओं ने अपने सॉफ्टवेयर फ्रेमवर्क का परीक्षण यूनिट टेस्ट और परिदृश्य सिमुलेशन के रिपॉजिटरी का उपयोग करके किया। उन्होंने पुष्टि की कि सिस्टम ने छेड़छाड़ किए गए संदेशों, रिप्ले किए गए कमांड और कम विश्वास स्कोर वाले प्रेषकों के निर्देशों को सही ढंग से खारिज कर दिया। उन्होंने इन सुरक्षा जांचों को प्रोसेस करने में लगने वाले समय को भी मापा। परिणामों ने दिखाया कि ऑथेंटिकेशन पाथ का मीडियन (median) 12.219 मिलीसेकंड था, जिसमें औसत 22.603 मिलीसेकंड था। हालांकि यह कई सॉफ्टवेयर अनुप्रयोगों के लिए पर्याप्त तेज़ है, लेखक सावधानीपूर्वक नोट करते हैं कि ये नंबर एक स्थानीय कंप्यूटर सिमुलेशन से आए हैं और वास्तविक उड़ान हार्डवेयर के लिए प्रमाणित रीयल-टाइम गारंटी का प्रतिनिधित्व नहीं करते हैं। अध्ययन स्पष्ट रूप से कहता है कि इसमें भौतिक उड़ान परीक्षण, रेडियो जैमिंग प्रयोग, या कोड की पूर्णता का औपचारिक गणितीय प्रमाण शामिल नहीं है। इसके बजाय, यह एक सॉफ्टवेयर-आधारित, गणितीय रूप से स्पष्ट मॉडल प्रदान करता है कि सुरक्षा साक्ष्य को भौतिक नियंत्रण अधिकार में कैसे परिवर्तित किया जाना चाहिए।

इस फ्रेमवर्क में आपातकालीन कमांड के लिए एक विशेष अपवाद भी शामिल है। यदि किसी कमांड को 'इमरजेंसी लैंडिंग' के रूप में चिह्नित किया जाता है, तो सिस्टम इसे सामान्य विश्वास और फ्रेशनेस चेक को बायपास करने की अनुमति देता है, बशर्ते कि संदेश ने प्रारंभिक क्रिप्टोग्राफिक सत्यापन पास कर लिया हो। यह डिज़ाइन विकल्प सख्त प्रोटोकॉल अनुपालन के बजाय तत्काल भौतिक सुरक्षा को प्राथमिकता देता है, यह स्वीकार करते हुए कि संकट में, एक सत्यापित लैंडिंग कमांड, आगे की पुष्टि के लिए प्रतीक्षा करने के कमांड से अधिक महत्वपूर्ण है। हालाँकि, यह अपवाद कड़ाई से नियंत्रित है; यह तभी काम करता है जब संदेश सुरक्षित, प्रमाणित चैनल के माध्यम से आता है। शोधकर्ता इस बात पर जोर देते हैं कि यह इमरजेंसी ओवरराइड एक जानबूझकर बनाया गया 'ट्रस्ट बाउंड्री' है जिसे सावधानीपूर्वक प्रबंधित किया जाना चाहिए।

अंततः, यह कार्य प्रदर्शित करता है कि स्वायत्त मशीनों के लिए, सुरक्षा केवल हैकर्स को बाहर रखने के बारे में नहीं है; यह इस बारे में है कि मशीन को यह पता होना चाहिए कि कब "ना" कहना है। प्रस्तावित सिस्टम एक 'डिफेंस-इन-डेप्थ' श्रृंखला बनाता है जहाँ एक कमांड को अपने मोटर्स को प्रभावित करने से पहले ऑथेंटिकेशन, फ्रेशनेस चेक, ट्रस्ट इवैल्यूएशन और सेफ्टी कंस्ट्रेंट्स से गुजरना पड़ता है। "यह किसने भेजा" के प्रश्न को "क्या हमें यह करना चाहिए" से अलग करके, शोधकर्ताओं ने एक ऐसा मॉडल बनाया है जो स्वायत्त झुंडों को साइबर हमलों और भौतिक विफलताओं दोनों के प्रति अधिक लचीला बना सकता है। अध्ययन निष्कर्ष निकालता है कि जबकि सॉफ्टवेयर लॉजिक सुदृढ़ है और असुरक्षित कमांड को खारिज करना नियतार्थ (deterministic) है, इस दृष्टिकोण का पूर्ण सत्यापन भविष्य के हार्डवेयर परीक्षण और वास्तविक दुनिया के प्रतिकूल परिदृश्यों की आवश्यकता को दर्शाता है। फिलहाल, यह एक स्पष्ट, सॉफ्टवेयर-आधारित ब्लूप्रिंट के रूप में खड़ा है कि स्वायत्त सिस्टम कैसे अपनी सुरक्षा बनाए रख सकते हैं जब उनके आसपास की दुनिया अनिश्चित हो जाती है।