Practical Spoofing Attacks against Galileo OSNMA with Time-Synchronization Manipulation

Stel je voor dat je je de weg probeert te vinden met een magische, onzichtbare kaart die vanuit de sterren naar beneden wordt gestraald. Dit is hoe Global Navigation Satellite Systems (GNSS), zoals Europa's Galileo, werken voor je telefoon of auto. Ze sturen een constante stroom van digitale "fluisteringen" uit die precies vertellen waar je bent en hoe laat het is. Maar omdat deze fluisteringen publiek zijn, kan een sluwe bedrieger doen alsoen dat hij een satelliet is en valse coördinaten roepen om je naar de verkeerde plek te leiden. Om dit te voorkomen, heeft het Galileo-systeem een speciale beveiligingsfunctie toegevoegd genaamd OSNMA. Denk aan OSNMA als een hoogtechnologische zegel van goedkeuring op elke boodschap. Het gebruikt een geheime code die in de loop van de tijd verandert; de satelliet stuurt de boodschap nu, maar de sleutel om deze boodschap te ontcijferen en te verifiëren arriveert iets later. Als de sleutel overeenkomt met de boodschap, weet je dat deze echt is.

Er zit echter een addertje onder het gras: voor dit beveiligingssysteem te laten werken, moet je apparaat (de ontvanger) over een zeer nauwkeurige interne klok beschikken. Het moet de "officiële" tijd goed genoeg kennen om te controleren of de vertraagde sleutel op het juiste moment is gearriveerd. Als je klok veel afwijkt, gaat het systeem ervan uit dat de boodschap nep is en gooit deze weg. Dit artikel onderzoekt een slim lek in die regel voor het controleren van de klok. De onderzoekers ontdekten dat als een bedrieger zowel je interne klok kan manipuleren als tegelijkertijd een vals signaal kan uitzenden, hij het beveiligingssysteem kan misleiden tot te denken dat alles perfect gesynchroniseerd is, terwijl zowel de tijd als de locatie volledig onjuist zijn. Het is alsof een dief een bewaker ervan overtuigt dat de klok aan de muur correct is, terwijl hij tegelijkertijd een vals identiteitsbewijs overhandigt dat bij die verkeerde tijd past.

De Grote Klokroof

In dit onderzoek besloot een team van onderzoekers van de Xidian Universiteit in China om te kijken of ze de nieuwe beveiligingsbewaker van het Galileo-systeem konden breken. Ze probeerden niet de geheime codes zelf te kraken — dat is met de huidige technologie wiskundig onmogelijk. In plaats daarvan keken ze naar de regels die de bewaker gebruikt om te beslissen wie er binnen mag komen. De bewaker heeft een strikte regel: "De tijd op je horloge moet binnen 30 seconden van de officiële tijd van de satelliet liggen." Als je horloge meer dan 30 seconden afwijkt, zegt de bewaker: "Nee, je bent te verward om vertrouwd te worden," en negeert hij je.

De onderzoekers realiseerden zich dat de bewaker alleen controleert of jouw horloge overeenkomt met de tijd van de satelliet, en niet of jouw horloge daadwerkelijk correct is in vergelijking met de echte wereld. Dit leidde tot een sluwe strategie die zij "Artificially Manipulated Time Synchronization" (ATS) noemen. Stel je voor dat je probeert een club binnen te gaan met een strenge uitsmijter. De uitsmijter zegt: "Je horloge moet overeenkomen met de klok aan de muur." Als je binnenkomt met een horloge dat 14:00 uur aangeeft en de klok aan de muur zegt 14:05 uur, kom je binnen. Maar wat als de uitsmijter wordt misleid? Wat als je stiekem de klok aan de muur op 14:00 uur zet voordat je je horloge laat zien? Nu komt jouw 14:00 uur horloge overeen met de 14:00 uur klok aan de muur, en laat de uitsmijter je binnen, ook al is de echte tijd eigenlijk 17:00 uur. Dat is precies wat de onderzoekers met de Galileo-ontvangers hebben gedaan.

De Drie Trucs van het Vak

Met behulp van deze "ATS"-truc bouwde het team drie verschillende manieren om het systeem te misleiden, die ze testten op echte commerciële apparaten en open-source software-ontvangers.

1. De Tijdreis-replay (TSR)
Eerst probeerden ze een "Tijdreis-replay". Normaal gesproken, als je een satelliet signaal van gisteren opneemt en vandaag afspeelt, wijst de ontvanger het af omdat de tijd op het signaal (gisteren) niet overeenkomt met de huidige tijd van de ontvanger (vandaag). Maar met de ATS-truk hackten de onderzoekers eerst de interne klok van de ontvanger zodat deze dacht dat het gisteren was. Daarna speelden ze de oude opname af. De ontvanger controleerde de tijd, zag dat de "gehackte" klok perfect overeenkwam met het "oude" signaal, en accepteerde de oude locatie blij met beide handen. In hun experimenten slaagden ze erin om signalen af te spelen die tot 150 seconden oud waren, en slaagden ze er zelfs in om een ontvanger te misleiden door te laten geloven dat het twee dagen in het verleden was, terwijl het beveiligingssysteem een duim omhoog gaf.

2. De Identiteitsvervalsing (TSF)
Vervolgens wilden ze meer doen dan alleen oude signalen afspelen; ze wilden compleet nieuwe valse locaties creëren. Dit is de "Forgery" (vervalsing) aanval. De onderzoekers bouwden een systeem om volledig valse satelliet-signalen te genereren voor een locatie naar keuze — bijvoorbeeld een geheime basis midden in de oceaan. Het moeilijke deel was om de beveiligingscodes er echt uit te laten zien. Omdat ze geen nieuwe geheime sleutels konden verzinnen, gebruikten ze "gestolen" sleutels van eerdere uitzendingen (die openbaar zijn) om hun valse berichten te ondertekenen. Door deze oude sleutels te combineren met hun gehackte ontvangerklok, creëerden ze een "Valse Signaal" dat er perfect geldig uitzag. Ze slaagden erin ontvangers te misleiden om te geloven dat ze op specifieke valse coördinaten waren, zoals (20° N, -51° W), en op een specifiek tijdstip in het verleden, terwijl ze de beveiligingscontrole passeerden.

3. De Dubbele Misleiding (TSDF)
Ten slotte zijn moderne ontvangers slim; ze luisteren naar twee verschillende radiobanden (E1 en E5b) om er zeker van te zijn dat ze niet worden misleid. Als je de ene vervalst maar de andere niet, vangt de ontvanger je. Dus creëerden de onderzoekers een "Dual-Frequency Forgery" (dubbele frequentie vervalsing). Ze gebruikten twee apparaten om gelijktijdig valse signalen op beide banden uit te zenden, waarbij ze ervoor zorgden dat de valse locaties en tijden op beide banden perfect overeenkwamen. Het was als een goochelaar die twee identieke konijnen uit twee verschillende hoeden tegelijkertijd trekt. Hun tests toonden aan dat zelfs deze slimme, dual-band ontvangers werden misleid en de valse positie en tijd als authentiek accepteerden.

De Resultaten en de Realiteitscheck

Het team testte deze trucs in een echte laboratoriumsetting met echte Galileo-ontvangers van bedrijven zoals Septentrio en u-blox, evenals open-source software. De resultaten waren duidelijk: elke aanval werkte. De ontvangers accepteerden de valse signalen, bestonden de OSNMA-beveiligingscontrole en berekenden de verkeerde positie en tijd alsof het de waarheid was.

De onderzoekers waren echter voorzichtig om de grenzen van hun magie aan te geven. Om dit te kunnen uitvoeren, moet de aanvaller dicht bij het slachtoffer zijn (binnen enkele meters in hun tests) en een sterk genoeg signaal hebben om de echte satellieten te overstemmen. Ze merkten ook op dat de "Forgery" aanval alleen een locatie kan sturen naar een tijd in het verleden — specifiek een tijd waarvan de geheime sleutels al zijn onthuld. Je kunt dit niet gebruiken om iemand naar een toekomstige datum of een locatie te sturen waar de sleutels nog niet zijn gedeeld.

Het artikel concludeert dat hoewel de cryptografie van het Galileo-systeem sterk is, de manier waarop het vertrouwt op de interne klok van de ontvanger een kwetsbaarheid creëert. Als een aanvaller die klok kan manipuleren, kan het hele beveiligingssysteem worden omzeild. De onderzoekers suggereren dat het oplossen hiervan kan gebeuren door meer veilige manieren te gebruiken om de tijd te verkrijgen (zoals versleutelde netwerkprotocollen) of door de beveiligingssleutels specifiek te maken voor een geografisch gebied, zodat ze niet elders kunnen worden hergebruikt. Voor nu hebben ze aangetoond dat de "bewaker" bij de deur kan worden misleid als de "klok" aan de muur gemanipuleerd is.