VDL Mode 2 e DSC, aerei e navi oggi comunicano (e si ascoltano) così

Ci sono due novità interessanti dal mondo dei software per la decodifica delle varie modalità di comunicazione dati via radio ed entrambe riguardano la navigazione, aerea e marittima. La prima si riferisce al protocollo VDL mode 2 o VDL-2 (VHF Data Link), il protocollo ad alta velocità inserito nel quadro di evoluzione verso ATN, Aeronautical Telecommunications Network, un ambiente integrato che permetterà a velivoli e torri di controllo di comunicare tra loro utilizzando la fonia (a tendere digitalizzata) e, appunto, i dati. Il punto di partenza di questo percorso è stato il sistema ACARS, introdotto la prima volta oltre 30 anni fa accanto alle tradizionali comunicazioni voce nella banda areonautica VHF (116-137 MHz). VDL-2 non sostituisce ACARS, che continua a essere utilizzato dai velivoli più vecchi, ma da almeno una decina d'anni viene gradualmente adottato dalle compagnie aeree. 

Oggi è possibile decodificarlo grazie al programma MultiPSK, o meglio grazie a una beta di questo software che ha cominciato a circolare (forse per colpa di un leak con qualche anticipo rispetto alla volontà dell'autore Patrick Lindecker F6CTE). VDL-2 utilizza una modulazione D8PSK (la classe di emissione è formalmente pari a 14K0G1DE) su canali di 25 kHz di larghezza di banda. Il symbol rate equivale a 10500 simboli/s ± 50 ppm, per un bit rate nominale di 31500 bit/s. Aldo Moroni ha provato la versione MultiPSK abilitata (oltre che alla decodifica del tradizionale ACARS) al VDL-2 e utilizzando una chiavetta RTL-SDR e una antenna a dipolo incrociato sui 136,975 ha registrato le tracce di numerosi aerei in un raggio di 350 km (nell'immagine questi vengono tracciati direttamente sulla carta geografica da MultiPSK):

Una descrizione tecnica di VDL Mode 2 si trova in questo documento ETSI. La beta del software si può prelevare a questo indirizzo, ma la versione ufficiale di MultiPSK è per il momento la 4.25.1.

La seconda è una vera novità ed è rivolta al mondo della navigazione marittima e a un altro protocollo di comunicazione automatica, il DSC o Digital Selective Calling. Il DSC è stato implementato nel quadro del Global Maritime Distress and Safety System (GMDSS) per consentire la massima automazione e la chiarezza dei messaggi nelle chiamate di soccorso e sicurezza tra navi e stazioni costiere. Concettualmente qualcosa di molto simile all'ACARS. Il nuovo programma, che si chiama YADD, Yet another DSC Decoder, viene dallo stesso autore di YAND - Yet another Navtex decoder, utilizzato per la decodifica dei bollettini Navtex sulle frequenze MF di 490, 518 e altre - Dirk Claessens. Trovate un diario molto emozionante dello sviluppo di YADD, che ha richiesto appena tre mesi, sul blog di uno dei suoi betatester, il radioamatore britannico John Pumford-Green GM4SLV. Anche nel caso di DSC potete trovare un documento tecnico molto dettagliato nella libreria dell'ITU.

YADD (DSC) viene quindi dopo YAND (Navtex) ed entrambi possono essere scaricati sia dal sito del loro autore, sia dalla sezione Datamodes del sito informativo collegato alla lista dei radiofaristi, NDBList.

Se l'hacker sale a bordo: polemiche sulle vulnerabilità dei sistemi di controllo e radiocomunicazione in volo.

L'eventualità di un hacker o di un terrorista che riuscisse a penetrare all'interno dei sistemi di avionica a bordo degli aerei e dei canali di comunicazione che oggi legano il traffico nei cieli al controllo di terra (ATC) è effettivamente inquietante e il sito di Repubblica di oggi fa bene a rilanciare la notizia, apparsa la scorsa settimana, della presentazione - ad Amsterdam, in occasione della conferenza Hack in the box - del lavoro di un esperto di sicurezza tedesco, Hugo Teso, dedicato alle vulnerabilità del sistema di bordo FMS (flight management system) e dei due protocolli, ADS-B e ACARS (Automatic dependent surveillance-broadcast e Aircraft Communications Addressing and Reporting System), da cui dovrebbe partire una radicale riforma del modo di gestire i voli e le comunicazioni terra-aria.

Per una volta il quotidiano non si lancia nella solita tirata catastrofista, lasciando credere che i nostri arei sono tutti preda dei pirati informatici, anche se la cronaca è giocoforza sommaria e può portare a qualche conclusione affrettata. Ma è bene che si discuta della questione per arrivare ai futuri assetti - il SESAR (Single European Sky ATM Research) in Europa e il Next Generation Air Transportation System negli USA, per il controllo, e l'Aeronautical Telecommunication Network come sistema integrato di comunicazioni dati - con tutte le barriere di autenticazione e sicurezza al loro posto.

Nel suo intervento, Teso mette in evidenza i punti deboli del sistema di pianificazione e controllo - FMS - in tempo reale delle rotte di cui sono equipaggiati praticamente tutti gli aerei a partire da una certa dimensione e altitudine. Sul fronte della sorveglianza/posizionamento e delle comunicazioni l'esperto ha invece analizzato il sistema ADS-B (che invia continuamente verso terra e verso altri velivoli i dati relativi alla posizione geografica e alla quota) e il protocollo di comunicazione ACARS,  che affianca le tradizionali comunicazione voce per inviare a terra, sia alla torre di controllo, sia alle compagnie aeree, informazioni ancora più dettagliate su posizione, rotta, carico, richieste varie... Il primo permetterebbe violazioni di tipo passivo (il banale intercettamento dei dati trasmessi a 1090 MHz) e attivo (disturbi, sovrapposizioni, "iniezione" di dati fasulli). Il secondo, a causa dell'assenza di autenticazioni, sussisterebbe secondo Teso la possibilità di ingannare direttamente l'FMS di bordo confezionando opportuni messaggi inseriti attraverso il sistema informatico di raccolta dei cosiddetti Data-link service provider. In teoria sarebbe possibile operare anche in HF, oltre che in VHF in banda areonautica o sulle frequenze SATCOM. Teso spiega di aver utilizzato sistemi SDR (la sua presentazione fa esplicito riferimento alla scheda Ettus Research e al lavoro svolto in ambito da RTL-SDR dall'australiano Balint Seeber) e di aver effettuato test su apparati FMS acquistati su eBay. Nel corso della conferenza è stata eseguita anche una vera e propria dimostrazione attraverso una app Android, abilmente manovrata per dirottare un aereo virtuale su un network di simulatori di volo. In conclusione è stato lo stesso esperto a invocare l'implementazione di robusti sistemi di autenticazione e sicurezza per i futuri sistemi di controllo del volo, sistemi che dovrebbero cominciare a entrare in funzione su ampia scala già a partire dal 2014.

Dopo che Forbes e molti siti di sicurezza informatica (qui l'articolo di Naked Security) hanno rilanciato l'allarme, Tanto la FAA americana che l'EASA, l'agenzia europea per la sicurezza del volo si sono affrettate a rilasciare dichiarazioni in senso opposto, sottolineando che nelle sue demo Teso ha preso di mira sistemi software e hardware diversi da quelli certificati a bordo degli aerei. Un altro esperto, il canadese Brad Haines, è però intervenuto per ricordare di aver raggiunto le stesse identiche conclusioni di Teso già un anno fa. La sua presentazione si può in effetti trovare su Scribd.com e i contenuti sono molto simili, inclusa la parte che riguarda le risorse software defined radio utilizzate per intercettare (e forse manipolare) l'ADS-B. Dopo aver letto della presentazione a Hack in the box, Haines è tornato sulla questione sfidando le autorità a consentire una serie di test dal vivo per dimostrare la reale fattibilità o non fattibilità di un attacco. L'esperto di sicurezza canadese osserva giustamente che non è solo una questione di protocolli violabili, il problema sta anche nei piloti e nei controllori di volo che non vengono semplicemente addestrati a gestire un possibile tentativo di hackeraggio. Haines dice tra l'altro di aver cominciato a studiare seriamente la questione dei droni radiocomandati, ormai all'ordine del giorno. I droni sono già entrati nelle cronache dei possibili "exploit" delle vulnerabilità dopo la misteriosa "cattura" di un drone americano da parte degli iraniani. Lo stesso Teso, che in Germania lavora con la società di sicurezza informatica nRuns, ha pubblicato sul suo blog (dove si trova anche un utile glossario con molti dei termini citati nella presentazione e qui sul mio post), un ulteriore chiarimento scritto, per precisare che le vulnerabilità non riguardano i software dei simulatori di volo, ma i sistemi commerciali montati a bordo dei velivoli di linea e che l'impiego che è stato fatto delle comunicazioni ACARS non era di per sé un "attacco", ma il semplice uso di una risorsa di comunicazione.

Ovviamente non sono un pilota, un controllore di volo o un esperto di sicurezza delle comunicazioni e delle reti, ma posso fare qualche considerazione sulla base della mia conoscenza "sul campo" delle comunicazioni areonautiche, lasciando a esperti più autorevoli (come David Cenciotti di The Aviationist) un ulteriore diritto di approfondimento. L'attuale situazione del sistema ACARS sembra effettivamente essere abbastanza vulnerabile nelle sue definizioni di base, ma esistono produttori come Honeywell che promuovono soluzioni come Secure ACARS, probabilmente dotate di layer di sicurezza aggiuntivi. 

With Secure ACARS - scrive per esempio Honeywell - commercial airlines and aircraft owners realize significant operational benefits, including:
Confidence in the Sender - Authentication provides message recipients with assurance that the message source is as claimed.
Confidence in the Received Data - Message digests offer greater data integrity than CRCs.
Protected Data - Encryption protects airline proprietary and passenger sensitive message content from disclosure to unauthorized entities.

Il discorso di ADS-B è più complesso. Il sistema nasce dalla volontà di modificare l'approccio al monitoraggio del volo basato su una tecnologia radar che integra una componente primaria e una secondaria a sua volta strutturata in più "gradazioni". Il radar primario rileva un oggetto in volo sul cui guscio esterno rimbalza il segnale radio a microonde inviato dall'antenna del radar stesso. In uno spazio commerciale e militare così affollato, è stato introdotto anche un sistema di identificazione secondaria che prevede l'attivazione di un trasmettitore installato anche a bordo dell'aereo. Questo transponder, o ATCRBS (air traffic control radar beacon system), riceve un segnale di "interrogazione" da un Secondary Surveillance Radar installato a terra (in genere l'antenna SSR è direttamente integrata sull'antenna primaria, più altre antenne che inviano segnali di riferimento) che opera oggi sulla frequenza di 1030 MHz. Considerando che un segnale di interrogazione può determinare la risposta da parte di uno o più velivoli nello stesso settore di cielo, l'SSR è stato man mano reso più preciso grazie all'adozione del sistema Mode-S che abilita una sorta di chiamata selettiva rendendo più sicura l'identificazione degli aerei. Mode-S utilizza per questo una serie di segnali di riferimento che aiutano il radar di terra a discriminare meglio gli echi di ritorno ma anche un codice di identificazione, concettualmente molto simile all'indirizzo fisico MAC di un dispositivo connesso a una rete IP, o a un IMEI della rete cellulare. Abbinata al Mode-S c'è per esempio la rilevazione GPS della posizione dell'aereo. 

ADS-B compie un passo in più rispetto al Mode-S rovesciando il punto di vista della sorveglianza del volo: teoricamente nel Next Generation Air Transportation System non è più l'abbinamento radar primario/radar secondario a rilevare una posizione, ma lo stesso aereo ad "annunciare" - alla torre di controllo come a tutti gli altri velivoli vicini - la sua presenza in un dato punto, con evidenti finalità anti-collisione e di gestione del traffico. Per certi versi questo cambiamento - pensato per rendere molto più flessibile la scelta degli itinerari di volo, che non dovranno più coincidere con "routes" (corridoi) e "flight levels" predefiniti - rende indispensabile la necessità di un robusto meccanismo di autenticazione. Per la verità, come si è visto il problema non è per niente nuovo. Ben prima di Teso e Haines ci sono stati casi in cui la sicurezza di ADS-B veniva messa in questione. E ci sono anche diverse proposte sul piatto, incluso un brevetto abbastanza recente  (2010) della NASA (nr. US 7730307 B2). In attesa che gli enti regolatori prendano le loro decisioni, sarebbe il caso di fare molta chiarezza nei confronti dell'opinione pubblica. Le stesse compagnie aeree dovrebbero promuovere una maggiore conoscenza dei meccanismi che si nascondo dietro un sistema tanto complicato. L'avionica e gli apparati di comunicazione non sono meno meritevoli dei motori e delle parti meccaniche di ogni possibile misura cautelativa. Non è facile informare su queste cose in modo equilibrato e privo di allarmismi assolutamente deleteri sull'economia del trasporto aereo, ma la piena e realistica consapevolezza dei rischi è un primo, importantissimo passo.