En radio kan modtage et signal, der er for svagt. Den kan blive overdøvet af støj. Den kan høre en transmission, som ikke var beregnet til den. Og i nogle systemer kan det mest alvorlige problem være, at modtageren accepterer et signal, som slet ikke kommer fra den afsender, den tror.
Det er her radioteknik og informationssikkerhed mødes.
Begreber som jamming, spoofing og replay dukker ofte op i historier om trådløs sikkerhed. De bliver let blandet sammen, men beskriver forskellige problemer.
Fælles for dem er et grundlæggende vilkår ved radio: Signalet bevæger sig gennem et åbent fysisk miljø. Der ligger ikke et kabel mellem sender og modtager, som man nødvendigvis skal have adgang til først.
En radiosender kan i princippet høres af alle kompatible modtagere inden for rækkevidde. Det betyder ikke, at alle kan forstå eller manipulere kommunikationen. Kryptering, autentificering og andre sikkerhedsmekanismer kan beskytte systemet, selv om selve radiosignalet kan modtages.
Jamming: Når signalet drukner
Jamming er grundlæggende et spørgsmål om at forstyrre radiomodtagelsen.
En modtager skal kunne skelne det ønskede signal fra støj og andre signaler. Hvis interferensen bliver kraftig nok i forhold til det signal, modtageren forsøger at høre, kan kommunikationen blive dårlig eller helt forsvinde.
Det kan sammenlignes med en samtale i et rum. Hvis to mennesker taler sammen, kan de normalt forstå hinanden. Starter en kraftig maskine ved siden af dem, bliver ordene vanskeligere at høre.
Radioen har det samme grundlæggende problem: Modtageren skal kunne finde informationen blandt alt det andet, der når antennen.
Ikke al radiointerferens er jamming i betydningen bevidst forstyrrelse. Elektronisk udstyr, fejlbehæftede installationer, andre radiosendere og signaler på nærliggende frekvenser kan også forringe modtagelsen. Resultatet kan ligne hinanden for brugeren, selv om årsagen er helt forskellig.
Spoofing: Når det forkerte signal ser rigtigt ud
Spoofing er mere raffineret.
I stedet for blot at forhindre modtageren i at få information forsøger man at få den til at acceptere falsk information som ægte.
Forskellen er vigtig.
Ved jamming kan et system eksempelvis opdage, at det ikke længere har et brugbart signal. Ved vellykket spoofing kan systemet fortsætte med at fungere – men på et forkert grundlag.
GNSS-systemer som GPS er et godt eksempel. En satellitnavigationsmodtager bruger radiosignaler til at beregne blandt andet position og tid. Hvis de korrekte signaler forstyrres kraftigt, kan modtageren miste sin positionsbestemmelse. Hvis den derimod påvirkes af falske signaler, kan problemet i princippet være, at den beregner en position eller tid, som ikke er korrekt.
Jamming: Modtageren får vanskeligere ved at modtage det ønskede signal.
Spoofing: Modtageren påvirkes til at acceptere falsk information som legitim.
Den første angriber typisk tilgængeligheden af signalet. Den anden angriber tilliden til informationen.
Hvorfor er GNSS særligt interessant?
Satellitnavigation er radioteknisk fascinerende, fordi signalerne har rejst omkring 20.000 kilometer fra satellitterne, før de når en GPS-modtager på Jorden.
Det betyder, at de modtagne signaler er meget svage.
Alligevel kan en lille modtager i en bil, telefon eller håndholdt GPS-enhed bruge signalerne til at beregne position og tid.
Men netop afhængigheden af svage radiosignaler betyder også, at GNSS kan påvirkes af radiointerferens. Det er en af årsagerne til, at kritiske anvendelser ikke bør betragte satellitnavigation som en magisk og ufejlbarlig positionskilde.
GNSS bruges ikke kun til at vise en position på et kort. Præcis tidsinformation fra satellitsystemerne anvendes også i forskellige tekniske infrastrukturer. Derfor kan problemer med GNSS have betydning for andet end navigation.
Replay: Når gårsdagens signal bliver sendt igen
En tredje type problem er replay.
Forestil dig et simpelt trådløst system, hvor en fjernbetjening sender den samme kommando hver gang en bestemt funktion aktiveres.
Hvis systemet alene kontrollerer, om den modtagne radiosignalering matcher den forventede kommando, opstår et oplagt spørgsmål:
Hvad sker der, hvis en tidligere gyldig transmission dukker op igen?
Et replay-angreb bygger på netop dette princip: Tidligere transmitteret information registreres og præsenteres senere igen med henblik på at få systemet til at acceptere den som en ny, legitim transmission.
Hvis en trådløs adgangskontrol altid accepterer præcis den samme radiomeddelelse som bevis på, at en handling er godkendt, kan en kopi af en tidligere gyldig transmission blive et sikkerhedsproblem. Derfor skal moderne sikkerhedssystemer kunne skelne mellem en gammel transmission og en ny legitim handling.
Rolling codes: Når koden ikke står stille
En måde at gøre simple replay-angreb vanskeligere på er at undgå, at den samme gyldige kode anvendes igen og igen.
Det er idéen bag rolling codes.
Sender og modtager følger en mekanisme, hvor den accepterede kode ændres mellem transmissionerne. En gammel optaget kode bør derfor ikke uden videre kunne genbruges senere.
Det lyder enkelt, men den praktiske implementering betyder meget. Sender og modtager skal blandt andet kunne holde sig tilstrækkeligt synkroniserede, samtidig med at systemet ikke må acceptere gamle værdier på en måde, der underminerer beskyttelsen.
En sikkerhedsmekanisme er kun så stærk som den konkrete implementering. Der findes dokumenterede eksempler på produkter, hvor fejl i håndteringen af skiftende koder har gjort replay-lignende angreb mulige. Derfor er det ikke nok, at et produkt blot beskrives som et "rolling code"-system.
Aflytning er noget andet
Hvis en uvedkommende kan modtage en radiotransmission, taler vi om et andet problem.
Radiobølger stopper ikke ved døren til det rum, hvor kommunikationen foregår. Hvis et signal kan modtages uden for det tiltænkte område, kan andre i princippet også registrere transmissionen.
Men at kunne modtage et radiosignal er ikke det samme som at kunne forstå indholdet.
Et digitalt signal kan have en protokol og kodning, der skal forstås. Og hvis informationen er korrekt krypteret, kan selve indholdet være beskyttet, selv om transmissionen kan registreres.
En antenne og modtager kan måske registrere, at der foregår en transmission. Det fortæller ikke nødvendigvis, hvad der bliver kommunikeret. Signaltype, protokol, kodning og eventuel kryptering er separate lag oven på selve radiotransmissionen.
Kryptering skjuler indholdet
Kryptering bruges til at gøre information ulæselig for personer eller systemer, der ikke har den nødvendige nøgle.
Det er vigtigt i trådløse systemer netop fordi transmissionsmediet er åbent. Man kan ikke altid forhindre andre i at modtage radiobølgerne, men man kan forsøge at forhindre dem i at få noget meningsfuldt ud af informationen.
Kryptering løser imidlertid ikke alle sikkerhedsproblemer.
Det er muligt at forestille sig et system, hvor indholdet er hemmeligt, men hvor modtageren stadig mangler en sikker måde at afgøre, om beskeden faktisk kommer fra den rigtige afsender.
Her kommer autentificering ind i billedet.
Kryptering beskytter informationens fortrolighed: Hvem kan læse indholdet?
Autentificering handler om tillid til identiteten eller meddelelsens oprindelse: Er den anden part eller beskeden virkelig den, systemet forventer?
Robuste trådløse systemer kan have behov for begge dele.
Kan et krypteret radiosystem stadig forstyrres?
Ja.
Kryptering beskytter informationen, men den ændrer ikke det grundlæggende forhold, at kommunikationen foregår ved hjælp af elektromagnetiske signaler.
Hvis modtageren ikke længere kan skelne det ønskede signal fra kraftig interferens, hjælper det ikke meget, at de data, som den ikke kan modtage korrekt, er fremragende krypteret.
Det viser en vigtig forskel mellem radiosikkerhed og almindelig datasikkerhed.
Man skal både tænke på informationen og på den fysiske radioforbindelse.
En radioforbindelse kan være fortrolig, fordi indholdet er krypteret, men stadig kunne forstyrres. Den kan have et kraftigt og stabilt signal, men mangle beskyttelse af indholdet. Og den kan både have god modtagelse og kryptering, men stadig være dårligt konstrueret med hensyn til autentificering. "Sikker radio" er derfor ikke én enkelt egenskab.
Hvorfor kan man ikke bare blokere det falske signal?
En modtager ser ikke verden på samme måde som et menneske.
Den modtager elektromagnetisk energi og forsøger ud fra signalets egenskaber og den anvendte protokol at afgøre, hvad informationen betyder.
Hvis et system ikke har en mekanisme til at kontrollere signalets autenticitet, kan det være vanskeligt at skelne mellem en legitim transmission og en falsk transmission, der efterligner de forventede egenskaber.
Det er derfor moderne kommunikationssikkerhed ikke kun handler om at gøre radiosignalet svært at efterligne. Sikkerheden bygges ofte ind i selve protokollen og den kryptografiske behandling af informationen.
Signalstyrke fortæller noget om, hvor meget radioenergi modtageren registrerer. Den fortæller ikke i sig selv, om informationen kommer fra en legitim afsender. Fysisk modtagelse og digital tillid er to forskellige spørgsmål.
Radioens styrke er også dens udfordring
Det fantastiske ved radio er, at vi kan kommunikere uden en fysisk forbindelse mellem sender og modtager.
Det er samtidig årsagen til mange af de sikkerhedsproblemer, der er særlige for trådløse systemer.
Signalet bevæger sig gennem omgivelserne. Andre signaler kan være til stede samtidig. En uvedkommende modtager kan måske høre transmissionen. Og et dårligt designet system kan have svært ved at afgøre, om den information, det modtager, virkelig skal accepteres.
Derfor findes der heller ikke én enkelt løsning kaldet "radiosikkerhed".
Robuste systemer kan kombinere flere mekanismer: god frekvensplanlægning, modstandsdygtig signalbehandling, kryptering, autentificering, beskyttelse mod genbrug af gamle meddelelser og procedurer for, hvad systemet skal gøre, når kommunikationen ikke længere kan betragtes som pålidelig.
Jamming: Det ønskede signal bliver forstyrret.
Spoofing: Falsk information forsøges præsenteret som legitim.
Replay: En tidligere gyldig transmission genbruges.
Aflytning: En uvedkommende modtager en transmission, som ikke var tiltænkt vedkommende.
Når radioen ikke bare skal kunne høres – men også kunne stoles på
I klassisk radiokommunikation taler vi ofte om rækkevidde, antenner, sendeeffekt, modulation og signalstyrke.
Digitale radiosystemer tilføjer et andet spørgsmål:
Kan vi stole på den information, der kommer gennem radioforbindelsen?
Det er forskellen mellem at få et signal frem og at bygge et sikkert kommunikationssystem.
Jamming, spoofing og replay viser problemet fra hver sin side. Ét angreb kan forsøge at fjerne signalet. Et andet kan forsøge at erstatte sand information med falsk. Et tredje kan genbruge noget, der engang var legitimt.
Radioen gør det muligt at kommunikere gennem luften uden kabler og fysiske forbindelser.
Men netop fordi luften er åben for alle, skal moderne radiosystemer kunne mere end blot at sende og modtage.
De skal også kunne afgøre, hvad de tør stole på.
En god radioforbindelse handler traditionelt om: "Kan du høre mig?" I et sikkert digitalt radiosystem kommer et ekstra spørgsmål oveni: "Hvordan ved du, at det virkelig er mig?"
Copyright © Kinaradio.dk