Studie av beroendet i samhället av satellit-navigationssystem /2005. Studie av beroendet i samhället av satellitnavigationssystem

Transkript

1 Studie av beroendet i samhället av satellitnavigationssystem Patrik Nilsson /2005 1

2 Förord Krisberedskapsmyndigheten har genomfört en studie över samhällets beroende av de tjänster som olika satellitnavigeringssystem erbjuder. Syftet med studien är att få en samlad bild av beroendet av satellitnavigeringssystem i samhället samt att belysa effekten vid ett bortfall av systemens funktionalitet. Användningen av de tjänster som satellitnavigeringssystemen erbjuder har ökat kraftigt i samhället. Under de närmaste åren kommer ytterligare system att driftsättas vilket innebär att tillgängligheten till de tjänster som erbjuds ökar ytterligare samt att nya tjänster tillkommer. Med hjälp av satellitnavigeringssystem kan en stor noggrannhet uppnås vid positionering, dessutom kan information om hastighet och tid erhållas med stor tillgänglighet. Tjänsterna finns implementerade i många användarsystem. Krisberedskapsmyndigheten genomför studien därför att effekterna av en tänkbar attack mot civil användning av GPS och de motåtgärder som bör nyttjas idag inte är utredda. Hotet mot den civila användningen av GPS har uppmärksammats internationellt och flera studier har genomförts och publicerats. Åtskilliga av förutsättningarna och slutsatserna i dessa studier är giltiga och relevanta för svenska förhållanden. En nackdel med de genomförda studierna är att de till vissa delar underskattar de tekniska möjligheterna att störa en GPS-mottagare och dess användning varför denna studie tar upp detta perspektiv. Studien redovisar även en aktörsbeskrivning samt sannolikheten för att en tänkbar illasinnad aktör verkställer hoten och genomför en attack eller störning som kan påverka samhället. Underlag till studien har inhämtats från Totalförsvarets forskningsinstitut, Säkerhetspolisen, Försvarsmakten samt ett antal myndigheter och företag som har ansvar för verksamhet som använder GPS-tjänster i samhället. Staffan Karlsson Enhetschef informationssäkerhets- och analysenheten 2

3 Innehåll 1 Sammanfattande slutsatser 5 2 Inledning 10 3 GNSS Galileo Modernisering av GPS Internationellt kunskapsläge Vulnerability assessment of the transportation infrastructure relying on the Global Positioning System GPS Risk Assessment Study Final Report Radionavigation Systems Task Force Ansvar Civil Global Positioning System Service Interface Committee Radionavigeringsnämnden Hotbild - Teknik Störning/Vilseledning Beräkning av störavstånd Realisering av GPS-störsändare GPS-störsändare Minimera effekten av störning Scenario Fast störning Mobil störning Kombination av mobil och fast störning Pulserande störning Sårbarhetsanalys 28 9 Hotbild - Aktörer Kompetens

4

5 1 Sammanfattande slutsatser Tillgång till satellitnavigeringssystem Satellitnavigeringssystem ger information om position, hastighet och tid med hög noggrannhet och tillgänglighet. Användning och utveckling av nya tjänster baserade på Globala Navigations Satellit System, GNSS, ökar kraftigt i samhället. Antalet mottagare ökar hela tiden och det blir alltmer vanligt att inneha en GP-mottagare. Marknadsvärdet för dessa beräknas till 15 miljarder USD för Utvecklingen av teknik samt användarvänliga applikationer har tillsammans med den utbredda användningen av civila GPSmottagare (Global Position System) medfört att mottagarna har blivit billigare, mindre, robustare samt att noggrannheten har förbättrats. En allt viktigare tillämpning av GNSS är synkronisering och tidshållning i många typer av system som till exempel kommunikationssystem. Följande tre GNSS-system är för närvarande under uppbyggnad eller i operativ drift: NAVSTAR, GPS, Global Position System GLONASS, GLObal Navigation Satellite System GALILEO Idag är det amerikanska systemet NAVSTAR det enda satellitnavigeringssystem som är fullt operativt. Systemet genomgår en modernisering vilket kommer att medföra att fler signaler blir tillgängliga vilket sannolikt leder till både bättre tillgänglighet och noggrannhet. Det europeiska systemet Galileo ska vara operativt 2011 och kommer att erbjuda både allmänt tillgängliga och reglerade, positioneringstjänster. GLONASS är den ryska motsvarigheten till NAVSTAR. GLONASS är dock inte är fullt operativ på grund av att satellitkonstellationen är reducerad för närvarande. Det har emellertid aviserats att GLONASS systemet ska vara fullt operativt Inom en snar framtid kommer det alltså att finnas tre olika GNSS tillgängliga för användning. Störning av GNSS Positionstjänsterna (signalerna) är mycket lätta att störa ut vilket innebär att system som använder GPS eller något annat GNSS system därmed blir sårbara. Det finns idag möjlighet att få tillgång till GPS/GLONASS störsändare tillverkade för militära ändamål som kostar ungefär USD. Ett enklare och mindre kostnadskrävande alternativ är att konstruera och bygga en egen GPS-störsändare. Det är inte fråga om någon särskild avancerad teknisk konstruktion och i princip kan en person med endast en grundläggande teknisk förståelse klara av uppgiften. Komponenterna är dessutom relativt billiga och kan köpas direkt från elektronikföretag på marknaden. Från Internet är det möjligt att ladda ner ett flertal utförliga beskrivningar med tillhörande kopplingsscheman på störsändare, se figur 1. 5

6 Figur 1. Illustrerande tre GPS-störsändare. I diskussionsforum på Internet resoneras det om var, när och hur GPS ska störas för att få störst effekt på samhället. Det finns idag ingen känd incident med avsiktlig störning av GPS-mottagare som är bekräftad. Misstankar om att attacker har ägt rum förekommer dock. I samband med brottsutredning har utrustning som skulle kunna användas för störning påträffats. Oavsiktlig störning (interferenser) har även inträffat vilket visar på systemets känslighet och konsekvenserna av denna störning. Av oaktsamhet och vissa fall av naivitet finns till och med kartor och tekniska beskrivningar över kritisk infrastruktur publicerade på nätet, vilket förenklar för en illasinnad aktör att framgångsrikt genomföra en attack. Där finns även instruktioner på hur man bäst bör använda sin utrustning för att nå så stor effekt som möjligt. Ett exempel där aktörer nyttjat störning i syfte att påverka en verksamhet är Göteborgskravallerna försommaren Andra exempel är att kriminella använder störutrustning mot polisen vid värdetransportrån. Illasinnade aktörers uppfinningsrikedom är mycket stor och man kan utgå från att de kontinuerligt testar och förbättrar sina metoder. Men de nya hoten hänförs inte enbart till terrorism eller grov brottslighet. I en nära framtid kommer vi troligtvis att få se relativt oförargliga fall där ungdomar på grund av att man sannolikt inte förstår allvaret eller konsekvenserna av sitt handlande stör sina kompisars mobiltelefonerande eller slår ut elektronik genom riktad störning. Att störa en GPS-mottagare är relativt enkelt och tillgängligheten till GPS-störsändare är som framhållits ovan stor. Dessa faktorer utgör således ingen begränsning för individer eller organisationer med illasinnade avsikter. Det finns olika metoder för att påverka GPS, såsom störning, vilseledning och repeteringsstörsändning. Att genomföra en vilseledningsattack kräver relativt stora resurser i form av pengar och kompetens om en GPS-simulator eller motsvarande utrustning ska användas. Att använda en så kallad repeterstörsändare vid en störattack är enklare och är förmodligen fullt möjlig att genomföra. Störavståndet i stadsmiljö kommer starkt att bero på placering av störsändaren och dess uteffekt. Störavståndet varierar kraftigt i olika riktningar i denna typ av miljö. Konsekvenserna av en störattack är avhängigt av ett flertal faktorer som var, när och hur störinsatsen genomförs. Effekten förvärras om även back-up system angrips. Det finns flera 6

7 möjligheter till att förekomma eller minimera effekten av en störattack mot GPS. Att pejla en störsändare i stadsmiljö är svårt. En illasinnad aktör kan vidta flera åtgärder för att ytterligare försvåra pejling av GPSstörsändarna. Genom att placera ut flera GPS-störsändare inom samma område som sänder pulsat och som antingen är stationära eller mobila försvåras möjligheten att pejla och lokalisera en störsändare betydligt. Samhällets sårbarhet och beroende av GNSS Många viktiga samhällsfunktioner är idag beroende av informations- och kommunikationssystem som använder radiokommunikation. Samhällets sårbarhet för elektromagnetiska hot ökar i takt med den tekniska utvecklingen och den tilltagande användningen av avancerade tekniska system. Genom att nyttja Internet kan en initierad individ eller grupp av personer enkelt ladda ned ritningar på störutrustning av GPS- och telekommunikationssystem och för att därefter konstruera en egen störare med hjälp av komponenter som finns att köpa från elektronikföretag på marknaden. Kostnaden ligger på några hundralappar. Satellitnavigeringssystem är känsliga för störning. Övriga områden som är känsliga för störning är mobila telefonisystem, datortrafik, civil luftfart, samt tåg- och vägtransportnätet. Men även elektronik och annan utrustning som nyttjas på sjukhus och banker, av räddningstjänst och polis kan påverkas. Generellt kan sägas att de militära systemen är bättre skyddade än de civila genom inbyggd redundans, kryptering av information och satsningar på informationssäkerhet. Men samtidigt utnyttjar även militären i allt högre grad kommersiella produkter, vilket medför nya sårbarheter. Störning av GPS kan nyttjas av en illasinnad aktör både för att förstärka effekten av en attack och för att försvåra för myndigheters och andra aktörers insats i samband med en attack. Att vid en attack störa kommunikationssystem eller att störa system som nyttjas för att ange gemensam tidsuppfattning eller positionering kan innebära att samhällets insatser blir fördröjda och mindre effektiva. Detta kan medföra att omfattningen samt konsekvensen av attacken ökar. Dessutom drabbas många människor som åsamkas ett stort lidande vilket sannolikt är ett av syftena vid en terroristattack som därigenom ges ökad uppmärksamhet och större massmedial publicitet. Om samhället inte kan hantera situationen snabbt och effektivt finns det risk för att medborgarnas förtroende för de styrande och för myndigheternas förmåga att hantera kriser minskar Idag finns det sannolikt inget kritiskt beroende av GPS. Det beror på att de tjänster som används i första hand har utvecklats för att effektivisera olika verksamheter. GPS-tjänsterna kan således inte beskrivas som verksamhetskritisk. Det finns dessutom i många fall möjlighet att gå tillbaka till tidigare använda system och metoder vid en situation då GPS-tjänsterna inte är tillgängliga på grund av störattack eller ett driftstopp. 7

8 Kritiska beroenden och hotbilder i framtiden Bilden av samhällets beroende av GNSS är på väg att förändras. I framtiden kommer det sannolikt inte vara möjligt att använda de gamla ofta manuella metoderna vid en störning av GPS-systemet vilket sannolikt kommer att medföra ett ökat beroende. Samhällets sårbarhet för elektromagnetiska hot ökar i takt med den snabba tekniska utvecklingen. Områden inom vilka satellitnavigeringssystem kommer att nyttjas i en större omfattning och på ett delvis nytt sätt är olika former av kommunikationssystem och även system inom transportsektorn. Detta gäller såväl väg- som luft- och sjötrafik Många paralleller kan dras till den utveckling vi sett när det gäller beroendet av våra IT-system. Även i IT-systemen fungerade från början som effektiva stödsystem. Under det inledande skedet fanns ofta manuella rutiner eller reservsystem att falla tillbaka på när ITsystemen fallerade. Idag är det inte många organisationer som kan nyttja sina gamla manuella rutiner vid ett avbrott. Den personal som hanterade de tidigare manuella rutinerna har flyttat till annan verksamhet eller nått pensionsålder. Motsvarande utveckling kan komma att bli aktuell avseende beroendet av GNSS. Satsningen framgent kommer att ske på de nya effektiva systemen eftersom de är precisa och effektiva. Tillgängliga ekonomiska och personella resurser används för utveckling och drift av dessa system och väldigt lite kommer att satsas på utveckling eller förvaltning och vidmakthållande av alternativa manuella system eller metoder. Det finns många möjligheter att störa GPS-system som är tekniskt och ekonomiskt genomförbara men som aldrig genomförs i praktiken utan endast finns i teorin. Detta kan kanske härledas till att det finns en avsaknad av drivkraft eller att det inte finns ingredienser i detta som stödjer den illasinnade aktörens kamp. Samtidigt som beroendet av satellitnavigeringssystem kommer att förstärkas och spridas i samhället kommer vi sannolikt att uppleva en förändrad hotbild. Kostnaderna för störningsutrustning sänks och kunskapen om hur man genomför effektiv störning får allt större spridning. Detta kan leda till att nya aktörer kommer att nyttja störning som medel för att uppnå sina mål. Den främsta osäkerheten vad avser hotbild i ett framtida perspektiv handlar fortfarande om drivkraft att agera. För att störning av GPS-mottagare ska framstå som intressant för illasinnade aktörer måste konsekvenserna framstå som tillräckligt kraftfulla. I takt med att beroendet av GNSS ökar, ökar dock potentialen för den skada som kan åsamkas. Betydelsen av denna typ av attacker som ett komplement till annan antagonistisk aktivitet kommer även att kvarstå i framtiden. Åtgärder för framtiden Idag råder det en osäkerhet kring vem man vänder sig till om man blir utsatt för störning, samt vem som har resurser och till uppgift att pejla. Vem ska därefter detektera, lokalisera och avbryta störningen. Det finns vissa tekniska resurser och hög kompetens inom Försvarsmakten men i övriga samhället finns det endast begränsade resurser för att pejla och lokalisera störsändare. 8

9 Mot denna bakgrund framstår det som mycket viktigt att myndigheter tillsammans med företag inom säkerhetsområdet utvecklar kunskap, strategier och handlingsberedskap för att hantera dessa hot och risker i det öppna samhället. Forskning måste bedrivas inom flera områden för att därefter realiseras i åtgärder som kan ge ökad säkerhet Även beroendefrågorna måste hanteras gemensamt. Krisberedskapsmyndigheten anser att man bör ta hänsyn till nedanstående i sitt arbete med beroendeförhållandena till GPSsystem och på sikt GNSS samt dess funktionalitet. GNSS ska inte ensamt utgöra huvudsystem utan ska vara komplement till metoder eller system som är robusta och kontrollerade Traditionell kompetens ska vidmakthållas för att undvika kritiska beroenden i framtiden. GNSS-mottagare ska av användaren kunna kontrolleras avseende kvalitén på den information som lämnas samt känna till konsekvenserna av att systemet eller plattformen degraderas i prestanda. Det är viktigt att tänka på att även om beroendet av GPS-systemet idag inte är stort eller kritiskt, måste man vara medveten om att beroendet hela tiden ökar med anledning av det utökade tjänsteutbud som kommer att erbjudas. I takt med den ökande användningen kan beroendet bli kritiskt i framtiden och komma att påverka samhällets effektivitet och förmåga att hantera allvarliga händelser. De som ansvarar för verksamheter som nyttjar GPS bör försäkra sig om att det hela tiden finns en medvetenhet och en helhetssyn över hur beroendet utvecklas i framtiden inom egen organisation. 9

10 2 Inledning KBM genomför en studie av Globala Navigations Satellit System (GNSS), avseende hotbild, sannolikhet och konsekvens av samhällets beroende. En anledning till att KBM genomför denna studie är att det i många sammanhang framställts att Sverige har ett beroende av GNSS främst när det gäller tid och frekvens som hämtas via GPSsystemet. Idag finns ingen helhetsbild av Sveriges beroende av de tjänster som erbjuds via GNSS. Detta gäller beroendet av tid, frekvens och positionering. Navigering med hjälp av satellitsystem kan användas i flygplan, bilar, tåg och båtar. Satellitnavigeringssystem kommer troligen att få en ännu bredare användning i framtiden när systemen utvecklas ytterligare genom att nya tjänster samt bättre och billigare mottagare blir tillgängliga. En annan viktig tillämpning är frekvens och synkronisering för gemensam tidshållning i tekniska system. I många elektroniska kommunikationssystem används dessa tjänster. Den ökade användningen av tjänster från satellitnavigeringssystem medför en ökad risk för de tekniska system som har ett beroende av satellitnavigeringssystemens funktion och tillgänglighet. Två satellitnavigeringssystem är under uppbyggnad, det ryska GLONASS samt det europeiska systemet Galileo. Det satellitnavigeringssystem som används i idag är det amerikanska GPS-systemet som idag är det enda satellitnavigeringssystem som är fullt operativt. Mot den bakgrunden fokuseras denna studie på GPS. Samtliga satellitnavigeringssystem baseras till stora delar på liknande teknik och slutsatserna är därför i princip giltiga för samtliga system. För att få en samlad bild av beroendet i samhället av GNSS, är det av stor vikt att få en överblick av samhällets användning av tjänster från GNSS avseende både tid, frekvens och positionering samt av de ytterligare tjänster som systemet erbjuder. KBM anser att det är av stor betydelse att belysa vilka effekter som avsaknad av GNSS kan ge på olika funktioner i samhället. För att komplettera bilden av beroendet tar KBM även fram en aktörsbeskrivning som belyser sannolikheten av att hot fullföljs eller att störningar mot GNSS inträffar. I de fall någon av dessa situationer inträffar så belyser studien de konsekvenser detta kan få för olika samhällsfunktioner. Till följd av att ett antal olika samhällsfunktioner bedöms vara mer eller mindre beroende av GNSS funktionalitet samt av de tjänster som erbjuds genomförs denna studie utifrån ett brett samhällsperspektiv. I arbetet är det viktigt att uppnå en bred samverkan och samsyn mellan KBM, Försvarsmakten och Post- och telestyrelsen samt att knyta till sig den kompetens som finns inom området vid Totalförsvarets forskningsinstitut och inom näringslivet. Studien fokuserar på behovet av GNSS för positionering eftersom Post- och telestyrelsen ansvarar för en arbetsgrupp som behandlar beroendet av tid och frekvens. 10

11 3 GNSS För närvarande finns två satellitnavigeringssystem i drift, det amerikanska GPS-systemet, och det ryska GLONASS. Det enda satellitnavigeringssystem som är fullt operativt drivs av USA:s Department of Defence. Följande tre system är under uppbyggnad eller i operativ drift. NAVSTAR - Global Position System (GPS) Byggt av USA och fullt operativt sedan 1994 US DoD, Department of Defence, för militär användning samt drift av system och budget. US DoT, Department of Transportation ansvarar för den civila användningen Modernisering och introducering av nya signaler GPS III GLONASS GLObal NAvigation Satellite System Byggt av Sovjetunionen idag ryskt Var fullt operativt under en kort tid 1995 Idag är 9 av 24 satelliter operativa ( ) Intentionen är att systemet ska bli fullt operativt runt 2010 (Intentionen är att konstellationen ska bestå av 18 satelliter 2008 och 24 satelliter 2010) GALILEO Samarbete mellan EU och Europeiska rymdorganisationen, European Space Agency (ESA) Civilt system (Finansiering i samverkan med industri) Inte operativt idag men planeras vara operativt 2011, uppskjutning av Galileo satelliter har påbörjats under slutet av 2005 Public Regulated service (PRS) för användning av myndigheter 3.1 Galileo Genom ett samarbete mellan ESA och EU pågår utbyggnaden av satellitnavigeringssystem Galileo. Målet är att systemet ska vara fullt operativt Galileo ska vara ett kommersiellt civilt system till skillnad mot GLONASS och GPS som är militära system. Galileo kommer att erbjuda både öppna och reglerade tjänster (det horisontella positionsfelet ska med 95 % sannolikhet ligga inom angivna värden): - OS (open service) kostnadsfria positionssignaler (okrypterad) på två frekvenser (4 m) - CS (commercial service) betalsignal på en tredje frekvens (dm-nivå) - SOL (safety of life) som ger realtidsinformation om signalernas tillförlitlighet - PRS (public regulated service) statskontrollerade, robusta krypterade signaler på två frekvenser (6,5 m) 11

12 - SAR (search and rescue) kanal för kommunikation med nödställda Galileo och GLONASS har satellitkonstellationer som är mer anpassade till nordliga latituder än GPS. Det är ett uttryckligt krav på Galileo att det ska ge likvärdig täckning i hela Europa. PRS är framtagen för användning av blåljusmyndigheterna, till exempel räddningstjänst och polis. Strikt kontroll ska upprätthållas över vem som förfogar över enskilda mottagare liksom över all detaljerad information om tjänsten. PRS är krypterad vilket innebär att den, i princip, inte är möjlig att utsätta för en vilseledningsattack. Krypteringen ger emellertid inte något skydd mot en repeterstörsändare. PRS-signalen är designad så att den ger ett bättre skydd mot störsändare än de civila och öppna tjänsterna i både GPS och Galileo. Förhandlingar pågår om vilka myndigheter som ska få använda PRS och även om det ska vara möjligt för företag som till exempel energibolag inom EU att använda PRS. I förhandlingarna representeras Sverige av Utrikesdepartementet. Eftersom PRS är betydligt robustare än de civila tjänsterna borde så många som möjligt av användarna som kan relateras till civil säkerhet få möjlighet att använda PRS istället för en allmänt tillgänglig civil tjänst. En potentiell nackdel med ett stort antal användare av PRS är att säkerheten kan bli sämre då krypteringsfunktionen med tillhörande nycklar sprids till fler användare. PRS är krypterad vilket innebär att det krävs att kryptonycklarna kan hanteras på ett säkert och förutbestämt sätt. Detta medför en extra kostnad för hantering av PRS-mottagare. En militär GPSmottagare är betydligt dyrare att köpa än en civil GPS-mottagare och denna skillnad förväntas även återfinnas för en PRS-mottagare. Till detta kommer en licenskostnad för att använda PRS-tjänsten. Troligen kommer det att vara upp till respektive land hur licensavgiften ska tas ut. Det svenska nationella systemet för licensavgifterna borde utformas på så sätt antalet användare inte begränsas. Att köpa och använda en PRS-mottagare kommer att vara dyrare än att köpa och använda än en civil mottagare. Dessutom tillkommer kostnader för särskild utbildning av användarna. PRS kommer att utformas så att PRS-signalen inte påverkas om de civila GNSS-tjänsterna utsätts för störning, vilket är ett militärt krav. Detta kommer att vara möjligt eftersom signalerna är separerade i frekvens. Genom detta kan en illasinnad aktörs användning av civil GNSS förhindras utan att påverka den egna användningen inom säkerhetsområdet, givet att PRS används. 3.2 Modernisering av GPS GPS är det enda satellitnavigeringssystem som idag är fullt operativt. Systemet drivs av USA:s Department of Defence och genomgår för närvarande en modernisering, vilket kommer att medföra fler civila signaler med förbättrad prestanda som möjliggör att fler tjänster kan erbjudas användarna. De nya militära signalerna kommer att ges ett effektivare störskydd. 12

13 4 Internationellt kunskapsläge Nedan följer en kort sammanfattning av tre studier som är relaterade till sårbarheten av GPS och dess användning i kritiska tillämpningar. Den kursiva texten är hämtad från respektive studie. Studierna beaktar även problemet med interferenser som påverkar GPS-signalerna, men detta har inte beaktas i denna sammanfattning. 4.1 Vulnerability assessment of the transportation infrastructure relying on the Global Positioning System På uppdrag av Department of Transportation (DoT) undersökte Volpe National Transportation systems center den amerikanska transportinfrastrukturens beroende av GPS. Rapporten används idag ofta som referens för att belysa de potentiella hoten med störning mot GPS. Studiens syfte var att besvara flera frågeställningar relaterade till användningen av GPS, vilka kan sammanfattas enligt: Fully evaluate actual and potential sources of interference to and vulnerabilities of, GPS before a final decision is reached to eliminate other radio navigation and aircraft landing guidance systems Sponsor an independent, integrated assessment of risks to civilian users of GPS-based systems, projected through the year 2010 Base decisions regarding the proper federal navigation systems mix and the final architecture of the modernized NAS (National Airspace System, US) on the results of that assessment Antalet civila GPS användare ökar kontinuerligt. GPS används inte enbart för navigerings och positioneringstillämpningar utan även för tids- och frekvenssynkronisering. Rapporten beskriver civila kritiska transporttillämpningar där GPS används. Med kritiska avses här tillämpningar där påverkan på GPS skulle medföra säkerhetsrisker eller stor effekt på funktionen. Användare av GPS delas upp i tre grupper: flyg, marin och land. För civilt flyg är inte GPS det primära navigeringssystemet i NAS men det är en viktig del för att öka effektiviteten och säkerheten i systemen i närtid. Frågan är i vilken utsträckning det måste finnas back-up system om GPS implementeras fullt ut. Flera av de traditionella navigeringssystem som används idag är planerade att fasas ut på grund av kostnads- och effektivitetsskäl. Studien identifierar följande områden där GPS funktion är kritisk: Aviation: Precision and nonprecision approaches Marine: Harbour, harbour approach and constricted waterways. Surface: ITS hazmat and emergency response operations Communications: Timing and synchronization 13

14 GPS möter inte kravet på noggrannhet, tillgänglighet och integritet för flygnavigering. För detta utvecklas två stödsystem för GPS med täckning över USA, LAAS (Local Area Augmentation System) och WAAS (Wide Area Augmentation System). Rekommendationen är att GPS med stöd av WAAS och LAAS ska användas som primärt navigeringssystem. Detta återfinns även i Federal Radionavigation Plan (1999). Flera hot mot GPS identifieras och beskrivs som till exempel utslagning (av GPS-satelliterna och GPS infrastrukturen), störning, vilseledning och repeteringsstörning. Om utslagning av flera GPSsatelliter sker får detta en global påverkan. Rapporten påstår att ett angrepp på infrastrukturen (kontrollsegmentet) för GPS inte kommer att ge någon direkt effekt då satelliterna (rymdsegmentet) kan fungera autonomt under en längre tid. GPS-satelliterna befinner sig på relativt höga höjder vilket innebär att det är krävande att slå ut dessa jämfört med lägre satelliter, t.ex. övervakningssatelliter. Dock bedöms dock denna typ av hot som mycket osannolik. Flera rapporter som tas upp i studien belyser problemet med att positionsfelet kan bli mycket stort när en GPS-mottagare utsätts för störning och innan den slutar att fungera. Detta beror på begränsningar i designen av GPS-mottagaren. Slutsatserna i rapporten är utförliga och delas upp i tre delar: Generella frågeställningar, minimering av sårbarheten hos GPSsignalerna och minimering av sårbarheten för transportsystemen. Studiens slutsatser kan sammanfattas enligt There is a growing awareness within the transportation community of the risk associated with the GPS system being the only means for position determination and precision timing. Även om det finns en ökad medvetenhet om riskerna med att använda GPS har det inte hänt så mycket i praktiken för att minimera effekten av att GPS slåss ut eller degraderas. Like any radio navigation system, GPS is vulnerable to interference that can be reduced but not eliminated. Because of the increasing reliance of transportation upon GPS, the consequence of loss of GPS signal can be (dependning upon its application), both in terms of safety and environmental and economic damage to the nation, unless the threats are mitigated. Alla radiobaserade system kan till slut slås ut med störning även om de är störskyddade. Detta är ett viktig påpekande, Det bör alltid finnas en beredskap att hantera situationen i det fall GPS slås ut. Detta kan ske genom l användande av reservrutiner eller av back-up system. As GPS further penetrates into the civil infrastructure, it becomes a tempting target that could be exploited by individuals, groups or countries hostile to the United States. Detta gäller även för svenska förhållanden. 14

15 The GPS signal is subject to degradation and loss through attacks by hostile interest. Potential attacks cover the range from jamming and spoofing of the GPS signal to disruption of the GPS ground stations and satellites. Hotet mot satelliterna bedöms idag som mycket litet och en attack mot själva GPS infrastrukturen kommer inte att medföra några effekter direkt på GPS då satelliterna (rymdsegmentet) kan fungera autonomt under en längre tidsperiod. Backups for positioning and precision timing are necessary for all GPS applications involving the potential lifethreatening situations or major economic or environmental impact. The backup options involve some combination of: (1) terrestrial or space-based navigation and precision timing systems; (2) on-board vehicle/vessel systems; and (3) operating procedures. LORAN-C for long term equivalent performance or rubidium or quartz clocks. The appropriate mix for a given application will result from careful analysis of benefits, costs and risk acceptance. Vikten av beredskap och back-up system fastslås. Utvecklingen av LORAN-C är idag fortfarande osäker på lång sikt. En analys bör genomföras av hur back-up system eller rutiner som är anpassade för svenska förhållanden ska utformas. Utifrån slutsatserna ges följande rekommendationer Public policy must ensure, primarily, that safety is maintained even in the event of loss of GPS. This may not necessarily require a backup navigation system for every application. Of secondary but immediate importance is the need to blunt adverse, environmental or economic impacts. The focus should not be on determining the nature of the backup systems and procedures, but on which critical applications require protection Det är myndigheternas ansvar att bestämma vilka system som ska skyddas. Continuing assessment should be made of the application of military anti-jam technology, including receiver and antennas, to civil sector. U.S. governments agencies should be encouraged to identify the more promising anti-jam technologies and to work with industry to make them affordable and suitable for civilian applications. Intresset från US DoD att göra militär störskyddsteknik tillgänglig för civila användare verkar vara lågt. Antalet kommersiellt tillgängliga störskyddssystem är mycket begränsat och även efterfrågan på störskydd av GPS i civila tillämpningar är låg. Create awareness among members of the domestic and global transportation community of the need for GPS backup systems or operational procedures, and of the need for operator and user training in transitions from primary to backup systems, and in incident reporting, so that safety can be maintained in the event of loss of GPS, in applications that cannot tolerate that loss 15

16 För att kunna hantera störning måste det finnas en förståelse för hotet och en beredskap för hur det ska hanteras, till exempel hur back-up system ska hanteras och vem som ska larmas. DoT should take an active role in developing a roadmap for the future navigation infrastructure that will be clearly stated in the Federal Radio navigation Plan, and will be followed by the DOT modes and navigation user communities in their navigation activitie. 4.2 GPS Risk Assessment Study Final Report Federal Aviation Administration (FAA) undersöker möjligheterna att byta från markbaserade navigerings- och landningssystem till satellitbaserade system, GPS. Enbart GPS kommer inte att möta kraven för flygtillämpningar utan de två stödsystem som planeras, WAAS och LAAS. För att undersöka robustheten för detta koncept, baserat på GPS, genomfördes en studie av JHU/APL (John Hopkins University Applied Physics Laboratory) på uppdrag av FAA, ATA (Air Transport Association) och AOPA (Aircraft Owners and Pilots Association). Slutsatserna i studien sammanfaller till största delen med slutsatserna i Volpe rapporten. Ett viktigt resonemang och slutsats, som inte direkt stöds i Volpe rapporten, återges nedan. Intentional interference is by far the largest risk area; however, the planned avionics are designed to quickly recognize the onset of this threat. Assuming that sufficient resources are available to vector aircraft away from jammed regions, this threat will pose no safety risk. It can, however, create considerable disruption in traffic control and flight schedules. Methods to detect, locate, and prosecute those who intentionally jam GPS signals must be put in place to discourage such activities. Air traffic control procedures must also be established to manage affected aircraft. The study concludes that there is no credible spoofing threat and that, although real, jamming threats can be managed. För att kunna styra undan av störning påverkade flygplan måste störningen kunna detekteras och storleken av det störda området beräknas. Bedömningen är att operativ förmåga för detta saknas både i USA och i Sverige. Detta förutsätter även att kommunikationen mellan flygledning och flygplan inte är utstörd. En illasinnad aktör som kan störa GPS kan förmodligen även störa andra radiobaserade system som radar och kommunikation. Förmåga att detektera och lokalisera störningskällan är mycket viktigt. Slutligen ska inte problemet att förstöra störsändaren underskattas, till exempel en störsändare placerad i en ballong. 4.3 Radionavigation Systems Task Force Ett resultat av Volpe rapporten var att Radionavigation Systems Task Force bildades av DoT som skulle undersöka vilka back-up system som måste finnas för olika tillämpningar av GPS så att effekten av att GPS slås ut, degraderas eller minimeras. Som första steg genomfördes en värdering av alla radionavigeringssystem både nuvarande och planerade. Detta användes som underlag till en utvärdering av de fem mest lovande systemarkitekturerna 16

17 (system av system) och slutligen ges en rekommendation till DoT om den mest lämpade mixen av radiobaserade navigeringssystem. Flera av de system som undersöks i studien kan inte användas i Sverige eller Europa, (till exempel LAAS, WAAS och NDGPS) men motsvarande system finns eller är under uppbyggnad (till exempel SWEPOS och EGNOS). På grund av detta är studien till största del specifik för den amerikanska användningen av GPS. En tydlig rekommendation om vilka radiobaserade system som ska användas ges inte. Rapporten för fram att flera möjliga kombinationer av system användas. LORAN-C pekas ut som ett möjligt back-up system och rekommendationen är att fortsätta värdera detta alternativ innan något beslut tas om den fortsatta driften och utvecklingen. Enligt tidigare beslut skulle LORAN-C tas ur drift runt 2008, men den senaste informationen säger att systemet ska fortsätta att drivas på kort sikt och inget beslut har tagits om dess framtid. The evaluation of enhanced Loran needs to be completed before making a firm commitment to that system. Termination of Loran would eliminate the only available cross-modal radio navigation backup to GPS. Studien påpekar vikten med att modernisera GPS mot GPS III. GPS modernization, to include the implementation of the second and third civil signals, should proceed as expeditiously as feasible in order to meet a multitude of civil applications and safety-of-life missions that are critical to our transportation infrastructure. Every effort should be made to meet, and accelerate if possible, the operational implementation schedule for these new GPS capabilities. För tidgivning kan WAAS användas som alternativ eller back-up till GPS. Detta trots att även WAAS-signalen sänds på L1 frekvensen Men med skillnaden att WAAS-signalen sänds från geostationära satelliter som har fixa positioner. På grund av detta kan antenner med direktiva strålningsdiagram (stor förstärkning) användas och riktas mot WAAS-satelliten. Störsignaler som kommer ifrån andra riktningar kommer att undertryckas kraftigt och WAAS-signalen kan trots viss störning tas emot. För Europa skulle EGNOS kunna användas som alternativ, tyvärr har inte EGNOS täckning för de nordligaste breddgraderna. 17

18 5 Ansvar 5.1 Civil Global Positioning System Service Interface Committee Civil Global Positioning System Service Interface Committee (CGSIC) är forumet för interaktionen mellan civila GPS användare och de amerikanska myndigheterna som är ansvarig för GPS (DoT och DoD). CGSIC etablerades av DoT för att identifiera civila användares behov och förmedla information angående GPS. CGSIC består av medlemmar från amerikanska och internationella myndigheter och företag och består av tre kommittéer, the International Subcommittee, the Timing Subcommittee, and the U.S. States and Localities Subcommittee. CGSIC håller möten några gånger per år i både USA och Europa, ofta i samband med större konferenser. CGSIC är öppet för alla som är intresserade av civil användning av GPS och medlemskapet är kostnadsfritt. Sammanställningar från mötena presenteras på CGSIC hemsida, där även samtliga presentationer som ges på mötena finns tillgängliga uppdelade i sessioner. Genom presentationerna kan den senaste informationen om GPS-programmets status och utveckling fås. Sverige representeras av Lantmäteriet i CGSIC Navigation Center Amerikanska kustbevakningen, US Coast Guard, har ansvar för att tillhandahålla civila användare med statusinformation om GPS och har skapat ett navigation center på hemsidan, At this site, users can download or view navigation information that is critical or pertinent to their specific means of navigation (ie. GPS, DGPS, or LORAN) or information related to their geographic area of navigation. NANU List Server and/or the GPS Status Message List Server. These services provide s containing the NANU (NOTICE ADVISORY TO NAVSTAR USERS) and/or GPS Status Messages, generally within 60 minutes of notification by the Air Force of a change to the GPS Constellation. På hemsidan kan problem och störningar relaterade till användningen av GPS rapporteras. 5.2 Radionavigeringsnämnden Svenska radionavigeringsnämnden (RNN) består av medlemmar från främst myndigheter och institutioner, men även företag. Det huvudsakliga syftet med RNN är att vara en informell mötesplats och ett forum för diskussioner och för att hålla dess medlemmar informerade om utvecklingen av radionavigeringssystem. Styrelsens medlemmar är kvalificerade och normalt involverade i tekniska frågeställningar eller hantering av tillämpningar för navigering och positionering. 18

19 5.2.1 Radionavigeringsplan 2003 Radionavigeringsplanen för Sverige 2003 (RNP 2003) består av två delar. Den första delen är ett engelskspråkigt dokument som behandlar användarkraven samt myndigheternas riktlinjer och planer beträffande radionavigering. Den andra delen utgörs av en systembeskrivning som är en sammanställning över de system som finns tillgängliga eller är planerade för bruk i Sverige eller i vårt närområde. Radionavigeringsplanen publiceras av sjöfartsverket som genom ett regeringsbeslut är ansvarig för den. Medlemmar från RNN deltar i arbetet med radionavigeringsplanen som vanligtvis uppdateras vart tredje år och en ny revidering är planerad till

20 6 Hotbild - Teknik Tre principiella typer av attacker kan genomföras: störning, vilseledning och reperteringsstörsändning. Störning innebär att GPS-signalerna överröstas, med en störsändare, vilket medför att GPS-mottagaren inte längre tar emot korrekt signal. Att genomföra en störattack är relativt enkelt och på Internet kan utförliga beskrivningar på GPS-störsändare hittas. Det är även möjligt att hitta information om hur störsändarna ska placeras och anordnas för att maximera effekten. Vilseledning innebär att en korrupt GPS-signal sänds för att få GPSmottagaren att beräkna en felaktig position eller tid. Att genomföra en vilseledningsattack är betydligt svårare jämfört med en störningsattack. Ytterligare ett alternativ är att använda en så kallad repeteringsstörsändare vilken sänder en fördröjd kopia av GPSsignalen. Om denna signal accepteras av GPS-mottagaren kommer den beräknade positionen och tiden att förskjutas och vara felaktig. Genom att använda någon av följande störningsmetoder kan en illasinnad aktör förstärka effekten av en sin attack samt försvåra för myndigheters och andra aktörers arbete med att avbryta attacken eller för att lindra effekten genom att ta hand om de som drabbats. Störning av kommunikationssystem eller andra system som nyttjar GPS för gemensam tidsuppfattning eller positionering kan innebära att samhällets insatser blir fördröjda och mindre effektiva. Detta medför att konsekvenserna för samhället ökar samt att enskilda medborgare kan åsamkas ett större lidande. Det är viktigt att samhällets aktörer kan hantera situationen snabbt och effektivt så att medborgarnas förtroende för de styrande samt för myndigheternas förmåga att hantera kriser förblir orubbligt. 6.1 Störning/Vilseledning Störning Vanligtvis kommer en GPS-mottagaren inte att sluta fungera direkt när den utsätts för en svag störsignal, utan till en början kommer noggrannheten att försämras (både position och tid). Om störsignalen ökar i styrka så påverkar detta noggrannheten och till slut kommer GPS mottagaren att upphöra att fungera abrupt vid ett gränsvärde. En GPS-störsändare kan utformas på flera olika sätt. Den utsända signalen, störvågformen, kan anpassas för att maximera effekten på en GPS-mottagare. För att kunna skräddarsy störvågformen måste antaganden göras om hur mottagaren fungerar. Störvågformen kan utformas som en brusstörare (smalbandig/bredbandig), smalbandig tonstörare, smalbandig svepande tonstörare, kodanpassad störare, pulsad störare eller en frekvens-, fas- eller amplitudmodulerad signal. En pulsad störsignal kan vara en svår störsignal för en GPS-mottagare. Tonstörare och smalbandiga störare kan tas bort i GPS-mottagaren genom smalbandig filtrering. En bredbandig störvågform är svårare att skydda GPS-mottagaren mot. 20

21 På Internet finns beskrivningar för GPS-störsändare som sänder bredbandiga eller smalbandiga signaler hittas Vilseledning En mer avancerad typ av attack är vilseledning där en falsk GPSsignal sänds som om den accepteras av GPS-mottagaren ger felaktig information om PVT (Position, Velocity, and Time). När GPS-mottagaren har accepterat vilseledningssignalen är det möjligt att manipulera positionen (eller tid) från det korrekta. Det man vill uppnå när man vilseleder en GPS-mottagare är att få positionen att driva iväg, ifrån den korrekta positionen, utan att operatören eller system kan upptäcka det. Blir skillnaden stor kan det vara möjligt för användaren eller systemet att upptäcka att positionen är felaktigt. Att genomföra en vilseledningsattack är betydligt svårare, än att genomföra en störattack, men detta är dock fullt möjligt. En vilseledningsattack kan genomföras på flera sätt. En metod är att använda en GPS-simulator för att generera en falsk GPS-signal. En GPS-simulator är relativt enkel att använda men dyr att köpa. I USA finns det idag möjlighet att hyra en simulator, vilket det däremot inte gör i. Sverige. På grund av detta bedöms denna typ av vilseledningsattack som mindre trolig i Sverige. Om en GPS-mottagare ska fungera, det vill säga att mottagaren låser på de korrekta GPS-signalerna, som en illasinnad avser att spoofa, krävs det att GPS-mottagaren för ett ögonblick tappar låsningen på de korrekta GPS-signalerna och väljer spoofing signalen istället. Detta kan ske antingen genom att en störsändare används eller att spoofingsignalen initialt är betydligt starkare än de korrekta GPS-signalerna. I flera fall kommer GPS-mottagaren inte att acceptera spoofingsignalen och istället störs GPSmottagaren så att den inte kommer att kunna bestämma sin position eller tid Repeteringsstörsändare En repeteringsstörsändare realiseras genom att fördröja GPSsignalen och därefter återutsända GPS-signalen. Fördröjningen kan fås genom att använda en kabel. Kabeln kommer också att dämpa signalen vilket medför att en förstärkare krävs. Denna ska både kompensera för dämpningen men även säkerställa att den falska GPS-signalen blir starkare än den korrekta GPS-signalen. Att realisera denna typ av repeteringstörssändare bedöms som fullt möjligt. Effekten av repeteringsstörsändare är att positionen (eller tiden) kan avvika från det korrekta, om GPS-mottagaren har accepterat den återutsända GPS-signalen. Storleken på felet kommer att bero på hur mycket GPS-signalen har fördröjts. Felets storlek kommer att begränsas av längden på kabeln och i praktiken kommer den maximala längden att begränsas. Det finns information tillgänglig på Internet som beskriver hur repeteringsstörsändare kan användas för att öka effekten av störning mot en GPS-mottagare. 21

22 6.2 Beräkning av störavstånd Störavståndet inom vilket en GPS-störsändare kan slå ut en GPSmottagare beror i hög grad på omgivningen. Omgivningens påverkan på störsignalen kan beräknas med olika typer av vågutbredningsmodeller som beräknar dämpningen på signalen mellan sändaren och mottagaren. Ett stort antal modeller finns utvecklade där varje modell har sina fördelar och nackdelar. För beräkningen av störavstånd antas ofta, i GPS-tillämpningar, att det är fri sikt (free line of sight), mellan störsändaren och GPSmottagaren vilket innebär att störavståndet är relativt stort och i de flesta fall överskattas. Att anta att det är fri sikt mellan störsändaren och GPS-mottagaren i en stadsmiljö är en förenkling vilket inte ger omgivningens effekt (dämpning) på störsignalen. Placeringen av störsändaren, dess uteffekt och placeringen av GPSmottagaren kommer att påverka störavståndet. Placeras störsändaren och GPS-mottagaren i marknivå kommer störavståndet att vara relativt kort. Omvänt är det så att om störsändaren placeras högt ökas störavståndet. Ska användningen av GPS-mottagare inom ett större område slås ut bör alltså störsändaren placeras så högt som möjligt. En deterministisk vågutbredningsmodell ger en beskrivning för hur en specifik stadsmiljö påverkar (dämpar) en signal, där beräkningen baseras utifrån en kartdatabas. Den deterministiska modellen visar att effekten av omgivningen, stadsmiljön, kommer att påverka dämpningen av störsignalen mer i vissa riktningar än i andra. Figur 2. Beräkning av störavstånd i centrala Stockholm. Inom röda markerade områden är en GPS-mottagare utslagen och störsändarens placering markeras med ett blått X. 22

23 Röda markerade områdena representerar områden där en GPSmottagare är utslagna. Innanför den inre cirkeln är flertalet GPSmottagare utslagna. Det finns dessutom stora områden utanför den yttre cirkeln där GPS-mottagare är utslagna. Om GPS-störsändaren placeras lågt kommer områdena där en GPS-mottagare är utslagen att minskas. 6.3 Realisering av GPS-störsändare En viktig frågeställning att besvara är vilken kompetens det krävs för att realisera en GPS-störsändare. På Internet finns det flera utförliga beskrivningar på hur GPS-störsändare kan realiseras. Utifrån beskrivningarna har en uppskattning av den kompetens och resurs som krävs för att sätta samman och få en funktionell störsändare mot GPS-mottagare. Som exempel för bedömningen har tre olika störsändare använts Störsändare Enkel CW GPS-störare Ett enkelt sätt att realisera en störsändare är att förstärka en överton från en kristalloscillator som hamnar i GPS mottagarens frekvensområde. Den störsändaren blir av typen fixfrekvens (engelsk förkortning; CW continues wave). Mot en sådan typ av störsändare är det möjligt att skydda sig genom ett adaptivt spärrfilter (notch filter) i mottagaren. Dock är civila GPS-mottagare inte utrustade med denna typ av filter. Bredbandig GPS störare byggd med satellit-tv mottagare En avstämningsenhet (tuner) avsedd för satellit-tv mottagare kan användas som oscillator för GPS frekvenser. En sådan oscillator kan frekvensmoduleras via sin kontrollingång för avstämning vilket gör bredbandig störning möjlig. Brusstörare för GPS Brusstörare är en relativt sofistikerad konstruktion som är mycket utförligt beskriven på Internet. Med rätt justering kommer störsignalen att uppta hela GPS-signalens bandbredd. Oscillatorns utsignal förstärks och filtreras för att bara störa GPS. Struntar man i bandpassfiltret så kan den här konstruktionen göras omkopplingsbar för att också störa GSM1800, DECT och UMTS (3G) Högre uteffekt Effektförstärkare för högre uteffekt kan byggas av kompetenta radioamatörer och elektronikingenjörer. Ett sådant slutsteg är lite större än de beskrivna störsändarna och kräver också större batterier eller nätaggregat. Som ett exempel ger Ericssons transistor PTF 1011 typiskt 7 W ut, matad med 0,4 W och med 24 V strömförsörjning. I databladet visas exakt hur en förstärkare för 1500 MHz ska byggas. Allmänt kan sägas att upp till ca W är det relativt enkelt att bygga ett slutsteg som matas med till exempel två bilbatterier. 23

24 6.3.3 Batterier och drifttid Batterikapaciteten har utvecklats under de senaste åren, till detta kommer komponenter som är mindre effektkrävande. Detta innebär att den utrustning som används för att störa ut GPSsignalen är betydligt mindre till format, har en större uteffekt, har en längre operationstid samt är billigare än tidigare utrustningar för detta ändamål Intermittent (pulsad) drift GPS-störsändaren kan sända intermittent (pulsat) för att på så sätt dels öka drifttiden genom att minska energiförbrukningen och dels göra det svårare att pejla och lokalisera GPS-störsändaren. Om mottagaren blockeras från GPS signalen en stund så tappar den synkronisering och det tar en stund för mottagaren att återsynkronisera. Mottagare som försöker adaptera mot störsändning kan luras genom intermittent sändning. Detta kan utnyttjas för att spara batteriets livslängd genom att störsända några sekunder och sedan vänta ett antal sekunder innan nästa sändning. 6.4 GPS-störsändare Ett alternativ till att bygga en GPS-störsändare är att köpa en färdig produkt. Från det tyska företaget Alarm kan en enkel GPSstörsändare med en uteffekt på 200 mw köpas för 690 EUR. GPSstörsändaren matas med 12 V, drar 150 ma och väger enbart 74 g. Beställning av GPS-störsändaren kan göras på Internet och leveranstiden är 10 dagar efter betalning. Företaget meddelar på hemsidan att användning av störsändare är illegalt i vissa länder och därför är det köparens ansvar att ha tillstånd för att inneha och använda GPS-störsändaren och företaget avsäger sig allt legalt ansvar. Texten nedan är hämtad från Internetsidan: Note - The use of jamming equipment is prohibited in some countries. It is the responsibility of the customer to ensure that they have the legal right to import these products before purchasing from us. Upon purchasing, the customer becomes wholly liable for any legal issues that may occur as a result of the importation and/or use of these products in the destination country. 6.5 Minimera effekten av störning Effekten av en GPS-störsändare kan minimeras på flera sätt, men att fullständigt skydda GPS-mottagaren mot en attack är i praktiken svårt och troligen inte möjligt. För att minimera effekten av en attack krävs både tekniska system och utvecklade metoder där flera myndigheter måste samarbeta. Det första problemet som uppstår när en GPS-mottagare slutar att fungera eller lämnar information som inte är riktig är att identifiera om den egna utrustningen är defekt eller om systemet inte är fullt 24