Test dimostra i rischi del GPS spoofing per la sicurezza del volo

Un test norvegese mostra come il GPS spoofing possa deviare un aereo verso una falsa destinazione. Tra allerte, sistemi inerziali, EGNOS e controlli dellequipaggio, la sicurezza dipende da più livelli.

Un test condotto in Norvegia ha mostrato quanto un elicottero possa essere spinto verso una destinazione errata da segnali di navigazione satellitare manipolati. A bordo, per, non si spento tutto. Gli strumenti hanno continuato a fornire coordinate utilizzabili, soltanto che quelle coordinate non coincidevano pi con la posizione reale. questo il tratto pi insidioso dello spoofing GPS applicato al volo: la falsificazione pu procedere in modo ordinato, graduale e coerente, mentre porta il sistema, e chi lo sta controllando, nella direzione sbagliata.

Il caso norvegese d una forma concreta a un rischio che viene spesso illustrato in termini astratti. Uninterruzione del segnale si riconosce con relativa facilit; una posizione falsa pu invece cambiare la percezione dellambiente, influire sulla rotta, avvicinare un aeromobile a uno spazio aereo vietato oppure compromettere una procedura di avvicinamento. La sicurezza non nasce quindi dalla fiducia assoluta nel GPS. Dipende dal confronto fra fonti differenti, dalladdestramento dellequipaggio e dalla possibilit per laeromobile di continuare a navigare quando il dato satellitare non appare pi attendibile.

Il test norvegese e la falsa destinazione

La prova norvegese stata pensata per osservare sul campo gli effetti di una manipolazione GNSS, vale a dire dei sistemi satellitari globali usati per posizionamento, navigazione e tempo. Laeromobile scelto era un elicottero. Una piattaforma adatta a questo tipo di osservazione, perch vola a quote e velocit differenti da quelle di un aereo di linea e pu seguire profili pi flessibili.

La rotta prevista era conosciuta dallequipaggio e dagli organizzatori. Durante il test, per, la posizione visualizzata a bordo ha cominciato a separarsi da quella effettiva. Non si trattato di un semplice spegnimento del navigatore o di un azzeramento delle informazioni.

Il sistema ha ricevuto dati abbastanza credibili da rappresentare una traiettoria alternativa. Lelicottero continuava dunque ad avere unindicazione di posizione, ma lindicazione risultava spostata rispetto al punto in cui il mezzo stava davvero volando. Qui si trova il pericolo operativo della dimostrazione: se lequipaggio si affidasse a una sola sorgente, la destinazione falsa potrebbe apparire come il normale risultato del volo.

La prova stata svolta nellambito di attivit tecniche norvegesi dedicate alla resilienza della navigazione satellitare, con il coinvolgimento di soggetti istituzionali e operatori del settore aeronautico. Il suo valore non consiste nel dimostrare che ogni volo sia esposto allo stesso scenario. Mostra piuttosto che un attacco controllato pu trasformare un dato apparentemente preciso in una rappresentazione sbagliata dello spazio circostante.

Le fonti disponibili indicano il tipo di aeromobile, la deviazione della posizione e lo scopo dimostrativo dellesperimento. Non riportano per tutti i parametri operativi necessari per stabilire una soglia di allarme valida per qualsiasi situazione.

Perch lo spoofing non il jamming

Jamming e spoofing vengono spesso citati insieme, poich entrambi interferiscono con i segnali GNSS. Il loro effetto, per, non lo stesso. Il jamming trasmette energia radio nella stessa banda di frequenze utilizzata dal ricevitore e rende difficile, o addirittura impossibile, acquisire i segnali dei satelliti. Il risultato pi comune la perdita del posizionamento, un avviso di segnale degradato oppure il passaggio a una modalit di navigazione diversa.

Lo spoofing interviene in modo pi discreto. Al ricevitore vengono presentati segnali falsi, costruiti o alterati per imitare quelli autentici. Il sistema pu cos continuare a calcolare coordinate, velocit e tempo, ma in modo errato.

• Jamming: il riferimento satellitare pu scomparire o degradarsi fino a non essere pi utilizzabile.
• Spoofing: la posizione resta disponibile sul display, ma risulta spostata rispetto alla realt.
• Meaconing: segnali GNSS autentici vengono ritrasmessi con ritardi o modifiche temporali capaci di produrre una posizione sbagliata.

La distinzione cambia anche la risposta dellequipaggio. Un blackout conduce pi rapidamente verso una procedura nota di perdita GNSS; un dato coerente ma falso deve prima essere riconosciuto come anomalo. Il ricevitore tende ad agganciare i segnali pi chiari e potenti, mentre quelli inviati dai satelliti arrivano al suolo con una potenza molto bassa. Se il sistema non controlla lorigine, il tempo, la direzione di arrivo e la plausibilit dei segnali, la maggiore intensit di quello contraffatto pu favorire lattaccante.

Come il ricevitore calcola la posizione

Un ricevitore GNSS stabilisce la propria posizione misurando quanto impiegano i segnali radio a raggiungerlo da pi satelliti. Ogni trasmissione contiene dati relativi alla posizione del satellite e allistante in cui il segnale stato inviato. Il ricevitore confronta queste informazioni con listante di ricezione, ricava le distanze e, mettendole in relazione, stima latitudine, longitudine e quota. Nello stesso calcolo corregge anche lerrore dellorologio interno.

Il tempo, quindi, non un dettaglio accessorio: fa parte della posizione. Una variazione minima nella misura temporale pu tradursi in uno spostamento apparente. Lo spoofing sfrutta proprio la fiducia accordata dal ricevitore ai messaggi che riceve. Il calcolo non viene necessariamente interrotto; viene modificato il riferimento su cui il calcolo si fonda.

Il meaconing pu essere ancora pi difficile da individuare, perch riutilizza segnali autentici e interviene soprattutto sul loro ritardo. Da qui nasce una difficolt ulteriore: non sempre uninformazione falsa ha laspetto di uninformazione guasta.

Gli strumenti aeronautici, almeno nei sistemi certificati, non sono progettati per dipendere obbligatoriamente da una sola fonte. La navigazione satellitare viene affiancata da apparati inerziali, radioaiuti terrestri, dati di performance e sensori di bordo. Il problema compare quando una sorgente manipolata viene mantenuta come valida pi a lungo del dovuto, oppure quando lequipaggio non ha un quadro abbastanza chiaro delle anomalie.

Il rischio per la navigazione civile

Un errore GNSS pu cambiare la posizione mostrata sul display, la rotta calcolata, la distanza da un punto di navigazione o la coerenza fra laeromobile e la carta digitale. Durante il volo in rotta, leffetto pu apparire come una deviazione laterale oppure come unindicazione incompatibile con la traiettoria che lequipaggio sta osservando.

Vicino allaeroporto la situazione pi delicata. Anche una discrepanza non enorme pu complicare il rapporto tra posizione stimata, procedura pubblicata e istruzioni del controllo del traffico aereo.

Lo spoofing non equivale automaticamente a un incidente. Gli aeromobili dispongono di ridondanze, regole operative e personale addestrato a riconoscere la perdita o linaffidabilit del GNSS. Lanomalia pu comunque aumentare il carico di lavoro, imporre una deviazione, rendere inutilizzabile una procedura basata sul satellite o richiedere il ricorso a radioaiuti e vettoramenti radar.

Nel 2023 OPSGROUP, organismo di consulenza aeronautica, ha segnalato un aumento degli episodi di spoofing che coinvolgevano aerei in Medio Oriente. Alcuni velivoli sarebbero stati rappresentati in aree molto lontane dalla posizione reale oppure indirizzati verso zone sottoposte a restrizioni. Questo dato non prova che ogni episodio abbia provocato una perdita di separazione o un incidente. Indica per che la manipolazione pu entrare in rapporto con lo spazio aereo controllato e con situazioni geopolitiche sensibili.

Le allerte nei cieli europei

Le interferenze GNSS sono state segnalate con frequenza crescente vicino ad aree interessate da tensioni militari, in particolare nel mar Baltico, nel mar Nero e nel Mediterraneo orientale. Dallinizio del conflitto in Ucraina, nel 2022, migliaia di voli commerciali hanno registrato disturbi attribuiti ad attivit di guerra elettronica.

Lattribuzione del singolo episodio pu essere complessa. Leffetto operativo sullaviazione civile, per, osservabile: il riferimento satellitare pu perdersi, degradarsi oppure diventare incoerente.

A giugno 2024 i piloti in Lituania hanno riferito 1.022 episodi di interferenza, quasi il doppio rispetto al mese precedente. Il dato riguarda quel periodo e quella specifica area; non misura in modo universale il rischio per tutti i voli europei.

Nel maggio 2024 Finnair ha sospeso la rotta HelsinkiTartu perch i disturbi rendevano rischiosi gli avvicinamenti a Tartu. In seguito, laeroporto ha predisposto sistemi alternativi al GPS.

Le comunicazioni dellAgenzia dellUnione europea per la sicurezza aerea, lorganismo europeo che coordina standard e sorveglianza della sicurezza aeronautica, hanno richiamato lattenzione sullaumento delle interferenze GNSS. Anche lICAO, lorganizzazione internazionale che stabilisce gli standard dellaviazione civile, considera la resilienza della navigazione una responsabilit condivisa fra Stati, fornitori di servizi, costruttori e operatori.

Quando si perde la consapevolezza situazionale

La consapevolezza situazionale nasce dal confronto fra ci che lequipaggio si aspetta e ci che gli strumenti mostrano. Se il GPS perde il segnale, lincoerenza evidente e la procedura di emergenza pu essere attivata rapidamente.

Con una posizione falsa ma plausibile, invece, la discrepanza pu emergere soltanto mettendo a confronto pi elementi: rotta magnetica, velocit, tempo trascorso, riferimenti radio, terreno, traffico e comportamento degli altri strumenti. Nessun singolo display basta.

Un riferimento sbagliato pu produrre conseguenze a catena. Una posizione errata modifica la mappa mobile, le distanze calcolate e gli avvisi di prossimit. Se pi apparati ricevono la stessa sorgente GNSS, il fatto che mostrino la medesima informazione non costituisce una verifica indipendente: potrebbero stare ripetendo tutti lo stesso errore.

La ridondanza funziona quando le fonti sono abbastanza diverse da potersi smentire a vicenda. Per questo lequipaggio deve interpretare i dati, non limitarsi a leggerli. Coordinate precise non sono per forza coordinate affidabili. La precisione dice quanto il valore appare definito; lintegrit riguarda invece la capacit del sistema di avvertire quando quel valore non merita pi fiducia.

Aviazione militare e aree di conflitto

Nel settore militare, jamming e spoofing rientrano nella guerra elettronica. Possono servire a proteggere unarea, ostacolare droni o alterare la navigazione di sistemi autonomi. Una manipolazione pu indurre un drone a correggere la rotta, confondere una piattaforma con coordinate incoerenti oppure ridurre lefficacia di un sistema che dipende dai riferimenti satellitari.

Per gli aeromobili militari il problema si somma alla complessit dello spazio operativo. Minacce, traffico, aree interdette e obiettivi di missione possono richiedere una posizione aggiornata anche quando lambiente radio ostile.

Le contromisure comprendono ricevitori resistenti alle interferenze, antenne specializzate, autenticazione del segnale e fusione di pi sensori. Nessuna di queste tecniche elimina ogni rischio, soprattutto se lattaccante controlla una sorgente radio vicina al bersaglio.

Rispetto allaviazione commerciale cambiano soprattutto il contesto e i requisiti della missione. Il principio, per, resta uguale: il dato satellitare una fonte da verificare, non una verit separata da tutte le altre informazioni.

Il confronto con i sistemi inerziali

Il sistema di navigazione inerziale, o INS, calcola movimento e posizione attraverso giroscopi e accelerometri. Parte da una posizione iniziale conosciuta, misura accelerazioni e rotazioni e aggiorna la stima senza ricevere segnali dallesterno.

Questa caratteristica lo rende insensibile al jamming e allo spoofing radio. Non significa che sia immune da ogni errore. Le piccole imprecisioni dei sensori, infatti, si accumulano nel tempo e fanno derivare progressivamente la stima.

La combinazione GNSS-INS mette insieme i punti di forza dei due sistemi. Quando il segnale affidabile, il GNSS corregge la deriva inerziale; quando il segnale manca o viene escluso, lINS mantiene una stima autonoma. Un disaccordo crescente fra le due sorgenti pu generare unindicazione di anomalia.

La soglia dipende dallarchitettura, dalla certificazione e dalla fase di volo. Non esiste un valore unico applicabile a ogni elicottero o a ogni aereo.

Il controllo pu essere esteso ad altre fonti:

• Radioaiuti terrestri, come VOR, DME o NDB, quando sono disponibili e autorizzati.
• Radar e vettoramento forniti dai servizi di controllo del traffico aereo.
• Magnetometri, altimetri e sensori che forniscono misure indipendenti su direzione, quota e movimento.
• Carte e dati del terreno, utili per verificare se la posizione indicata compatibile con lambiente osservabile.

Controlli di coerenza e rilevamento

I ricevitori pi avanzati possono esaminare potenza, direzione di arrivo, frequenza, temporizzazione e variazioni della geometria satellitare. Un segnale che cresce troppo in fretta, arriva da una direzione incompatibile o provoca uno spostamento fisicamente improbabile pu essere classificato come sospetto.

Il confronto fra pi satelliti e pi costellazioni aggiunge ridondanza, ma non assicura da solo limmunit. Unattivit di spoofing abbastanza ampia pu cercare di imitare contemporaneamente pi segnali.

Il RAIM, acronimo di Receiver Autonomous Integrity Monitoring, sfrutta la ridondanza dei segnali ricevuti per individuare misure incompatibili. Il principio utile per controllare lintegrit, ma la sua efficacia dipende dalla geometria dei satelliti, dal numero di segnali disponibili e dal modello di guasto preso in considerazione. Non va scambiato per una protezione universale contro ogni forma di spoofing.

Un livello ulteriore lautenticazione del messaggio di navigazione. Galileo OSNMA, servizio europeo di autenticazione dei messaggi di navigazione, permette ai ricevitori compatibili di verificare lorigine dei dati firmati. In questo modo diventa pi difficile accettare un messaggio contraffatto.

La misura non copre ogni scenario. Il jamming pu impedire la ricezione e, anche con un segnale autenticato, il ricevitore deve continuare a usare controlli di plausibilit e fonti diverse.

EGNOS e le procedure di avvicinamento

In Europa EGNOS, il sistema regionale di aumento basato su satelliti geostazionari e stazioni a terra, migliora laccuratezza e le informazioni di integrit per le applicazioni aeronautiche compatibili. Le stazioni sorvegliano i segnali, stimano alcuni errori e trasmettono correzioni e avvisi attraverso il servizio di aumento.

Il vantaggio non riguarda soltanto una posizione pi precisa. Comprende anche la possibilit di ricevere unindicazione quando il dato non rispetta i requisiti previsti.

Il servizio Safety-of-Life di EGNOS supporta le procedure LPV, cio avvicinamenti con guida laterale e verticale, anche in aeroporti regionali privi di un sistema ILS. Lutilizzo dipende dalla certificazione dellaeroporto, dellaeromobile, della procedura e dellequipaggio.

Quando lintegrit viene meno, lavvicinamento deve essere interrotto o sostituito secondo le procedure operative applicabili.

Un sistema di aumento non rende il GNSS indistruttibile. Se una zona colpita da jamming o spoofing locale, la catena di ricezione pu essere disturbata prima che linformazione arrivi allequipaggio. EGNOS migliora la qualit del servizio nelle condizioni previste; la resilienza richiede anche alternative non satellitari e una gestione corretta degli avvisi.

Le procedure dellequipaggio contano quanto la tecnologia

La risposta a unanomalia GNSS non dipende da un unico allarme. Lequipaggio deve riconoscere le indicazioni incompatibili, comunicare con il controllo del traffico aereo, mantenere il controllo dellaeromobile e scegliere una fonte di navigazione alternativa.

Le procedure operative stabiliscono quali strumenti utilizzare, quando escludere un dato e come gestire un avvicinamento che non dispone pi dellintegrit richiesta. La tecnologia aiuta, ma non sostituisce il giudizio operativo.

Laddestramento conta soprattutto perch lo spoofing pu non creare una scena evidente. Una rotta che cambia lentamente, oppure una mappa che colloca laeromobile in un luogo plausibile, richiede attenzione analitica. Lequipaggio deve mettere a confronto prua, velocit, distanza, tempo e riferimenti esterni, senza correggere automaticamente la traiettoria sulla base del solo display satellitare.

In caso di perdita o incertezza del GNSS, il controllo del traffico aereo pu fornire supporto attraverso radar, istruzioni di rotta e separazione. La collaborazione funziona meglio quando lequipaggio segnala presto lanomalia e precisa se si tratta di assenza del segnale, posizione incoerente o sospetta manipolazione.

Una navigazione costruita su pi livelli

La sicurezza non dipende dalla disponibilit apparente delle coordinate, ma dalla capacit di verificarne laffidabilit. In presenza di unanomalia GNSS, lequipaggio deve confrontare il dato satellitare con sistemi inerziali, radioaiuti, radar, sensori di bordo, carte e riferimenti visivi, seguendo le procedure previste per la fase di volo.

Jamming, spoofing e meaconing richiedono risposte diverse, ma condividono una lezione: pi strumenti che usano la stessa sorgente non costituiscono una verifica indipendente. La resilienza nasce dalla diversit delle fonti, dai controlli di integrit, dalladdestramento e dalla comunicazione tempestiva con il controllo del traffico aereo.

Il GPS resta un supporto essenziale, non una prova autosufficiente della posizione. Una destinazione visualizzata sullo schermo pu essere considerata attendibile solo quando coerente con il comportamento dellaeromobile, con le altre informazioni disponibili e con lambiente circostante.