Los investigadores rompen las garantías de seguridad de las redes TTE utilizadas en naves espaciales

Agrandar / La gente mira dentro de un simulador de la nave espacial Orion, utilizado para el entrenamiento para el acoplamiento con la estación espacial Gateway, en las instalaciones del Simulador de Ingeniería de Sistemas del Centro Espacial Johnson en Houston para la primera prueba integrada del cohete SLS y la nave espacial Orion de la agencia, que han ha estado en desarrollo durante 16 años y se espera que marque el comienzo de una nueva era de exploración espacial. La misión no tripulada también es solo la segunda vez que se lleva al espacio un estándar de red conocido como Ethernet temporizado, con el primer vuelo de prueba orbital de Orion en 2014. Time-triggered Ethernet (TTE) es un ejemplo de una red de criticidad mixta capaz de enrutar tráfico de diferentes requisitos de tiempo y tolerancia a fallas sobre el mismo conjunto de hardware. Hasta la fecha, las naves espaciales generalmente se han basado en una red para transportar mensajes críticos para la seguridad o de misión crítica, y una o más redes completamente separadas para transportar videoconferencias y otros tipos de tráfico menos crítico.
Ampliar / mostrar cómo funciona Ethernet temporizado.TTTech

Los ingenieros construyeron una trampa para ratones mejor. Los ratones lo derrotan de todos modos.

Orion es la primera nave espacial que depende de una red TTE para enrutar el tráfico de criticidad mixta, ya sea para sistemas vitales como navegación y soporte vital, transferencias de archivos críticas para la entrega pero no, según la NASA, o para tareas no críticas como como una videoconferencia de la tripulación. TTE, también utilizado en la estación espacial Lunar Gateway de la NASA y el vehículo de lanzamiento Ariane 6 de la ESA, es fundamental para reducir los requisitos de tamaño, peso, costo y potencia de las naves espaciales modernas.
Ampliar / Ejemplo de un flujo de datos TTE en una nave espacial. Los sistemas críticos para la seguridad de la NASA, como los controles de dirección y motor, a menudo solo funcionan si los mensajes de red se envían y reciben en intervalos de solo 40 a 50 milisegundos. Los mensajes retrasados ​​o perdidos pueden ser catastróficos. El otro extremo del espectro de criticidad incluye mensajes enviados por instrumentos científicos, a menudo en forma de dispositivos estándar, proporcionados por universidades o investigadores externos con una autorización de seguridad mínima de la NASA. Si bien es 100 por ciento compatible con el estándar Ethernet, TTE también puede transmitir mensajes que los ingenieros normalmente reservan para redes con propósitos especiales. Para evitar que los mensajes menos importantes interfieran con los mensajes críticos, TTE ofrece dos beneficios clave que no están disponibles en Ethernet normal. Están:

• Un paradigma cronometrado donde todos los dispositivos están estrechamente sincronizados y envían mensajes en un horario establecido. Esto puede reducir la latencia a cientos de microsegundos y el jitter a casi cero.
• Tolerancia a fallas: TTE replica toda la red en múltiples niveles y enruta los mensajes a través de todos los niveles simultáneamente. La red TTE a bordo de la puerta de enlace tiene tres capas.

Los investigadores de TTTech publicaron el martes resultados que rompen las garantías de aislamiento de TTE por primera vez. El resultado es PCspooF, un ataque que permite que un solo dispositivo no crítico conectado a un solo nivel rompa la sincronización y la comunicación entre dispositivos TTE en todos los niveles. El ataque funciona mediante la explotación de una vulnerabilidad en el protocolo TTE. El trabajo fue realizado por investigadores de la Universidad de Michigan, la Universidad de Pensilvania y el Centro Espacial Johnson de la NASA. «Nuestra evaluación muestra que los ataques exitosos son posibles en cuestión de segundos y que cada ataque exitoso puede hacer que los dispositivos TTE pierdan la sincronización por hasta un segundo y dejen caer docenas de mensajes TT, los cuales conducen a la falla de sistemas críticos como aviones o automóviles. ”, escriben los investigadores. «También mostramos que PCspooF provoca maniobras descontroladas en una misión de vuelo espacial simulada, que ponen en peligro la seguridad y el éxito de la misión».
Agrandar / Laboratorio de Integración y Validación de la Red Artemis (ANVIL) en el Centro Espacial Johnson de la NASA, donde se realizó gran parte de la investigación de PCspooF. NASA PCspooF se puede construir en un área tan pequeña como 2,5 cm × 2,5 cm de una placa de circuito impreso de una sola capa y requiere un mínimo de energía y ancho de banda de red, lo que lo convierte en un dispositivo malicioso con todos los demás dispositivos de mejor esfuerzo conectados a la red. , puede mezclar. Los investigadores informaron en privado de sus hallazgos a la NASA y otras partes interesadas importantes de TTE. En un correo electrónico, un funcionario de la NASA escribió: «Los equipos de la NASA están al tanto de los hallazgos de la investigación TTE y han tomado medidas proactivas para garantizar que los riesgos potenciales para las naves espaciales se mitiguen adecuadamente».