GPSスプーフィングとは？防御策は?
GPSスプーフィングとは、偽の無線信号が受信機のアンテナに送信され、正当なGPS衛星信号を打ち消してオーバーライドすることを指します。多くの場合、モノや人を正しい経路から外そうとする悪意ある行為者によって実行されるサイバー攻撃の一形態です。
GPSスプーフィングは、貨物を窃取する、船の乗組員を海賊の手に渡す、誤った場所を投影するといった目的のために使用されることがあります。
全地球測位システム（GPS）は、多くの企業が標準で使用しているテクノロジーであり、多くのコンシューマーも使用しています。
GPSを使用すると、個人がある地点から別の地点に移動するのに役立ちます。目的地に到達するためにこのテクノロジーに依存している輸送企業や個人にとって、一般的な方法です。
企業や個人は、GPSスプーフィングから保護するため、おとりのアンテナを使用する、接続が不要なときにGPS対応機器をオフラインにするなどの対策を講じることができます。適切なセキュリティ対策をとることも、GPSスプーフィングからの保護に役立ちます。
GPSスプーフィングの定義
スプーフィングは、要するに「なりすまし」です。GPSスプーフィングでは、「偽」の情報が受信機に送信され、実際の情報がオーバーライドされます。
GPSスプーフィングには、ターゲットの近くにあり、送信される実際のGPS信号に干渉する無線送信機が関与します。多くの場合にGPS信号は弱く、衛星を介して送信されます。より強い無線送信機を使用すると、弱い信号をオーバーライドし、不正な座標と情報を受信機に送信できます。
続いて、GPSスプーフィングによって人を正しい経路から外したり、他者の場所について誤った情報を伝えたりすることが可能になります。
GPSは、世界で使用されている全地球航法衛星システム（GNSS）の1つです。位置情報を配信するだけでなく、正確な時刻を保持するためにも使用されます。スプーフィングやジャミングによって、これらの機能が中断される可能性もあります。
GPSスプーフィングは、企業や個人に影響を及ぼし、スマートフォンのアプリや位置データに干渉する可能性や、GPSデータに依存するネットワークシステムや重要インフラストラクチャに対するサイバー攻撃に利用される可能性があります。
GPSスプーフィングの仕組み
米国のGPSシステムは、民間と米軍の両方にPRNコードをブロードキャストする Navstarと呼ばれる31の衛星 で構成されています。軍に送信されるコードは暗号化されます。民間のPRNコードは暗号化されず、公開データベースで公開されるため、サイバー攻撃に対して脆弱になります。
ハッカーはまず、どのGPS衛星が近くにあるかを軌道に基づいて判断します。次に、公開PRNコードを使用して、衛星ごとに新しいコードを作成します。これらの信号は近くの衛星にブロードキャストされ、強度を徐々に増していきます。受信機がなりすましコードを補足すると、攻撃者は受信者に対して誤った座標を入力できます。
GPSスプーフィングのタイプ
GPSスプーフィングは、誤ったデータを受信機に送信し、改ざんされた情報を使用してトラフィック、モノ、人々を迂回させます。国家が支援する攻撃者などによって大規模に行われるGPSスプーフィングには、高価な機器や専門のオペレーターが関与する可能性があります。
たとえば、ロシアは、ドローンがプーチン大統領に接近するのを防ぎ、機密性の高いサイトを保護するため、民間船に虚偽の位置データを送信する 1万件近くのなりすましに関与している可能性があります。このタイプのスプーフィングには、本物のGNSSの500倍もの強度を持つスプーフィング信号を送信できる機器が使用されます。
GPSスプーフィングは、オープンソースソフトウェアを実行するソフトウェア定義の無線の使用を含め、市販の安価でポータブルな機器でも実行できます。このタイプのスプーフィングでは、ブロードキャストアンテナを使用してターゲットのGPS受信機を指定し、近くの建物、航空機、または船舶により発信されたGPS信号をオーバーライドします。
また、なりすましデバイスは、飛行機内に乗客が持ち込むことや、ドローンにより展開することも可能です。こうしたデバイスは小型で携帯でき、安価であり、ターゲットのすぐ近くで使用できます。
さらに、サイバー攻撃がGPSスプーフィングとして実行される可能性もあり、しばしばスマートフォンアプリを使用して電話の正当な位置データに干渉します。
GPSスプーフィングが及ぼす悪影響
GPSスプーフィングは、企業と個人の両方にとって有害な影響を及ぼしかねません。問題が世界的な影響を与える可能性もあります。海運、建設、ライドシェア、タクシーなどの業界の企業が、GPSスプーフィングに対して最も脆弱です。
GPSスプーフィングが引き起こす危険性として、以下の例を紹介します。
- 出荷された貨物を別の誤った場所に誘導して、貨物を窃取する： 輸送業者はGPS対応のロックを使用して、目的地に到着したときにのみロックを解除できるようにすることが多いのですが、GPSスプーフィングでこうしたロックを解除することが可能です。
- 海賊行為を目的とした船のハイジャック： 大型貨物船、クルーズ船、ヨット、個人所有の船など、GPS座標に依存して海を航行する船舶が対象となります。
- 空港でのGPSの妨害： 飛行機が航路から外れたり、「盲目着陸」を試みざるを得なくなったりする可能性があり、搭乗するすべての人が危険にさらされます。
- 建設現場からの資産の移動： 多くの建設機器は高価であり、GPS資産追跡システムによって保護される高価値のアイテムを含みます。こうしたシステムのスプーフィングによって、誤った場所に機器が送られ、窃取される可能性があります。
- タクシー/ライドシェア運営で、利益を得るため場所を偽る： 多くのライドシェアアプリは、ピーク時の「サージプライシング」に依存しています。ドライバーはGPSスプーフィングにより、こうした場所に自らを配置することで、金銭的利益を得ることができます。また、勤務中に犯罪行為を行うために、自分の場所を誤って報告することも可能です。
- 「偽」のデートに人々を送る： 出会い系アプリはデートの約束を入れるために使用されますが、GPSスプーフィングによって利用者が危険な場所や人物に引き渡される可能性があります。
- 車を間違った行き先に誘導する： ドライバーや車は、目的地に到達するためにGPSを使用することがよくあります。この情報のスプーフィングによって、経路から外れる可能性があります。完全自動運転で走行する車の脆弱性を考慮すると、これは特に懸念される問題です。
- 世界時ソースの中断： 金融会社、電力会社、通信会社はすべて、世界時ソースとしてGNSSを使用しています。これがスプーフィングの対象になると、金融市場の暴落、停電、通信網の混乱といった問題を引き起こす可能性があります。
- モバイルアプリやWebサイトを介したサービスの中断： 位置データは、これらのサイトやアプリの多くで、顧客のアイデンティティを確認するために使用されます。スプーフィングにより虚偽の情報を提供し、他者のアクセスを拒否する可能性があります。
GPSスプーフィングから保護する方法
GPSスプーフィングから保護するためには、暗号化、到来方向センシング、信号歪みの検知など、さまざまな手法を利用できます。
- 暗号化：暗号化を使用して、送受信される衛星コードを暗号化します。これらのコードにアクセスできる人だけが、座標を読み取ることができます。これは、軍事暗号化の仕組みに似ています。
ただし、暗号化されたデータのロックを解除するための「キー」を配布する必要があるため、これは民間部門では必ずしも効果的な方法ではありません。キーを広く配布する必要があるため、ハッカーに対して脆弱になります。
- 到来方向センシング： スプーフィングの実行者は、固定の場所から攻撃を試みることが多いため、送信する偽の信号は1つの場所からのみ送信されます。正当なGSPデータは一度に複数の衛星から送信されることから、到来方向センシングによって偽の信号を特定できます。
- 信号歪みの検知： この方法では、信号の振幅プロファイルをより高い精度で追跡できる信号処理チャネルとハードウェアを追加します。
GPS信号がスプーフィングされると、最初は元の信号と偽の信号の両方が送信されるため、小さな「ブリップ」が発生する可能性があります。スプーフィングの開始時に、元の信号がドロップオフされ、偽の信号への「ドラッグオフ」が行われます。その前にこの歪みを検知できれば、攻撃を阻止することが可能です。
米国国土安全保障省 （DHS）は、GPSまたはGNSSのスプーフィング攻撃から企業を保護するために役立つ対策を提案しています。
- 実際のアンテナの存在をあいまいにする、または隠す。 一般に見えないように、バリアを設置するか、認識できない場所に配置します。
- アンテナの位置を慎重に選択する。 上空から遮蔽されていないことが必要ですが、公共の場所や近くの建物からブロックされるような場所を確保することが賢明です。
- おとりアンテナを設置する。 これらのアンテナをはっきりと見えるようにし、実際のアンテナから少なくとも300メートル離して配置します。
- 冗長アンテナを追加する。 わずかに異なる場所に複数のアンテナを配置することで、潜在的な問題を見つけやすくなります。
- 妨害防止アンテナを使用する。 ジャミングや干渉から保護します。また、スプーフィング攻撃のリスクを軽減できます。
- バックアップを使用する。 慣性センサーは実際の位置を決定するのに役立ち、セシウムまたはルビジウム時計はGPSがダウンしているときにバックアップタイミングシステムとして機能します。GPSに依存しないバックアップシステムは、問題発生時に役立ちます。
- 適切なサイバーハイジーンを実践する。 GPS受信機と関連機器は、ネットワーク接続に必要ない場合にはオフラインにしておくべきです。2要素認証 を導入し、パスワードを頻繁に変更し、更新とパッチを定期的にインストールします。ウイルス対策、ファイアウォール、サイバー防御のプラクティスをすべて実行します。
Benefits of GPS spoofing
GPSスプーフィングは、コンシューマーや企業に潜在的なリスクや脆弱性を多くもたらしますが、合法的かつ有益な目的もいくつかあります。
GPS追跡には位置の共有が含まれますが、これはプライバシーの懸念を引き起こす可能性があります。このため、GPSスプーフィングの手法を使用して、人やモノの実際の位置を隠すことができます。この目的のGPSスプーフィングアプリや製品は、市場で多く提供されています。
高価値のターゲットや個人を保護する必要のあるセキュリティ企業も、GPSスプーフィングを利用しています。コンシューマーが、スプーフィングの手法を使用することも少なくありません。ロケーションベースのスマートフォンゲーム/アプリなどのシステムを「だまして」自分の場所を偽ることが目的です。これらは、多くの場合にスマートフォンのアプリストアから無料でダウンロードできます。
こちらの情報も併せてご活用ください
- 国土安全保障システム工学開発研究所（HSSEDI）によるGPSスプーフィング保護向け製品リスト
- PNT（測位、ナビゲーション、タイミング）プログラムに関する情報とDHSを通じて提供されるリソース
- DHSの GPS受信機ホワイトリスト開発ガイド（デバイス開発者向けの無料リソース）
参考文献
GPS Is Easy to Hack, and the U.S. Has No Backup（2019年12月、 Scientific American）
Russia ‘Spoofing’ GPS on Vast Scale to Stop Drones From Approaching Putin, Report Says（2019年3月、 NBC News）
News Release: DHS Publishes Two Free Resources to Protect Critical Infrastructure From GPS Vulnerabilities （2021年10月、Science and Technology Directorate）
Responsible Use of GPS for Critical Infrastructure（2017年12月、Homeland Security Systems Engineering and Development Institute［HSSEDI］）
Positioning, Navigation, and Timing (PNT) Program （2022年1月、Science and Technology Directorate）
GPS Receiver Whitelist Development Guide. (July 2021). U.S. Department of Homeland Security (DHS).