Wat is gps-spoofing en hoe kunt u zich ertegen beschermen?

Bij gps-spoofing wordt een vals radiosignaal verzonden naar de antenne van een ontvanger om een legitiem gps-satellietsignaal te neutraliseren of te manipuleren. Over het algemeen willen kwaadwillenden met dit type cyberaanval bereiken dat goederen of mensen van koers raken. 

Gps-spoofing kan worden gebruikt om goederen te stelen, boten naar piraten te leiden of een valse locatie door te geven. 

Global Positioning System- oftewel gps-technologie wordt door veel organisaties en particulieren gebruikt. 

Gps kan mensen helpen van het ene punt naar het andere te komen. Het is technologie die veel wordt toegepast om mensen en goederen op de juiste bestemming te krijgen. 

Organisaties en personen kunnen maatregelen nemen om gps-spoofing te voorkomen. Zo kunnen ze nepantennes gebruiken en gps-apparatuur offline houden wanneer deze niet in gebruik is. Goed cybergedrag kan ook helpen om gps-spoofing tegen te gaan.

De definitie van gps-spoofing

"Spoofing" betekent eigenlijk "voor de gek houden". Bij gps-spoofing wordt nepinformatie naar een ontvanger verstuurd ter vervanging van de juiste informatie.

Er wordt een radiozender nabij een doelwit geplaatst en deze beïnvloedt de gps-signalen die worden uitgezonden. Gps-signalen zijn vaak zwak en worden via satellieten verzonden. Er kan een sterkere radiozender worden gebruikt om het zwakkere signaal te manipuleren en andere coördinaten en informatie naar de ontvanger te sturen. 

Mensen raken hierdoor van koers of er wordt een signaal afgegeven dat ze ergens zijn waar ze helemaal niet zijn.

Gps is een van de beschikbare wereldwijde satellietnavigatiesystemen (Global Navigation Satellite Systems, GNSS). Het wordt niet alleen gebruikt voor locatie-informatie, maar ook om de tijd nauwkeurig bij te houden. Deze functies kunnen worden verstoord door spoofing en jamming.

Zowel organisaties als personen kunnen het slachtoffer worden van gps-spoofing. Het kan de werking van smartphone-apps en locatiegegevens verstoren en kan worden gebruikt bij cyberaanvallen op netwerksystemen en kritieke infrastructuur die gebruikmaken van gps-data.

Hoe werkt gps-spoofing?

Het Amerikaanse gps-systeem bestaat uit 31 Navstar-satellieten die PRN-codes verzenden naar burgers en het Amerikaanse leger. De codes die naar het leger worden verstuurd, zijn versleuteld. Civiele PRN-codes worden niet versleuteld en zijn terug te vinden in openbare databases. Hierdoor zijn ze gevoelig voor cyberaanvallen. 

Een hacker bepaalt eerst welke gps-satellieten zich in zijn nabijheid bevinden. Vervolgens gebruikt de hacker de openbare PRN-code om een nieuwe code voor elke satelliet te genereren. Deze signalen worden vervolgens naar de nabijgelegen satelliet verzonden en de kracht worden langzaam opgevoerd totdat de ontvanger de gemanipuleerde codes detecteert. De aanvaller kan de ontvanger vervolgens valse coördinaten voeden.

Verschillende soorten gps-spoofing

Bij gps-spoofing worden foutieve gegevens of vervalste informatie naar een ontvanger verstuurd om verkeer, goederen of mensen om te leiden. Als dit op grote schaal gebeurt, bijvoorbeeld door een statelijke actor, worden vaak dure apparatuur en deskundige personen ingezet. 

Zo heeft Rusland zich vermoedelijk schuldig gemaakt aan circa 10.000 gevallen van spoofing, waarbij valse locatiegegevens werden verzonden naar civiele schepen om te voorkomen dat er drones in de buurt van president Poetin konden komen en om gevoelige locaties te beschermen. In dit soort situaties wordt apparatuur gebruikt die spoofing-signalen kan verzenden die wel 500 keer zo sterk zijn als die van het authentieke GNSS.

Gps-spoofing kan ook worden uitgevoerd met commercieel verkrijgbare en goedkope draagbare apparatuur, onder meer met radio's die op opensourcesoftware werken. Bij deze vormen van spoofing wordt een radioantenne op de gps-ontvanger van het doelwit gericht om de gps-signalen te manipuleren die worden verstuurd door gebouwen, vliegtuigen of schepen in de omgeving.

Spoofing-devices kunnen ook door een passagier worden meegenomen aan boord van een vliegtuig of op een drone worden bevestigd. Deze devices zijn klein en draagbaar, goedkoop en kunnen dicht bij het doelwit worden gebruikt. 

Gps-spoofing kan ook worden gebruikt voor cyberaanvallen, waarbij smartphone-apps meestal de legitieme locatiegegevens van de telefoon manipuleren. 

De schade die met gps-spoofing kan worden berokkend

Zowel organisaties als personen kunnen het slachtoffer worden van gps-spoofingen. Gps-spoofing kan wereldwijde implicaties hebben. Sectoren die bijzonder kwetsbaar zijn voor gps-spoofing zijn onder meer de logistiek, de bouw en de vervoerssector (ritten-apps, taxi's). 

Gps-spoofing wordt onder meer gebruikt voor de volgende schadelijke doeleinden:

• Omleiding van goederen naar andere locaties om ze te stelen: expediteurs gebruiken vaak op gps gebaseerde sloten zodat containers alleen op hun bestemming kunnen worden geopend. Met gps-spoofing kunnen deze sloten worden geopend. 
• Kaping van schepen voor piraterij: het kan hierbij gaan om grote vrachtschepen, cruiseschepen, jachten en particuliere vaartuigen die gps-coördinaten gebruiken om op zee hun koers te bepalen. 
• Verstoring van gps op luchthavens: dit kan tot gevolg hebben dat een vliegtuig van koers afraakt of dat wordt gepoogd een "blinde" landing uit te voeren, waarbij iedereen aan boord gevaar loopt. 
• Stelen van machines op bouwlocaties: bouwmachines kunnen erg duur zijn en waardevolle items zijn vaak beschermd met gps-volgsystemen. Op dergelijke systemen kan spoofing worden toegepast om de machines naar valse locaties te sturen, waar ze vervolgens worden gestolen. 
• Vervalsing van locaties door bestuurders van taxi's en ritten-apps om meer te verdienen: ritten-apps brengen vaak hogere tarieven in rekening als het druk is. Chauffeurs kunnen gps-spoofing gebruiken om hun locatie aan te passen en zo meer te verdienen. Het is ook voorgekomen dat ze een valse locatie doorgeven als ze zich onder werktijd schuldig maken aan delicten. 
• Nep-dates organiseren: dating-apps worden veel gebruikt om afspraakjes te maken en met gps-spoofing kan iemand naar een gevaarlijke locatie of een gevaarlijk persoon worden geleid. 
• Omleiding van auto's: bestuurders en auto's gebruiken vaak gps om een bestemming te bereiken. Wanneer deze informatie wordt vervalst, kunnen ze van koers raken. Dit is met name zorgwekkend als het gaat om volledige autonoom rijdende voertuigen.
• Verstoring van de universele bron van tijd: organisaties in de financiële, energie- en telecomsector gebruiken allemaal GNSS als universele bron van tijd. Als met deze informatie wordt geknoeid, kunnen financiële markten crashen, kan de energie uitvallen en kan het communicatienet worden verstoord. 
• Verstoring van services via mobiele apps en websites: locatiegegevens worden door veel sites en apps gebruikt om de identiteit van klanten te verifiëren. Met spoofing kan valse informatie worden verstrekt zodat de toegang wordt geweigerd.

Manieren om u te beschermen tegen gps-spoofing

Organisaties gebruiken allerlei technieken om zich tegen gps-spoofing te beschermen, waaronder cryptografie en detectie van invalrichting en van signaalverstoring. 

• Cryptografie: bij cryptografie versleutelen organisaties de inkomende en uitgaande satellietcodes. Om de coördinaten te kunnen lezen, is toegang tot deze sleutel vereist. Het is vergelijkbaar met de manier waarop het leger versleuteling toepast.

In de civiele sector is dit echter niet altijd een effectieve methode. Er moet namelijk een sleutel worden verspreid om de versleutelde data te kunnen ontgrendelen. Aangezien deze sleutel breed moet worden verspreid, is deze kwetsbaar voor hackers. 

• Detectie van invalrichting: spoofers bevinden zich meestal op één locatie wanneer ze een aanvalspoging doen. Dit betekent dat de valse signalen die ze versturen, afkomstig zijn van één locatie. Dit kan worden gedetecteerd met invalrichtingdetectie, aangezien legitieme gps-data vanaf verschillende satellieten tegelijk wordt verzonden. 
• Detectie van signaalverstoring: bij deze methode worden kanalen en hardware voor signaalverwerking toegevoegd die het amplitudeprofiel van een signaal nauwkeuriger kunnen volgen. 

Wanneer spoofing wordt toegepast op een gps-signaal, wordt in eerste instantie zowel het oorspronkelijke signaal als het valse signaal uitgezonden. Hierbij kan een klein piepje hoorbaar zijn. Als dit aan het begin van de spoof (voordat het oorspronkelijke signaal gedeactiveerd is en is vervangen door het valse signaal) gedetecteerd kan worden, kan de aanval mogelijk worden gestopt.

Het Department of Homeland Security (DHS) geeft de volgende tips om organisaties te beschermen tegen gps- en GNSS-spoofing-aanvallen:

• Verhul of verberg uw echte antennes. Zorg dat ze niet zichtbaar zijn voor het publiek door barrières te plaatsen of ze op een onzichtbare locatie te installeren. 
• Kies de locatie van uw antennes slim. Er mogen zich geen barrières tussen de antennes en de lucht bevinden, maar zorg dat de antennes niet zichtbaar zijn vanaf openbare locaties en gebouwen in de omgeving.
• Installeer nepantennes. Maak deze antennes duidelijk zichtbaar en plaats ze op ten minste 300 meter afstand van de echte antennes. 
• Voeg extra antennes toe. Als u meer dan één antenne hebt op een net iets andere locatie, kunt u potentiële problemen sneller detecteren.
• Gebruik blokkeerantennes. Deze bieden bescherming tegen jamming en interferentie. Ze kunnen ook de kans op spoofing-aanvallen verkleinen.
• Gebruik back-uptechnologie. Met inertiale sensoren kan de daadwerkelijke positie worden bepaald en cesium- of rubidiumklokken kunnen als back-upsysteem voor tijd worden gebruikt wanneer het gps-systeem niet werkt. Back-upsystemen die niet gebaseerd zijn op gps, zijn handig wanneer zich een probleem voordoet.
• Zorg voor goed cybergedrag. Wanneer gps-ontvangers en verwante apparatuur niet nodig zijn voor netwerkconnectiviteit, moeten ze offline worden gehouden. Er moet tweefactor-authenticatie worden toegepast, wachtwoorden moeten vaak worden gewijzigd en er moeten regelmatig updates en patches worden geïnstalleerd. Ook moeten regelmatig antivirusbescherming, firewalls en beschermingsmaatregelen worden geïmplementeerd. 

Voordelen van gps-spoofing

Gps-spoofing veroorzaakt allerlei risico's en kwetsbaarheden voor particulieren en organisaties, maar het kan ook bepaalde legitieme doelen dienen. 

Bij gps-tracking worden locaties gedeeld, wat privacyproblemen kan opleveren. Gps-spoofing-technieken kunnen dan worden gebruikt om de daadwerkelijke locatie van een persoon of product te verbergen. Er zijn veel apps en producten voor gps-spoofing voor deze doeleinden op de markt.

Gps-spoofing kan ook worden gebruikt door aanbieders van beveiligingsdiensten om waardevolle doelwitten of personen te beschermen. Spoofing-technieken worden daarnaast regelmatig gebruikt door particulieren die een systeem om de tuin willen leiden over hun locatie, bijvoorbeeld in het geval van smartphone-spelletjes en -apps die op locatie zijn gebaseerd. Deze kunnen vaak gratis uit de App Store worden gedownload op een smartphone.

Aanvullende resources

• Lijst met producten voor bescherming tegen GPS spoofing van het Homeland Security Systems Engineering and Development Institute (HSSEDI)
• Informatie over het PNT (Positioning, Navigation, and Timing)-programma en resources van het DHS
• Een handleiding voor de ontwikkeling van een whitelist van gps-ontvangers van het DHS, een gratis resource voor device developers 

Referenties

GPS Is Easy to Hack, and the U.S. Has No Backup. (December 2019). Scientific American.

Russia ‘Spoofing’ GPS on Vast Scale to Stop Drones From Approaching Putin, Report Says. (Maart 2019). NBC News. 

Persbericht: DHS Publishes Two Free Resources to Protect Critical Infrastructure From GPS Vulnerabilities. (Oktober 2021). Science and Technology Directorate.

Responsible Use of GPS for Critical Infrastructure. (December 2017). Homeland Security Systems Engineering and Development Institute (HSSEDI).

Positioning, Navigation, and Timing (PNT) Program. (Januari 2022). Science and Technology Directorate.

GPS Receiver Whitelist Development Guide. (Juli 2021). U.S. Department of Homeland Security (DHS).