Security challenges of VDES and future VDES-based services

Abstract

En betydelig økning i antall fartøy i verdenshavene og innlandsfarvann har gradvis blitt mer krevende for maritime ICT-systemer. VTSs, maritime tjenesteleverandører og internasjonale myndigheter sliter med å holde tritt med veksten, da systemer som AIS nærmer seg kapasitetsgrensene sine og utfordrer evnen til å overvåke og håndtere maritim trafikk. Nivået av sikkerhet i AIS har vært temaet for mange cybersikkerhetsrapporter, og flere angrep mot systemet er identifisert. VDES er et nylig tillegg til det maritime ICT-økosystemet og har som mål å avlaste AIS-kanalene ved å øke båndbredde og dekning. Med økte funksjonaliteter kan VDES levere oppdaterte data om værforhold, vannstrømmer, miljøfarer, marint liv og grunne farvann, noe som hjelper skipets mannskap med å ta informerte beslutninger i tidskritiske situasjoner.

Imidlertid eksponerer denne økningen i tilkobling og automatisering også industrien for en ny rekke cybersikkerhetstrusler. Med en tilkobling til internett, økt kompleksitet og flere automatiserte prosesser kan angripere potensielt finne nye måter å angripe skip, tjenesteleverandører og myndigheter på, på måter som tidligere ble ansett som umulig.

Denne masteroppgaven presenterer en grundig analyse av fremtidige tjenester basert på VDES sett fra perspektivet til en ondsinnet aktør og hvordan de nylige teknologiske fremskrittene vil påvirke det overordnede sikkerhetslandskapet i den maritime industrien. Vi presenterer også funn fra to eksperimenter med både AIS og utveksling av VDES-meldinger. I det første eksperimentet ble en AIS-rammebygger opprettet fra bunnen av i Python for å tildele forfalskede sensorverdier ved kjøretid. I det andre eksperimentet, ble en VDES-rammebygger opprettet fra bunnen av i Python for Gnu Radio Companion, basert på nåværende implementeringsanbefalinger. Resultatene og de tekniske implementeringene av eksperimentene brukes til å analysere sikkerheten i en ny maritim applikasjon fra et kostnadsperspektiv. Det ble også gjennomført en omfattende litteraturstudie som samlet de teknologiske aspektene ved disse systemene basert på de nyeste tilgjengelige anbefalingene og standardene. Funn fra tre intervjuer blir også presentert, der oppfatningen av cybersikkerhet i industrien ble undersøkt, og hvilken lærdom som er hentet fra AIS

A strong increase in vessels in the world’s oceans and inland waterways has slowly become more demanding for maritime Information and Communication Technology (ICT) systems. VTSs, maritime service providers and international authorities are struggling to keep up with the growth, as systems such as AIS are reaching their capacity limits, challenging their ability to monitor and manage maritime traffic. The level of security in AIS has been the subject of many cyber security papers, and several attacks against the system have been identified. VDES is a recent addition to the maritime ICT ecosystem, and aims to unload AIS channels by increasing bandwidth and coverage. With added capabilities, VDES can deliver up-to-date data about weather, water currents, environmental hazards, marine life, and shallow waters, aiding the ship’s crew to make informed decisions in time-critical situations.

However, this increase in connectivity and automation also exposes the industry to a new pool of cyber security threats. With a connection to the Internet, additional complexity, and more automated processes, attackers could potentially find new ways of attacking ships, service providers, and authorities in ways previously considered unfeasible.

This master’s thesis presents an in-depth analysis of future VDES-based services from the perspective of a malicious actor and how the recent technological advancements will impact the overall security landscape in the maritime industry. We also present findings from two experiments into both AIS and VDES message exchange. In the first experiment, an AIS frame builder was created from scratch in Python to assign spoofed sensor values at runtime. In the second experiment, a VDES frame builder was created from scratch in Python for Gnu Radio Companion, based on the current implementation recommendations. The experiments’ results and technical implementations are used to analyze the security in a new maritime application from a cost-based perspective. A comprehensive literature study was also conducted, compiling the technological aspects of these systems based on the latest available recommendations and standards. Findings from three interviews are also presented, where the perception of cyber security in the industry was investigated, and what lessons have been learned from AIS.