Black Hat Europe 2025 | Taking Control Over Legacy And ERTMS/ETCS Railroad Signaling Systems
三句話摘要
演講者通過逆向工程揭示西班牙鐵路信號系統的安全漏洞，證明遺留的ASFA與現代ERTMS信標都可被電磁欺騙。 遺留和現代鐵路信號系統都依賴明文或易偽造的機制，用公開文檔和廉價硬件即可証明系統可被遠程欺騙，暴露了關鍵基礎設施的根本性安全缺陷。 ASFA是被動式信標系統，使用感應耦合在111 kHz基頻上傳輸信號，不同頻率代表不同指令（紅燈95 kHz、綠燈60 kHz等）。演講者通過西班牙交通部公開發布的頻率表推斷硬件設計，成功複製了工作原理。
重點整理
重點- 1
ASFA是被動式信標系統，使用感應耦合在111 kHz基頻上傳輸信號，不同頻率代表不同指令（紅燈95 kHz、綠燈60 kHz等）。演講者通過西班牙交通部公開發布的頻率表推斷硬件設計，成功複製了工作原理。
- 2
團隊用紙板纏繞銅線製造線圈，配合電容器和終端插頭，通過nanoVNA調谐到目標頻率。改變線圈圈數、形狀或電容值可以改變谐振頻率，證明可以偽造信標信號。
- 3
ERTMS是現代歐盟標準，使用27.095 MHz磁場激活信標，信標返回3.9-4.5 MHz的FSK調制數字數據（速度、加速度、軌道信息等），但採用明文傳輸加弱校驗和，沒有身份驗證或握手機制。
- 4
演講者用公民波收音機發送激活信號，軟體無線電加頻率轉換器接收返回數據，成功遠程讀取真實信標信息，證明普通硬件即可破解現代系統。
實用技巧與重點
乾貨- ASFA系統參數：
- 振盪頻率：111 kHz
- 信號頻率範圍：50-100 kHz
- 紅燈（停止）：95 kHz
- 綠燈/黃燈：60 kHz
- 信標構成：線圈、電容器、被動電路
- ERTMS系統參數：
- 遙功率激活頻率：27.095 MHz
- 接收頻率範圍：3.9-4.5 MHz
- 調制方式：FSK（雙頻移鍵控）
- 傳輸內容：速度限制、加速度、轉向、坡度、信號狀態
- 數據格式：明文，包含報頭、數據長度、公開字段
- 標準來源：歐盟鐵路機構公開文檔
- 硬件工具：
- nanoVNA：天線分析儀（測量阻抗、谐振、駐波比）
- 公民波收音機（27 MHz）：發送遙功率信號
- 軟體無線電（BladeRF）+ 轉換器：接收4 MHz信號
- 採樣率需求：≥10 MHz
- 製造過程：
- 紙板線圈：多圈銅線纏繞紙板形成線圈
- 目標駐波比：接近1.0（完美值）
- 實現指標：27 MHz發送天線駐波比1.002，接收天線駐波比1.3
- 公開資源：
- 西班牙交通部透明網站：頻率分配表
- 歐盟ERTMS標準文檔：頻率和數據包格式規範
- 互聯網舊博客和技術文獻：80-90年代工程師發布的系統細節
結論
結論“遺留和現代鐵路信號系統都依賴明文或易偽造的機制，用公開文檔和廉價硬件即可証明系統可被遠程欺騙，暴露了關鍵基礎設施的根本性安全缺陷。”
完整解析
詳細鐵路系統在全球戰爭和外交衝突中成為關鍵基礎設施目標。演講者Gabriela Garcia和David Melendez在過去兩年研究了信號和控制系統的安全漏洞，從西班牙的ASFA（自動信號和制動系統）系統開始。
ASFA是一個有數十年歷史的被動信標系統，自60年代沿用至今。系統原理相對簡單：鐵路沿線放置的信標（稱為Balise）通過感應耦合在111 kHz基頻上工作，利用頻率變化向列車傳輸信息。不同的頻率代表不同的指令——紅燈（停車）對應95 kHz、綠燈對應60 kHz等。信標內部是一個簡單的LC電路（線圈加電容器），列車上裝有接收電路，能根據頻率差判斷信號類型。關鍵是，西班牙交通部的公開透明網站和互聯網上的老舊博客都發布了這些頻率表和硬件細節。
演講者証明可以用最簡單的材料複製信標：取一張亞馬遜紙板，繞上銅線形成線圈，配合電容器和終端插頭，用nanoVNA專業天線分析儀調諧到目標頻率。通過改變線圈圈數、線圈形狀或電容值，就能改變谐振頻率。他們成功製造了一個可以發出紅燈信號的虛假信標，証明列車會接收並處理這個偽造的指令，從而導致不必要的停車。
隨後他們擴展研究到現代的ERTMS（歐盟鐵路交通管理系統）標準。ERTMS使用更複雜的主動式信標，通過27.095 MHz磁場激活信標，信標隨後在3.9-4.5 MHz頻段用FSK調制返回數字數據，包含速度限制、加速度、軌道狀態、坡度等詳細參數。這些數據直接送入列車駕駛艙的計算機，如果駕駛員行為違反數據約束，列車自動停止。
ERTMS的根本缺陷在於傳輸採用明文加弱校驗和，沒有身份驗證或握手機制。演講者解釋，由於列車時速高達500 km/h，沒有時間進行複雜的握手過程，系統必須快速接收信標數據。他們用公民波收音機發送27 MHz激活信號，再用軟體無線電加頻率轉換器以10 MHz採樣率接收返回的4 MHz FSK數據。雖然面臨串擾雜訊干擾，但他們成功接收並解析了真實信標的數據包。所有這些工作都基於歐盟公開發布的ERTMS標準文檔、西班牙交通部的透明網站和互聯網上的公開資源，沒有涉及隱祕的"黑客"技術，只是利用公開信息和基礎電磁學知識。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
