Galileo test geverifieerde positie onder spoofing bij ESTEC

Een navigatieontvanger berekent een positie uit signalen die van satellieten lijken te komen. Bij spoofing zendt een aanvaller geloofwaardige vervalsingen uit, zodat het apparaat een verkeerde plek of tijd berekent. Sterkte alleen is dan geen betrouwbaar onderscheid: het valse signaal kan juist overtuigend zijn ontworpen.

Galileo heeft nu een toekomstige beveiligingslaag buiten het laboratorium beproefd. Op 16 september stuurden vijf operationele satellieten twee uur lang een speciaal versleuteld signaal over Europa. Gespecialiseerde ontvangers bij ESTEC in Noordwijk en op het Noorse eiland Andøya konden daarmee hun positie bepalen tijdens gecontroleerde storingsscenario’s.

Twee onderdelen moeten kloppen

Satellietnavigatie gebruikt zowel een navigatiebericht als een uiterst precieze afstandsmeting. Galileo heeft sinds 2025 OSNMA in gebruik om de herkomst van het navigatiebericht cryptografisch te controleren. De nieuwe Signal Authentication Service, kortweg SAS, richt zich ook op het afstandssignaal zelf.

SAS gebruikt het Galileo E6-C-signaal. Delen daarvan worden versleuteld en later met sleutels uit OSNMA controleerbaar gemaakt. Een geschikte ontvanger bewaart een stukje van het ontvangen signaal en vergelijkt dat met opnieuw versleutelde codefragmenten. Zo kan het apparaat nagaan of de meetcode werkelijk bij een Galileo-satelliet hoort.

Dat proces is ontworpen zonder dat iedere gebruiker vooraf een geheime sleutel hoeft te krijgen. EUSPA meldt wel dat de controle enkele tienden van een seconde vertraging kan toevoegen.

Een echte test, nog geen consumentenfunctie

De proef maakte deel uit van Jammertest, waar Noorse autoriteiten uiteenlopende jamming- en spoofingscenario’s uitzenden. ESA en het Joint Research Centre testten ontvangers daar onder gecontroleerde maar realistische omstandigheden. De tweede locatie was ESA’s navigatielaboratorium bij ESTEC.

Volgens ESA bleven de ontvangers met de versleutelde signalen een geverifieerde positie bepalen. Dat is een concrete technische mijlpaal. Het is echter een eerste-partijmelding over één testvenster met gespecialiseerde apparatuur, geen onafhankelijke bevestiging dat SAS op grote schaal of tegen ieder aanvalstype werkt.

Ook is SAS nog niet beschikbaar als gewone functie op een smartphone. Dat een telefoon Galileo-signalen kan ontvangen, betekent niet dat hij de nieuwe E6-C-authenticatie ondersteunt. ESA en EUSPA hebben nog geen lijst met geschikte consumentenapparaten, installatie-instructies of een Nederlandse beschikbaarheidsdatum gepubliceerd.

Waarom Noordwijk telt

Een van de twee bevestigde positiebepalingen vond in Nederland plaats. ESTEC is het technische centrum van ESA in Noordwijk en huisvest het laboratorium waar Galileo-ontvangers en signalen worden beproefd. Daarmee is de Nederlandse relevantie direct en technisch, niet afgeleid uit een algemene Europese toepassing.

Op termijn kan betere signaalcontrole relevant zijn voor sectoren die sterk op plaats en tijd vertrouwen, zoals scheepvaart, rail, landbouw, telecom en financiële systemen. De huidige test meet zulke maatschappelijke effecten niet. Zij laat alleen zien dat de nieuwe authenticatiemethode in deze opzet bruikbaar bleef terwijl vervalste signalen werden aangeboden.

Eerst validatie en accreditatie

EUSPA noemt 2027 als doel voor een eerste operationele dienst. Voor die verklaring moeten in 2027 nog validatie- en accreditatiestappen worden uitgevoerd met de Europese Commissie, ESA en industrie. Een doeljaar is geen garantie.

De Europese Commissie beheert en financiert Galileo. ESA leidt ontwerp, ontwikkeling en kwalificatie van ruimte- en grondsystemen; EUSPA wordt de dienstverlener en is verantwoordelijk voor de beveiligingsaccreditatie. Omdat deze organisaties ook de bron van de testclaim zijn, blijft onafhankelijke operationele toetsing een belangrijke volgende stap.

Bronnen

• ESA: veldtest van Galileo SAS onder spoofingcondities
• EUSPA: technische status en doeljaar van Galileo SAS