Cyber

En un barco el girocompás, el GPS, la carta náutica electrónica y el piloto automático se hablan con el estándar NMEA 0183, que en la norma internacional se llama IEC 61162-1. Un aparato habla, todos los demás escuchan: frases de texto, una línea cada vez, a 4800 bits por segundo.

En los barcos más nuevos las mismas frases viajan por Ethernet, en paquetes UDP mandados a toda la red. El protocolo, sin embargo, no tiene autenticación: quien recibe una frase no puede saber quién la ha escrito. Un estudio de la Universidad de Génova, de 2023, mostró que un programa en la red de puente puede inyectar frases falsas del compás o del AIS, y los aparatos las aceptan.

Cada frase empieza por $, luego dos letras para quien habla y tres para el tipo de frase, luego los campos separados por comas. Al final un asterisco y la suma de control: dos cifras hexadecimales, el XOR de todos los caracteres entre $ y *. Sirve para descubrir los errores de transmisión, no los engaños: quien escribe una frase falsa calcula también la suma de control correcta.

En la prueba un ordenador conectado a la red de puente manda frases de rumbo falsas, como si fuera el girocompás, y mucho más a menudo que él. Quien escucha se queda con la última frase llegada, así que casi siempre gana la falsa. El piloto automático corrige el rumbo sobre un rumbo equivocado, y la carta náutica no muestra nada raro.

No es teoría. En 2013 un grupo de la Universidad de Texas, con el permiso del armador, sacó de su rumbo un yate de 65 metros frente a las costas italianas, con señales GPS falsas: la carta mostraba una línea recta. En 2017, en el mar Negro, el GPS de un barco lo situaba en tierra, cerca de un aeropuerto; según el capitán, más de 20 barcos de la zona tenían el mismo problema. En 2019 el informe C4ADS contó 9.883 casos sospechosos de falsificación del GPS, que habían afectado a 1.311 barcos civiles.

La defensa es un programa puente entre dos partes de la red. Reenvía las frases verdaderas y para las que llegan del lado equivocado: el rumbo y el GPS solo pueden venir de los instrumentos correctos. El tráfico pasa en paquetes UDP, y las reglas se cambian mientras el sistema está funcionando.

Desde 2021 la Organización Marítima Internacional pide que los riesgos informáticos entren en los sistemas de seguridad de las navieras. Sus directrices, en la revisión de 2025, ordenan el trabajo en seis funciones.

Para muchos barcos nuevos, contratados desde el 1 de julio de 2024, las reglas IACS E26 y E27 son obligatorias: la primera para el barco entero, desde el proyecto hasta toda su vida en servicio; la segunda para cada sistema de a bordo, a cargo de los proveedores.