Sichern Sie MAVLink in Ihrer gesamten UAV-Flotte. Ohne Änderung an der Autopilot-Firmware.
MAVLink wurde für serielle Verbindungen gebaut. Heute läuft es im Klartext über WLAN, Mobilfunk und Satellit. Dieser Leitfaden zeigt, wie Sie es durchgängig verschlüsseln und autorisieren.
Zuletzt aktualisiert:
Für vertrauenswürdige serielle Verbindungen gebaut
MAVLink wurde 2009 für serielle Punkt-zu-Punkt-Verbindungen zwischen einem einzelnen Autopiloten und einer Bodenstation entworfen. Es setzte eine vertrauenswürdige, physisch isolierte Verbindung voraus. Diese Annahme fällt, sobald UAVs über WLAN, 4G und Satellit kommunizieren, also über öffentliche Infrastruktur.
Telemetrie und Befehle laufen im Klartext
MAVLink v1 und v2 übertragen GPS-Koordinaten, Höhe, Kurs, Akkustand und Steuerbefehle im Klartext. Jedes Gerät auf der Funkstrecke oder im Netzwerkpfad kann jedes Paket mitlesen. Die Nachrichtensignatur in v2 authentifiziert die Nutzdaten, verschlüsselt sie aber nicht.
Gemeinsame Schlüssel ohne Rotation
Die Signatur in MAVLink v2 nutzt eine einzige gemeinsame Passphrase für alle Teilnehmer. Es gibt keine Schlüsselrotation, keine Forward Secrecy und keine Sitzungsschlüssel. Wird ein Knoten kompromittiert, ist die Signaturfähigkeit der gesamten Flotte offengelegt.
Befehlseinschleusung mit handelsüblichen Funkgeräten
Die Einstiegshürde ist niedrig und asymmetrisch. Ein reines Empfangs-SDR für etwa 30 $ (ein RTL-SDR) genügt, um Klartext-Telemetrie abzuhören und GPS-, Kurs- und Missionsdaten aus der Luft mitzulesen. Das Einschleusen von Befehlen erfordert mehr: ein sendefähiges SDR wie ein HackRF oder bladeRF, ungefähr ab 150 $. Sobald ein Angreifer senden kann, sind SET_MODE, DO_SET_HOME und MISSION_ITEM legitime Protokollbefehle, die keinen Exploit benötigen. Der Autopilot kann einen autorisierten Sender nicht von einem unautorisierten unterscheiden.
Vier Arten von MAVLink-Angriffen.
MAVLink-Bedrohungen betreffen Vertraulichkeit, Integrität, Verfügbarkeit und Sicherheit. Jede Kategorie nutzt das native Vertrauensmodell des Protokolls aus. Bei einem Fluggerät hat jede davon direkte physische Folgen.
Vertraulichkeit
Die Telemetrie sendet GPS-Position, Höhe, Kurs und Sensordaten im Klartext. Ein Angreifer kann den Standort verfolgen, Missionsziele ableiten und Sensordaten abfangen, ohne ein einziges Paket zu senden.
Integrität
Gefälschte MAVLink-Pakete können Wegpunkte ändern, Flugmodi umschalten oder Geofence-Grenzen aufheben. GPS-Spoofing über wiedereingespielte GLOBAL_POSITION_INT-Nachrichten kann Fahrzeuge an nicht autorisierte Orte umleiten.
Verfügbarkeit
Eine Flut hochfrequenter Nachrichten auf dem seriellen MAVLink-Bus oder dem Funkkanal führt zu Nachrichtenverlusten und Zeitüberschreitungen. Das Fahrzeug geht in den Failsafe-Modus und landet unter Umständen unkontrolliert in feindlichem Gelände.
Betriebssicherheit
PARAM_SET-Befehle können Höhengrenzen, Höchstgeschwindigkeit oder Akku-Failsafe-Schwellen ändern. Diese Änderungen bleiben über Neustarts hinweg bestehen. Ein manipulierter Parametersatz kann ein Fahrzeug außerhalb seines sicheren Flugbereichs betreiben.
Ein Zero-Trust-Overlay für MAVLink.
Jedes Fahrzeug wird verschlüsselt, geprüft und autorisiert.
Ein WireGuard-Agent auf dem Companion-Computer jedes Fahrzeugs baut einen verschlüsselten Tunnel zum Access Gate auf. Der MAVLink-Verkehr wird gekapselt, bevor er die Funkstrecke erreicht. Der Autopilot spricht über seine lokale serielle Verbindung weiter Standard-MAVLink. Keine Firmware-Änderungen, keine Protokolländerungen.
Das Access Gate terminiert den Tunnel, prüft die kryptografische Identität des Fahrzeugs, wendet Richtlinien zur Befehlsautorisierung an und protokolliert jede Nachricht. Nur autorisierte Befehle erreichen die Bodenkontrollstation oder die Cloud-C2-Plattform.
Fahrzeugidentität
Jedes UAV besitzt eine eigene kryptografische Identität (WireGuard-Schlüsselpaar). Keine gemeinsamen Schlüssel, keine Signatur per Passphrase. Die Kompromittierung eines Fahrzeugs betrifft nicht die Flotte.
Kontinuierliche Prüfung
Jede MAVLink-Nachricht läuft durch den verschlüsselten Tunnel. Das Access Gate prüft die Quellidentität bei jedem Paket, nicht nur beim Sitzungsaufbau.
Mikrosegmentierung
Jedes Fahrzeug kommuniziert nur mit seiner autorisierten Bodenstation oder seinem C2-Endpunkt. Laterale Bewegung zwischen Fahrzeugen ist standardmäßig blockiert. Wer die ganze Flotte kompromittieren will, muss jeden Tunnel einzeln knacken.
Ende-zu-Ende-Verschlüsselung
WireGuard bietet authentifizierte Verschlüsselung (ChaCha20-Poly1305) mit Perfect Forward Secrecy. Telemetrie, Befehle und Sensordaten sind vom Companion-Computer bis zum Access Gate verschlüsselt.
Vollständiger Audit-Trail
Jeder MAVLink-Befehl, jede Telemetrienachricht und jede Parameteränderung wird mit Fahrzeugidentität und Zeitstempel protokolliert. Sie können jeden Vorfall vollständig rekonstruieren.
Laden Sie den vollständigen MAVLink-Sicherheitsleitfaden herunter.
Der vollständige Leitfaden auf 31 Seiten: MAVLink-Protokollarchitektur, Bedrohungstaxonomie, kryptografische Abhilfe, Design des Zero-Trust-Overlays, Umsetzungsfahrplan und Zuordnung zu regulatorischen Anforderungen.
Was Sie erfahren
Warum MAVLink keine native Verschlüsselung hat und warum die Nachrichtensignatur nicht ausreicht. Wie die vier Angriffskategorien (Abhören, Einschleusen, Denial of Service und Parametermanipulation) zu physischen Folgen führen. Wie ein WireGuard-Overlay Ende-zu-Ende-Verschlüsselung liefert, ohne die Autopilot-Firmware zu ändern.
Mit Access Gate umsetzen
Access Gate setzt das Zero-Trust-Overlay als einzelne On-Premise-Appliance um. WireGuard-Tunnelterminierung, Prüfung der Fahrzeugidentität, Befehlsautorisierung und vollständige Audit-Protokollierung. Keine Änderungen an Autopiloten, keine Cloud-Abhängigkeit, funktioniert über jede Verbindungsart.
Häufige Fragen zur Absicherung von MAVLink.
Zero-Trust-Säulen: Fahrzeugidentität, kontinuierliche Prüfung, Mikrosegmentierung, Ende-zu-Ende-Verschlüsselung und vollständiges Audit. Umgesetzt, ohne einen einzigen Autopiloten zu verändern.
MAVLink wurde für direkte serielle Verbindungen zwischen einem Autopiloten und einer Bodenstation entworfen. Es überträgt System-IDs, Komponenten-IDs und Befehlsdaten im Klartext, ohne Authentifizierung. MAVLink v2 brachte eine optionale Nachrichtensignatur. Sie nutzt aber einen gemeinsamen Schlüssel ohne Rotation, ohne Forward Secrecy und ohne Verschlüsselung der Nutzdaten. Jedes Gerät, das die Passphrase kennt, kann Nachrichten signieren.
Es gibt vier Hauptkategorien. Angriffe auf die Vertraulichkeit hören Telemetrie, GPS-Koordinaten und Sensordaten ab. Angriffe auf die Integrität schleusen Befehle ein und fälschen GPS mit manipulierten MAVLink-Paketen. Angriffe auf die Verfügbarkeit fluten den seriellen Bus oder die Funkstrecke für einen Denial of Service. Angriffe auf die Betriebssicherheit ändern Flugparameter wie Höhengrenzen oder Geofence-Grenzen, um physischen Schaden anzurichten.
Ja. Ein WireGuard-Agent auf dem Companion-Computer (Raspberry Pi, Jetson) baut einen verschlüsselten Tunnel zum Access Gate auf. Der MAVLink-Verkehr wird in diesem Tunnel gekapselt, bevor er das Fahrzeug verlässt. Der Autopilot spricht über seine serielle Verbindung zum Companion-Computer weiter Standard-MAVLink. Keine Firmware-Änderungen nötig.
WireGuard fügt pro Paket einen geringen Overhead hinzu, in der Größenordnung von 1 bis 3 ms auf einem typischen Companion-Computer (Raspberry-Pi- oder Jetson-Klasse). Bei üblichen MAVLink-Telemetrieraten von 1 bis 10 Hz bleibt das bequem im Rahmen. Messen Sie die genau hinzukommende Latenz und den Jitter auf Ihrer eigenen Flugzelle, statt sie anzunehmen. Echtzeitsteuerung, die ein Timing im Submillisekundenbereich benötigt, bleibt auf dem lokalen seriellen Bus zwischen Autopilot und Companion-Computer. Nur die Langstreckenverbindung ist verschlüsselt, sodass die Flugschleife nie auf den Tunnel wartet.
Ja. FAA-BVLOS-Ausnahmegenehmigungen verlangen zunehmend den Nachweis einer sicheren Steuer- und Kontrollverbindung. CMMC Level 2 verlangt die Verschlüsselung von CUI während der Übertragung, und Telemetrie aus verteidigungsnahen UAV-Einsätzen kann CUI sein. NIS2 schreibt Netzwerksicherheit und Vorfallserkennung für wesentliche Dienste vor. Das Zero-Trust-Overlay liefert Verschlüsselung, Identitätsprüfung, Befehlsautorisierung und vollständige Audit-Protokollierung für alle drei Rahmenwerke.
