Interferência em GPS e AIS de navios: pesquisadores propõem gravar o sinal de rádio bruto como prova pericial em encalhes e colisões

Giacomo Longo, Alessandro Cantelli-Forti, Alessio Merlo e Enrico Russo, pesquisadores ligados à Escola de Estudos Avançados de Defesa (CASD) e ao consórcio CNIT, na Itália, depositaram em 18 de outubro de 2026, no repositório científico arXiv, o artigo “Spectrum of Liability: Forensically Sound Acquisition of Wireless Evidence for the Reconstruction of Maritime Cyber-Physical Incidents”, que propõe uma forma de preservar como prova os sinais de rádio recebidos por um navio.

O problema: a prova que sobra é a de baixo

A navegação comercial depende de dois sistemas de rádio, os sistemas globais de navegação por satélite (GNSS), como o GPS e o Galileo, que dão posição e hora, e o sistema de identificação automática (AIS), que troca em VHF mensagens de posição, rumo e velocidade entre embarcações, e os autores lembram que a recepção do GNSS é frágil pela potência muito baixa do sinal e que as mensagens do AIS são fáceis de manipular.

Quando há encalhe ou colisão e se suspeita de bloqueio (jamming) ou de falsificação (spoofing) do sinal, o que costuma estar disponível são os registros do registrador de dados de viagem (VDR), os logs do sistema integrado de passadiço, capturas de tela e mensagens já decodificadas, que os autores chamam de provas “de jusante”, porque mostram o que foi exibido no passadiço, perdem as características físicas do sinal e são fáceis de contestar num litígio.

O artigo cita um estudo de caso divulgado pela Gard, seguradora especializada em responsabilidade civil marítima, em que um navio perdeu o sinal de GPS no Mar Vermelho, seguiu horas com a posição estimada do sistema de cartas eletrônicas (ECDIS) e encalhou num recife de coral a 11,3 nós (20,9km/h), quando a posição real, confirmada depois por rastreamento externo, estava a mais de 40 milhas náuticas (74,1km) da estimada.

Sem acesso ao sinal de rádio original, dizem os autores, é quase impossível distinguir uma interferência externa de alternativas comuns, como defeito do receptor ou erro de configuração, e a mesma ocorrência pode ser enquadrada no seguro como risco marítimo comum, risco de guerra ou evento cibernético, conforme a causa que se consiga provar.

O método: gravar o sinal antes da decodificação

A proposta usa rádios definidos por software (SDR), que entregam o sinal recebido como amostras complexas, chamadas IQ, e grava essas amostras de várias faixas ao mesmo tempo, o que permite decodificar de novo e medir o sinal no nível físico depois do incidente.

Junto com as amostras, o sistema guarda os metadados do momento, como as sentenças NMEA, o formato padronizado em que os instrumentos de bordo trocam dados, as saídas já decodificadas de AIS e GNSS e o estado dos receptores, para ligar o que chegou pelo ar ao que os instrumentos mostraram.

Tudo vai para um único envelope forense que só aceita acréscimos, com um bloco inicial que registra a configuração e os identificadores dos equipamentos, blocos encadeados por hash para cada canal e para os metadados e um bloco final, e cada canal tem sua própria cadeia de hash, de modo que qualquer alteração, corte, emenda ou troca de trechos entre casos fica detectável.

Para fixar o tempo, os blocos inicial e final e pontos de controle periódicos recebem carimbos de tempo de uma autoridade de carimbo do tempo no padrão RFC 3161, e, sem conexão, o equipamento usa uma autoridade interna baseada num relógio de bordo de alta estabilidade, de ±0,1 parte por milhão, que, segundo os autores, acumula no máximo cerca de 0,26 segundo de deriva em 30 dias.

O equipamento proposto, chamado de RFbox, tem um módulo de plataforma confiável (TPM 2.0) que só libera a chave de assinatura se o hardware e o software estiverem na configuração registrada na instalação.

Os testes do protótipo

O protótipo, escrito em Rust, foi testado com seis perfis de captura, do AIS, com dois canais, ao conjunto completo de dez canais de AIS, VHF, GPS e Galileo, com sinais sintéticos gerados no próprio computador, 60 segundos de gravação e 25 repetições por perfil.

A camada forense aumentou o armazenamento em no máximo cerca de 3% em relação à gravação simples das amostras, o uso de processador ficou em geral entre 1,2 e 1,3 vez o da gravação simples, com pico de cerca de 2,5 vezes no perfil de GNSS, e o perfil mais pesado exigiu cerca de 322MB/s de escrita em disco, o que, para os autores, desloca o problema da criptografia para a capacidade de gravação.

A verificação feita por um terceiro rodou de 15 a 50 vezes mais rápido que o tempo real nos perfis de banda larga e até cerca de 1.000 vezes no AIS, com menos de 40MB de memória.

O que o método certifica e o que não certifica

Os autores dizem que o envelope garante que “isto é exatamente o que o gravador guardou”, e não que “isto é exatamente o que havia no ar”, porque um operador mal-intencionado ou um equipamento comprometido poderia injetar amostras sintéticas, alterar configurações ou gravar de outra antena, e por isso recomendam inicialização segura, firmware assinado, proteção física e, de preferência, receptores redundantes e diferentes entre si.

O método não pretende identificar o atacante, provar intenção nem interpretar cobertura de seguro ou causa jurídica, e os autores citam a norma ISO/IEC 27037, de identificação, coleta, aquisição e preservação de evidência digital, como referência de manuseio da prova, além de sugerirem que a captura seja integrada aos próprios registradores de dados de viagem, o que exigiria, nas palavras deles, um novo projeto desses equipamentos por causa do volume de dados.

Segundo o artigo, o mesmo padrão de prova serve para outros setores em que a segurança depende de sinais sem fio, como a aviação, o transporte terrestre com veículos conectados e redes industriais.