Jak útok funguje: Fyzický přístup a implantace

Útočník začne tím, že otevře nezajištěný servisní poklop na vnější straně letadla – tzv. E&E (Electronics and Equipment) šachtu. To mu trvá zhruba 15 vteřin a nepotřebuje k tomu žádné speciální nářadí . Uvnitř se nachází diagnostický údržbářský port, který pozemní personál běžně používá pro testování a odstraňování závad avioniky. Tento port je přímo propojen s letovým počítačem (Flight Management Computer, FMC) a multifunkčním ovládacím displejem v kokpitu (Multipurpose Control Display Unit, MCDU) prostřednictvím sběrnice ARINC 429 .

Vlastní útočné zařízení, které je o něco větší než americký čtvrťák (quarter), se zasune do tohoto portu a zcela se vejde pod stávající krytku proti prachu. Při běžné prohlídce je tak prakticky neviditelné. Celá instalace zabere méně než 60 vteřin .

Jakmile je zařízení připojeno, použije techniku, kterou výzkumníci nazvali ‚Bus Driver‘ – vysílá signály s vyšším elektrickým proudem, čímž přepíše a nahradí původní povely přenášené mezi FMC a MCDU. Jelikož protokol ARINC 429 neobsahuje žádné šifrování ani autentizaci, dokáže zařízení zprávy zachytávat, měnit a vkládat zcela bez povšimnutí . Zařízení je navíc vybaveno Wi-Fi modulem, který útočníkovi umožňuje dálkové ovládání například prostřednictvím palubní Wi-Fi sítě letadla .

Co všechno dokáže zařízení provést

Zařízení ‚Bus Driver‘ poskytuje útočníkovi několik forem kontroly nad leteckou avionikou:

• Změna navigačních bodů autopilota: Zařízení může provádět malé, postupné změny navigačních bodů v letovém plánu. Tyto nenápadné úpravy mohou v průběhu času postupně odklonit letoun z původní trasy, aniž by pilot dostal varování .
• Změna parametrů při startu: Zařízení dokáže upravit kritické vstupní údaje, které FMC používá pro výpočet výkonu při startu – například hmotnost letadla a venkovní teplotu vzduchu. Pokud FMC zaregistruje nižší hmotnost nebo vyšší teplotu, než je skutečnost, může vypočítat nedostatečný tah pro bezpečné vzlétnutí .
• Falšování pilotních displejů: Zařízení současně korumpuje data zobrazovaná na přístrojích v kokpitu, čímž skrývá své úpravy. Pilot vidí falešné, ale věrohodné hodnoty, takže je velmi obtížné útok odhalit .

Možné důsledky

Výzkumníci varují, že tyto schopnosti mohou vést k vážným následkům:

• Přejetí ranveje při startu kvůli zmanipulovaným hodnotám hmotnosti/teploty .
• Odklon letadla do cizího nebo zakázaného vzdušného prostoru .
• V nejhorším případě katastrofické havárie .

Reakce Boeingu a časová osa

Boeing v reakci uvedl, že je „přesvědčen, že ochranné vrstvy zavedené v letadle, včetně těch v rámci návrhu systému a provozního prostředí, poskytují dostatečnou ochranu, která výrazně omezuje proveditelnost a riziko útoků v reálném světě“ . Výzkumníci však upozorňují, že Boeing byl o některých prvcích výzkumu informován již před více než šesti lety, zhruba v roce 2020, a od té doby nezveřejnil žádné konkrétní technické opatření k odstranění zranitelnosti .

Doporučená ochranná opatření

Výzkumníci navrhují jak krátkodobá fyzická řešení, tak dlouhodobější technická vylepšení:

Krátkodobá fyzická opatření

• Vyplnit externí údržbářský port epoxidovou pryskyřicí, čímž se zablokuje fyzický přístup .
• Zcela odstranit konektor z letadla .

Dlouhodobá softwarová/hardwarová řešení

• Implementovat softwarovou detekci, která by identifikovala anomální signály na letecké sběrnici .
• Přidat kryptografickou autentizaci ke komunikaci protokolu ARINC 429, aby se zabránilo padělání zpráv .

Navzdory závažnosti demonstrace výzkumníci zdůrazňují, že sami nadále létají s Boeingy 737. Nevyzývají k uzemnění letadel, ale místo toho prosazují dlouhodobé plánování v celém odvětví, které by se touto třídou útoků na avioniku s fyzickým přístupem zabývalo .

Jak útok funguje: Fyzický přístup a implantace

Útočník začne tím, že otevře nezajištěný servisní poklop na vnější straně letadla – tzv. E&E (Electronics and Equipment) šachtu. To mu trvá zhruba 15 vteřin a nepotřebuje k tomu žádné speciální nářadí . Uvnitř se nachází diagnostický údržbářský port, který pozemní personál běžně používá pro testování a odstraňování závad avioniky. Tento port je přímo propojen s letovým počítačem (Flight Management Computer, FMC) a multifunkčním ovládacím displejem v kokpitu (Multipurpose Control Display Unit, MCDU) prostřednictvím sběrnice ARINC 429 .

Vlastní útočné zařízení, které je o něco větší než americký čtvrťák (quarter), se zasune do tohoto portu a zcela se vejde pod stávající krytku proti prachu. Při běžné prohlídce je tak prakticky neviditelné. Celá instalace zabere méně než 60 vteřin .

Jakmile je zařízení připojeno, použije techniku, kterou výzkumníci nazvali ‚Bus Driver‘ – vysílá signály s vyšším elektrickým proudem, čímž přepíše a nahradí původní povely přenášené mezi FMC a MCDU. Jelikož protokol ARINC 429 neobsahuje žádné šifrování ani autentizaci, dokáže zařízení zprávy zachytávat, měnit a vkládat zcela bez povšimnutí . Zařízení je navíc vybaveno Wi-Fi modulem, který útočníkovi umožňuje dálkové ovládání například prostřednictvím palubní Wi-Fi sítě letadla .

Co všechno dokáže zařízení provést

Zařízení ‚Bus Driver‘ poskytuje útočníkovi několik forem kontroly nad leteckou avionikou:

• Změna navigačních bodů autopilota: Zařízení může provádět malé, postupné změny navigačních bodů v letovém plánu. Tyto nenápadné úpravy mohou v průběhu času postupně odklonit letoun z původní trasy, aniž by pilot dostal varování .
• Změna parametrů při startu: Zařízení dokáže upravit kritické vstupní údaje, které FMC používá pro výpočet výkonu při startu – například hmotnost letadla a venkovní teplotu vzduchu. Pokud FMC zaregistruje nižší hmotnost nebo vyšší teplotu, než je skutečnost, může vypočítat nedostatečný tah pro bezpečné vzlétnutí .
• Falšování pilotních displejů: Zařízení současně korumpuje data zobrazovaná na přístrojích v kokpitu, čímž skrývá své úpravy. Pilot vidí falešné, ale věrohodné hodnoty, takže je velmi obtížné útok odhalit .

Možné důsledky

Výzkumníci varují, že tyto schopnosti mohou vést k vážným následkům:

• Přejetí ranveje při startu kvůli zmanipulovaným hodnotám hmotnosti/teploty .
• Odklon letadla do cizího nebo zakázaného vzdušného prostoru .
• V nejhorším případě katastrofické havárie .

Reakce Boeingu a časová osa

Boeing v reakci uvedl, že je „přesvědčen, že ochranné vrstvy zavedené v letadle, včetně těch v rámci návrhu systému a provozního prostředí, poskytují dostatečnou ochranu, která výrazně omezuje proveditelnost a riziko útoků v reálném světě“ . Výzkumníci však upozorňují, že Boeing byl o některých prvcích výzkumu informován již před více než šesti lety, zhruba v roce 2020, a od té doby nezveřejnil žádné konkrétní technické opatření k odstranění zranitelnosti .

Doporučená ochranná opatření

Výzkumníci navrhují jak krátkodobá fyzická řešení, tak dlouhodobější technická vylepšení:

Krátkodobá fyzická opatření

• Vyplnit externí údržbářský port epoxidovou pryskyřicí, čímž se zablokuje fyzický přístup .
• Zcela odstranit konektor z letadla .

Dlouhodobá softwarová/hardwarová řešení

• Implementovat softwarovou detekci, která by identifikovala anomální signály na letecké sběrnici .
• Přidat kryptografickou autentizaci ke komunikaci protokolu ARINC 429, aby se zabránilo padělání zpráv .

Navzdory závažnosti demonstrace výzkumníci zdůrazňují, že sami nadále létají s Boeingy 737. Nevyzývají k uzemnění letadel, ale místo toho prosazují dlouhodobé plánování v celém odvětví, které by se touto třídou útoků na avioniku s fyzickým přístupem zabývalo .