Jak funguje útok „Bus Driver“

Zařízení se fyzicky zapojí do údržbového portu v elektronickém a přístrojovém oddílu letadla (tzv. Electronics and Equipment bay), který se nachází pod přídí a je ze země přístupný za odkrytým krytem. Podle výzkumníků trvá získání přístupu a připojení zařízení méně než 60 sekund .

Port přenáší data mezi palubním letovým počítačem (Flight Management Computer – FMC) a pilotním displejem (Multi-purpose Control Display Unit – MCDU) prostřednictvím dvou sběrnic ARINC 429. Tento standard pro kabelovou komunikaci pochází z roku 1977 a neobsahuje žádnou autentizaci zpráv ani šifrování .

Implantát funguje jako „řidič sběrnice“ (bus driver): dokáže na sběrnici poslat silnější elektrický signál než legitimní palubní počítače, čímž přepíše jejich vysílání a vloží vlastní falešné příkazy. Zároveň umí potlačit jakékoli indikace na pilotním displeji, že by k nějakým změnám došlo .

Co všechno může zařízení změnit

• Letové body a trajektorie autopilota: Implantát dokáže letoun za letu přesměrovat, například do vzdušného prostoru jiného státu, nebo změnit navigaci jen o několik stupňů .
• Vzletové parametry: Dokáže upravit údaje o hmotnosti letadla, vyvážení, těžišti a venkovní teplotě – tedy všechny hodnoty, které se používají pro výpočet bezpečné rychlosti při vzletu. Chybná data by mohla vést k přejetí konce dráhy nebo ztrátě kontroly nad strojem .
• Pilotní displeje: Zařízení umí na obrazovkách pilotů zobrazit falešné výsledky tak, aby si vůbec nevšimli, že došlo ke změně – mohlo by je tak přimět k nebezpečným rozhodnutím .

Reakce Boeingu

Výzkumníci o zranitelnosti informovali Boeing poprvé v roce 2020 a později své poznatky ověřili přímo v testovacím zařízení Boeingu . Boeing potvrdil, že provedl revizi návrhu a rozhraní svých komponentů, a pro WIRED uvedl, že „vrstvy ochrany zabudované v letadle, včetně systémového návrhu a provozního prostředí, představují dostatečné zmírnění, které výrazně omezuje proveditelnost a riziko reálných útoků“ . Výzkumníci však dodávají, že je Boeing o žádné technické opravě neinformoval a že společnost pravděpodobně několik let žádný update nevydá, protože komerční letadla se přepracovávají jen zřídka .

Doporučená protiopatření

• Fyzické zajištění: Nejednodušším řešením je zalepit údržbový port epoxidem nebo ho zcela odstranit .
• Zlepšení provozní bezpečnosti: Výzkumníci doporučují přísnější kontrolu přístupu k letadlům na zemi, protože útok vyžaduje jen krátký fyzický přístup k vnějšímu krytu letounu .
• Dlouhodobé přepracování systémů: Jelikož sběrnice ARINC 429 postrádá autentizaci, měly by budoucí palubní sběrnice podle vědců obsahovat bezpečnostní prvky, jako je autentizace zpráv, aby se falšování příkazů zabránilo .

Výzkumníci zdůrazňují, že ačkoli je útok vážný a odhaluje významné slepé místo v kybernetické bezpečnosti letectví, nevyžaduje uzemnění letadel ani veřejnou paniku – všichni autoři uvádějí, že „běžně létají na Boeingách 737 a hodlají v tom pokračovat“ .

Jak funguje útok „Bus Driver“

Zařízení se fyzicky zapojí do údržbového portu v elektronickém a přístrojovém oddílu letadla (tzv. Electronics and Equipment bay), který se nachází pod přídí a je ze země přístupný za odkrytým krytem. Podle výzkumníků trvá získání přístupu a připojení zařízení méně než 60 sekund .

Port přenáší data mezi palubním letovým počítačem (Flight Management Computer – FMC) a pilotním displejem (Multi-purpose Control Display Unit – MCDU) prostřednictvím dvou sběrnic ARINC 429. Tento standard pro kabelovou komunikaci pochází z roku 1977 a neobsahuje žádnou autentizaci zpráv ani šifrování .

Implantát funguje jako „řidič sběrnice“ (bus driver): dokáže na sběrnici poslat silnější elektrický signál než legitimní palubní počítače, čímž přepíše jejich vysílání a vloží vlastní falešné příkazy. Zároveň umí potlačit jakékoli indikace na pilotním displeji, že by k nějakým změnám došlo .

Co všechno může zařízení změnit

• Letové body a trajektorie autopilota: Implantát dokáže letoun za letu přesměrovat, například do vzdušného prostoru jiného státu, nebo změnit navigaci jen o několik stupňů .
• Vzletové parametry: Dokáže upravit údaje o hmotnosti letadla, vyvážení, těžišti a venkovní teplotě – tedy všechny hodnoty, které se používají pro výpočet bezpečné rychlosti při vzletu. Chybná data by mohla vést k přejetí konce dráhy nebo ztrátě kontroly nad strojem .
• Pilotní displeje: Zařízení umí na obrazovkách pilotů zobrazit falešné výsledky tak, aby si vůbec nevšimli, že došlo ke změně – mohlo by je tak přimět k nebezpečným rozhodnutím .

Reakce Boeingu

Výzkumníci o zranitelnosti informovali Boeing poprvé v roce 2020 a později své poznatky ověřili přímo v testovacím zařízení Boeingu . Boeing potvrdil, že provedl revizi návrhu a rozhraní svých komponentů, a pro WIRED uvedl, že „vrstvy ochrany zabudované v letadle, včetně systémového návrhu a provozního prostředí, představují dostatečné zmírnění, které výrazně omezuje proveditelnost a riziko reálných útoků“ . Výzkumníci však dodávají, že je Boeing o žádné technické opravě neinformoval a že společnost pravděpodobně několik let žádný update nevydá, protože komerční letadla se přepracovávají jen zřídka .

Doporučená protiopatření

• Fyzické zajištění: Nejednodušším řešením je zalepit údržbový port epoxidem nebo ho zcela odstranit .
• Zlepšení provozní bezpečnosti: Výzkumníci doporučují přísnější kontrolu přístupu k letadlům na zemi, protože útok vyžaduje jen krátký fyzický přístup k vnějšímu krytu letounu .
• Dlouhodobé přepracování systémů: Jelikož sběrnice ARINC 429 postrádá autentizaci, měly by budoucí palubní sběrnice podle vědců obsahovat bezpečnostní prvky, jako je autentizace zpráv, aby se falšování příkazů zabránilo .

Výzkumníci zdůrazňují, že ačkoli je útok vážný a odhaluje významné slepé místo v kybernetické bezpečnosti letectví, nevyžaduje uzemnění letadel ani veřejnou paniku – všichni autoři uvádějí, že „běžně létají na Boeingách 737 a hodlají v tom pokračovat“ .