Jak útok Bus Driver funguje

Výzkumníci – pod vedením bývalého doktoranda UCSD Sama Crowa – navrhli, postavili a naprogramovali malý obvod, který funguje jako škodlivé zařízení třetí strany vklíněné mezi dva kritické palubní počítače . Zde je podrobný popis útoku:

Fyzická instalace za méně než 60 sekund

Zařízení, zhruba o velikosti dvoukoruny a v nákladech pod 100 dolarů (cca 2 300 Kč), se instaluje otevřením externího poklopu na trupu letadla, který umožňuje přístup do šachty elektroniky a vybavení (E&E bay) . Útočník může tento poklop otevřít zhruba za 15 sekund bez jakéhokoli speciálního nářadí a poté zasunout implantát do odkrytého portu palubního údržbového počítače (OMC) . Celý proces netrvá déle než 60 sekund a zařízení je natolik malé, že se vejde pod krytku portu, kde zůstává při běžných kontrolách neviditelné .

Zneužití avionické sběrnice ARINC 429

Jakmile je implantát připojen, napojí se na nešifrovanou avionickou datovou sběrnici ARINC 429. Jedná se o jednomasterovou sériovou sběrnici, která přenáší veškerou komunikaci mezi letovým řídicím počítačem (FMC) a pilotovým multifunkčním ovládacím a zobrazovacím panelem (MCDU) . ARINC 429 nemá žádné vestavěné ověřování ani šifrování. Zásadní je, že její elektrické zapojení využívá rezistory pro přizpůsobení impedance, což umožňuje škodlivému zařízení elektricky přebít legitimní signály tím, že na sběrnici pošle silnější proud než autorizovaný vysílač . Výzkumníci tuto techniku potlačení signálu nazvali útokem „Bus Driver“ .

Co všechno může implantát změnit

Jakmile implantát převezme kontrolu nad sběrnicí, může vkládat falešné příkazy k provedení následujících akcí:

• Změna navigačních bodů a odklonění letadla z jeho naprogramované letové trasy
• Změna výpočtů vzletové hmotnosti, což přímo ovlivňuje referenční rychlosti V (rychlost nutná k rotaci při startu)
• Úprava údajů o venkovní teplotě vzduchu a množství paliva, což mění kritické výkonnostní výpočty

Utajení: Falešný displej pro pilota

Současně zařízení posílá do kokpitu falešná data, takže pilot na svém displeji vidí původní, nezměněný letový plán – všechny změny jsou tak dokonale skryty . Pilot by na obrazovce MCDU neviděl žádné varování ani nesrovnalost, což by útok učinilo z kokpitu extrémně obtížně odhalitelným .

Wi-Fi ovládání za letu

Implantát je vybaven Wi-Fi rádiem, což útočníkovi umožňuje posílat příkazy bezdrátově v reálném čase nebo dokonce nahrát škodlivou aktualizaci softwaru během letu . To znamená, že zařízení lze dynamicky ovládat od okamžiku instalace po celou dobu trvání letu.

Reakce Boeingu

Výzkumný tým nejprve zranitelnost oznámil Boeingu v roce 2020 a poté s výrobcem úzce spolupracoval na testování a validaci útoku v jeho vlastní laboratoři .

Boeing v reakci vydal prohlášení, které praktické riziko bagatelizovalo: „Naši techničtí odborníci jsou přesvědčeni, že stávající ochranné vrstvy letadla, včetně systémového návrhu a provozního prostředí, poskytují dostatečnou míru zmírnění, která významně omezuje proveditelnost a riziko útoků v reálném světě“ . Boeing také uvedl, že v reakci na zjištění výzkumníků provedl vlastní přezkum návrhů, instalací a rozhraní příslušných komponent .

Doporučená opatření

Výzkumníci navrhli řadu opatření k řešení zranitelnosti, včetně :

• Fyzické znepřístupnění externího OMC/servisního portu, například uzamykatelnými panely nebo plombami proti neoprávněné manipulaci
• Zlepšení elektrického oddělení na sběrnici ARINC 429, aby bylo obtížnější provádět útoky typu bus-driving
• Přidání kryptografického ověřování zpráv na sběrnici ARINC 429
• Zavedení fúze senzorů a křížové kontroly, aby nesrovnalosti mezi letovými parametry byly detekovány redundantními systémy
• Zlepšení výstrah v kokpitu, aby byli piloti upozorněni na neshody mezi daty FMC a displejem

Výzkumníci zdůraznili, že jejich zjištění nevyžadují uzemnění flotily, ale spíše volají po praktických, krátkodobých vylepšeních fyzické bezpečnosti a integrity avionických sběrnic .

Jak útok Bus Driver funguje

Výzkumníci – pod vedením bývalého doktoranda UCSD Sama Crowa – navrhli, postavili a naprogramovali malý obvod, který funguje jako škodlivé zařízení třetí strany vklíněné mezi dva kritické palubní počítače . Zde je podrobný popis útoku:

Fyzická instalace za méně než 60 sekund

Zařízení, zhruba o velikosti dvoukoruny a v nákladech pod 100 dolarů (cca 2 300 Kč), se instaluje otevřením externího poklopu na trupu letadla, který umožňuje přístup do šachty elektroniky a vybavení (E&E bay) . Útočník může tento poklop otevřít zhruba za 15 sekund bez jakéhokoli speciálního nářadí a poté zasunout implantát do odkrytého portu palubního údržbového počítače (OMC) . Celý proces netrvá déle než 60 sekund a zařízení je natolik malé, že se vejde pod krytku portu, kde zůstává při běžných kontrolách neviditelné .

Zneužití avionické sběrnice ARINC 429

Jakmile je implantát připojen, napojí se na nešifrovanou avionickou datovou sběrnici ARINC 429. Jedná se o jednomasterovou sériovou sběrnici, která přenáší veškerou komunikaci mezi letovým řídicím počítačem (FMC) a pilotovým multifunkčním ovládacím a zobrazovacím panelem (MCDU) . ARINC 429 nemá žádné vestavěné ověřování ani šifrování. Zásadní je, že její elektrické zapojení využívá rezistory pro přizpůsobení impedance, což umožňuje škodlivému zařízení elektricky přebít legitimní signály tím, že na sběrnici pošle silnější proud než autorizovaný vysílač . Výzkumníci tuto techniku potlačení signálu nazvali útokem „Bus Driver“ .

Co všechno může implantát změnit

Jakmile implantát převezme kontrolu nad sběrnicí, může vkládat falešné příkazy k provedení následujících akcí:

• Změna navigačních bodů a odklonění letadla z jeho naprogramované letové trasy
• Změna výpočtů vzletové hmotnosti, což přímo ovlivňuje referenční rychlosti V (rychlost nutná k rotaci při startu)
• Úprava údajů o venkovní teplotě vzduchu a množství paliva, což mění kritické výkonnostní výpočty

Utajení: Falešný displej pro pilota

Současně zařízení posílá do kokpitu falešná data, takže pilot na svém displeji vidí původní, nezměněný letový plán – všechny změny jsou tak dokonale skryty . Pilot by na obrazovce MCDU neviděl žádné varování ani nesrovnalost, což by útok učinilo z kokpitu extrémně obtížně odhalitelným .

Wi-Fi ovládání za letu

Implantát je vybaven Wi-Fi rádiem, což útočníkovi umožňuje posílat příkazy bezdrátově v reálném čase nebo dokonce nahrát škodlivou aktualizaci softwaru během letu . To znamená, že zařízení lze dynamicky ovládat od okamžiku instalace po celou dobu trvání letu.

Reakce Boeingu

Výzkumný tým nejprve zranitelnost oznámil Boeingu v roce 2020 a poté s výrobcem úzce spolupracoval na testování a validaci útoku v jeho vlastní laboratoři .

Boeing v reakci vydal prohlášení, které praktické riziko bagatelizovalo: „Naši techničtí odborníci jsou přesvědčeni, že stávající ochranné vrstvy letadla, včetně systémového návrhu a provozního prostředí, poskytují dostatečnou míru zmírnění, která významně omezuje proveditelnost a riziko útoků v reálném světě“ . Boeing také uvedl, že v reakci na zjištění výzkumníků provedl vlastní přezkum návrhů, instalací a rozhraní příslušných komponent .

Doporučená opatření

Výzkumníci navrhli řadu opatření k řešení zranitelnosti, včetně :

• Fyzické znepřístupnění externího OMC/servisního portu, například uzamykatelnými panely nebo plombami proti neoprávněné manipulaci
• Zlepšení elektrického oddělení na sběrnici ARINC 429, aby bylo obtížnější provádět útoky typu bus-driving
• Přidání kryptografického ověřování zpráv na sběrnici ARINC 429
• Zavedení fúze senzorů a křížové kontroly, aby nesrovnalosti mezi letovými parametry byly detekovány redundantními systémy
• Zlepšení výstrah v kokpitu, aby byli piloti upozorněni na neshody mezi daty FMC a displejem

Výzkumníci zdůraznili, že jejich zjištění nevyžadují uzemnění flotily, ale spíše volají po praktických, krátkodobých vylepšeních fyzické bezpečnosti a integrity avionických sběrnic .