Sådan fungerer angrebet: Fysisk adgang og implantation

Angriberen begynder med at åbne en ulåst lem på flyets yderside – Electronics and Equipment (E&E)-rummet – på cirka 15 sekunder uden særlige værktøjer . Indvendig er der en diagnostisk vedligeholdelsesport, som jordpersonalet bruger til test og fejlfinding af avionik, og som er direkte forbundet til Flight Management Computer (FMC) og cockpitets Multipurpose Control Display Unit (MCDU) via ARINC 429-bussen .

Forskernes specialbyggede enhed, der er omtrent på størrelse med en mønt (lidt større end en 2-krone), sættes i denne port og passer helt ind under det eksisterende støvdæksel, hvilket gør den usynlig ved almindelige inspektioner. Hele installationen tager under 60 sekunder .

Når enheden er tilsluttet, bruger den en teknik, forskerne kalder 'Bus Driver' – at sende signaler med en højere elektrisk strøm for at tilsidesætte og erstatte ægte kommandoer, der sendes mellem FMC og MCDU. Fordi ARINC 429-protokollen ikke har nogen kryptering eller godkendelse, kan enheden opsnappe, ændre og injicere beskeder uden at blive opdaget . Enheden har også et Wi-Fi-modul, så en angriber kan styre den eksternt via flyets eget Wi-Fi-netværk .

Specifikke manipulationer enheden kan udføre

'Bus Driver'-enheden giver en angriber flere former for kontrol over flyets avionik:

• Ændre autopilotens rute-punkter: Enheden kan foretage små, gradvise ændringer i flyveplanens rute-punkter. Over tid kan disse snigende modifikationer gradvist aflede flyet fra den planlagte rute uden at udløse pilotalarmer .
• Ændre startparametre: Enheden kan ændre kritiske input, som FMC bruger til at beregne startydelse, såsom flyets vægt og udendørstemperatur. Hvis FMC registrerer en lavere vægt eller en højere temperatur end virkeligheden, kan den beregne utilstrækkelig kraft til en sikker start .
• Forfalske pilotens instrumenter: Enheden korrumperer samtidig de data, der vises på instrumenterne i cockpittet, og skjuler dermed ændringerne. Piloten ser falske, men plausible værdier, hvilket gør det svært at opdage angrebet .

Potentielle konsekvenser

Forskerne advarer om, at disse evner kan føre til alvorlige udfald:

• Baneoverskridelser under start på grund af manipulerede vægt-/temperaturværdier .
• Omdirigering af flyet til fremmed eller restriktivt luftrum .
• Katastrofale styrt i værste fald .

Boeings svar og tidslinje

Boeing har udtalt, at man er 'overbevist om, at de beskyttelseslag, der er på plads i flyet, herunder i systemdesignet og driftsmiljøet, giver tilstrækkelig afbødning til i høj grad at begrænse muligheden for og risikoen ved angreb i den virkelige verden' . Forskerne rapporterer dog, at Boeing blev informeret om dele af forskningen for mere end seks år siden, omkring 2020, og ikke har offentliggjort nogen specifik teknisk løsning for at afhjælpe sårbarheden .

Anbefalede afbødninger

Forskerne foreslår både kortsigtede fysiske løsninger og langsigtede tekniske løsninger:

Kortsigtede fysiske løsninger

• Fyld den udvendige vedligeholdelsesport med epoxy for at blokere fysisk adgang .
• Fjern stikket helt fra flyet .

Langsigtede software-/hardwareløsninger

• Implementer softwarebaseret detektion for at identificere unormale signaler på avionikbussen .
• Tilføj kryptografisk godkendelse til ARINC 429-kommunikation for at forhindre beskedforfalskning .

På trods af demonstrationens alvor understreger forskerne, at de selv fortsat flyver med Boeing 737. De opfordrer ikke til, at fly sættes på jorden, men går i stedet ind for langsigtet planlægning i industrien for at håndtere denne type fysisk-adgangs-angreb på avionik .

Sådan fungerer angrebet: Fysisk adgang og implantation

Angriberen begynder med at åbne en ulåst lem på flyets yderside – Electronics and Equipment (E&E)-rummet – på cirka 15 sekunder uden særlige værktøjer . Indvendig er der en diagnostisk vedligeholdelsesport, som jordpersonalet bruger til test og fejlfinding af avionik, og som er direkte forbundet til Flight Management Computer (FMC) og cockpitets Multipurpose Control Display Unit (MCDU) via ARINC 429-bussen .

Forskernes specialbyggede enhed, der er omtrent på størrelse med en mønt (lidt større end en 2-krone), sættes i denne port og passer helt ind under det eksisterende støvdæksel, hvilket gør den usynlig ved almindelige inspektioner. Hele installationen tager under 60 sekunder .

Når enheden er tilsluttet, bruger den en teknik, forskerne kalder 'Bus Driver' – at sende signaler med en højere elektrisk strøm for at tilsidesætte og erstatte ægte kommandoer, der sendes mellem FMC og MCDU. Fordi ARINC 429-protokollen ikke har nogen kryptering eller godkendelse, kan enheden opsnappe, ændre og injicere beskeder uden at blive opdaget . Enheden har også et Wi-Fi-modul, så en angriber kan styre den eksternt via flyets eget Wi-Fi-netværk .

Specifikke manipulationer enheden kan udføre

'Bus Driver'-enheden giver en angriber flere former for kontrol over flyets avionik:

• Ændre autopilotens rute-punkter: Enheden kan foretage små, gradvise ændringer i flyveplanens rute-punkter. Over tid kan disse snigende modifikationer gradvist aflede flyet fra den planlagte rute uden at udløse pilotalarmer .
• Ændre startparametre: Enheden kan ændre kritiske input, som FMC bruger til at beregne startydelse, såsom flyets vægt og udendørstemperatur. Hvis FMC registrerer en lavere vægt eller en højere temperatur end virkeligheden, kan den beregne utilstrækkelig kraft til en sikker start .
• Forfalske pilotens instrumenter: Enheden korrumperer samtidig de data, der vises på instrumenterne i cockpittet, og skjuler dermed ændringerne. Piloten ser falske, men plausible værdier, hvilket gør det svært at opdage angrebet .

Potentielle konsekvenser

Forskerne advarer om, at disse evner kan føre til alvorlige udfald:

• Baneoverskridelser under start på grund af manipulerede vægt-/temperaturværdier .
• Omdirigering af flyet til fremmed eller restriktivt luftrum .
• Katastrofale styrt i værste fald .

Boeings svar og tidslinje

Boeing har udtalt, at man er 'overbevist om, at de beskyttelseslag, der er på plads i flyet, herunder i systemdesignet og driftsmiljøet, giver tilstrækkelig afbødning til i høj grad at begrænse muligheden for og risikoen ved angreb i den virkelige verden' . Forskerne rapporterer dog, at Boeing blev informeret om dele af forskningen for mere end seks år siden, omkring 2020, og ikke har offentliggjort nogen specifik teknisk løsning for at afhjælpe sårbarheden .

Anbefalede afbødninger

Forskerne foreslår både kortsigtede fysiske løsninger og langsigtede tekniske løsninger:

Kortsigtede fysiske løsninger

• Fyld den udvendige vedligeholdelsesport med epoxy for at blokere fysisk adgang .
• Fjern stikket helt fra flyet .

Langsigtede software-/hardwareløsninger

• Implementer softwarebaseret detektion for at identificere unormale signaler på avionikbussen .
• Tilføj kryptografisk godkendelse til ARINC 429-kommunikation for at forhindre beskedforfalskning .

På trods af demonstrationens alvor understreger forskerne, at de selv fortsat flyver med Boeing 737. De opfordrer ikke til, at fly sættes på jorden, men går i stedet ind for langsigtet planlægning i industrien for at håndtere denne type fysisk-adgangs-angreb på avionik .