Sådan fungerer "Bus Driver"-angrebet

Enheden fysisk tilsluttes en vedligeholdelsesport i flyets elektronik- og udstyrsskab, der er placeret under næsen og tilgængelig fra jorden bag en ulåst luge. Forskerne vurderer, at det tager under 60 sekunder at få adgang og tilslutte enheden .

Porten overfører data mellem Flight Management Computer (FMC) og pilotens Multi-purpose Control Display Unit (MCDU) via to ARINC 429-busser – en hårdkablet kommunikationsstandard fra 1977, der mangler meddelelsesgodkendelse eller kryptering .

Implantatet fungerer som en "bus driver" ved at sende mere strøm på bussen end de legitime computere, hvilket gør det muligt at tilsidesætte enhver transmission og injicere falske kommandoer. Det kan også undertrykke indikationer på pilotens skærm, så ændringer ikke vises .

Hvad enheden kan ændre

• Autopilotens waypoints og flyverute: Implantatet kan omdirigere flyet under flyvning, herunder aflede det til et andet lands luftrum eller ændre navigationen med blot få grader .
• Startparametre: Det kan ændre data for flyets vægt, balance, tyngdepunkt og udendørs lufttemperatur – alt sammen brugt til at beregne sikre startshastigheder. Forkerte værdier kan føre til en baneoverskridelse eller tab af kontrol .
• Pilotens skærme: Enheden kan forfalske resultaterne, der vises for piloterne, så de ikke ser, at der er sket en ændring, og dermed potentielt narre dem til at træffe farlige beslutninger .

Boeings reaktion

Forskerne afslørede først sårbarheden for Boeing i 2020 og validerede senere deres resultater i et Boeing-testanlæg . Boeing bekræftede, at de havde gennemgået deres komponenters design og grænseflader, og fortalte WIRED, at "de beskyttelseslag, der er på plads på flyet, herunder i systemdesignet og driftsmiljøet, giver tilstrækkelig afbødning til betydeligt at begrænse gennemførligheden og risikoen for angreb i den virkelige verden" . Forskerne siger, at Boeing ikke har informeret dem om nogen teknisk løsning. De spekulerer i, at virksomheden muligvis ikke implementerer en opdatering i årevis, i betragtning af hvor sjældent kommercielle fly redesignes .

Afbødning anbefalet af forskerne

• Fysisk forstærkning: Den enkleste løsning er at proppe vedligeholdelsesporten med epoxy eller fjerne den helt .
• Forbedret operationel sikkerhed: Forskerne argumenterer for strammere adgangskontrol omkring fly på jorden, da angrebet kræver kortvarig fysisk adgang til flyets ydre luge .
• Langsigtet systemredesign: Da ARINC 429-bussen mangler godkendelse, foreslår forskerne, at fremtidige avionik-busser bør inkludere sikkerhedsfunktioner som meddelelsesgodkendelse for at forhindre forfalskning .

Forskerne bemærker, at selvom angrebet er alvorligt og viser en betydelig blind vinkel i luftfartens cybersikkerhed, berettiger det ikke til at jordforbindelse af fly eller offentlig panik – alle forfatterne udtaler, at de "rutinemæssigt rejser med Boeing 737-fly og forventer at fortsætte med det" .

Sådan fungerer "Bus Driver"-angrebet

Enheden fysisk tilsluttes en vedligeholdelsesport i flyets elektronik- og udstyrsskab, der er placeret under næsen og tilgængelig fra jorden bag en ulåst luge. Forskerne vurderer, at det tager under 60 sekunder at få adgang og tilslutte enheden .

Porten overfører data mellem Flight Management Computer (FMC) og pilotens Multi-purpose Control Display Unit (MCDU) via to ARINC 429-busser – en hårdkablet kommunikationsstandard fra 1977, der mangler meddelelsesgodkendelse eller kryptering .

Implantatet fungerer som en "bus driver" ved at sende mere strøm på bussen end de legitime computere, hvilket gør det muligt at tilsidesætte enhver transmission og injicere falske kommandoer. Det kan også undertrykke indikationer på pilotens skærm, så ændringer ikke vises .

Hvad enheden kan ændre

• Autopilotens waypoints og flyverute: Implantatet kan omdirigere flyet under flyvning, herunder aflede det til et andet lands luftrum eller ændre navigationen med blot få grader .
• Startparametre: Det kan ændre data for flyets vægt, balance, tyngdepunkt og udendørs lufttemperatur – alt sammen brugt til at beregne sikre startshastigheder. Forkerte værdier kan føre til en baneoverskridelse eller tab af kontrol .
• Pilotens skærme: Enheden kan forfalske resultaterne, der vises for piloterne, så de ikke ser, at der er sket en ændring, og dermed potentielt narre dem til at træffe farlige beslutninger .

Boeings reaktion

Forskerne afslørede først sårbarheden for Boeing i 2020 og validerede senere deres resultater i et Boeing-testanlæg . Boeing bekræftede, at de havde gennemgået deres komponenters design og grænseflader, og fortalte WIRED, at "de beskyttelseslag, der er på plads på flyet, herunder i systemdesignet og driftsmiljøet, giver tilstrækkelig afbødning til betydeligt at begrænse gennemførligheden og risikoen for angreb i den virkelige verden" . Forskerne siger, at Boeing ikke har informeret dem om nogen teknisk løsning. De spekulerer i, at virksomheden muligvis ikke implementerer en opdatering i årevis, i betragtning af hvor sjældent kommercielle fly redesignes .

Afbødning anbefalet af forskerne

• Fysisk forstærkning: Den enkleste løsning er at proppe vedligeholdelsesporten med epoxy eller fjerne den helt .
• Forbedret operationel sikkerhed: Forskerne argumenterer for strammere adgangskontrol omkring fly på jorden, da angrebet kræver kortvarig fysisk adgang til flyets ydre luge .
• Langsigtet systemredesign: Da ARINC 429-bussen mangler godkendelse, foreslår forskerne, at fremtidige avionik-busser bør inkludere sikkerhedsfunktioner som meddelelsesgodkendelse for at forhindre forfalskning .

Forskerne bemærker, at selvom angrebet er alvorligt og viser en betydelig blind vinkel i luftfartens cybersikkerhed, berettiger det ikke til at jordforbindelse af fly eller offentlig panik – alle forfatterne udtaler, at de "rutinemæssigt rejser med Boeing 737-fly og forventer at fortsætte med det" .