Sådan fungerer Bus Driver-angrebet

Forskerne – ledet af den tidligere UCSD-ph.d.-studerende Sam Crow – designede, byggede og programmerede et lille kredsløbskort, der fungerer som en ondsindet tredjepartsenhed, der sættes ind mellem to kritiske ombordcomputere . Angrebet forløber sådan:

Fysisk installation på under 60 sekunder

Enheden, der er omtrent på størrelse med en 10-krone og koster under 100 dollars at bygge, installeres ved at åbne en udvendig luge på flyets skrog, der giver adgang til Electronics and Equipment (E&E)-bugten . En angriber kan åbne lugen på cirka 15 sekunder uden specialværktøj og derefter stikke implantaten i en udsat Onboard Maintenance Computer (OMC)-port . Hele processen tager under 60 sekunder, og enheden er så lille, at den kan gemmes under portens støvhætte og forblive usynlig ved rutineinspektioner .

Udnyttelse af ARINC 429-avionikbussen

Når den er tilsluttet, kobler implantaten sig på den ukrypterede ARINC 429-avionikdatabus, en serial bus med én master, der bærer al kommunikation mellem Flight Management Computer (FMC) og pilotens Multifunction Control and Display Unit (MCDU) . ARINC 429 har ingen indbygget autentificering eller kryptering. Afgørende er, at dens elektriske design bruger impedanstilpasningsmodstande, der gør det muligt for en ondsindet enhed elektrisk at tilsidesætte legitime signaler ved at sende mere strøm ud på buslinjerne end den autoriserede sender . Forskerne kalder denne signalundertrykkelsesteknik for 'Bus Driver'-angrebet .

Hvad implantaten kan ændre

Når Bus Driver-implantaten har overtaget bussen, kan den injicere forfalskede kommandoer til at:

• Ændre waypoints og omdirigere flyet fra den programmerede rute
• Ændre startvægtberegninger, som direkte påvirker V-speeds (den rotationshastighed, der kræves til start)
• Modificere udendørstemperatur og brændstofmængdeværdier, hvilket ændrer kritiske præstationsberegninger

Snigende: Den forfalskede pilotdisplay

Samtidig sender enheden falske data til cockpitdisplayet, så piloten ser den oprindelige, uændrede flyveplan – og dermed skjules alle ændringer . Piloten vil ikke se nogen alarm eller uoverensstemmelse på MCDU-skærmen, hvilket gør angrebet ekstremt svært at opdage fra cockpittet .

Wi-Fi-kontrol under flyvning

Implantaten inkluderer en Wi-Fi-radio, så en angriber trådløst kan sende kommandoer i realtid eller endda implementere en ondsindet softwareopdatering, mens flyet er i luften . Det betyder, at enheden kan styres dynamisk fra installationsøjeblikket og under hele flyvningen.

Boeings svar

Forskerholdet rapporterede først sårbarheden til Boeing i 2020 og arbejdede derefter tæt sammen med producenten om at teste og validere angrebet i Boeings eget laboratorium .

Boeing udsendte en udtalelse, der nedtonede den praktiske risiko: "Vores tekniske eksperter er overbeviste om, at de beskyttelseslag, der er på plads på flyet, herunder i systemdesignet og driftsmiljøet, giver tilstrækkelig afbødning til i væsentlig grad at begrænse muligheden for og risikoen for angreb i den virkelige verden" . Boeing oplyste også, at de havde foretaget deres egen gennemgang af de relevante komponentdesigns, installationer og grænseflader som svar på forskernes resultater .

Anbefalede afbødningsforanstaltninger

Forskerne foreslog en række afbødningsforanstaltninger til at imødegå sårbarheden, herunder :

• Fysisk blokering af adgang til den eksterne OMC/serviceport, for eksempel med låsbare paneler eller manipulationssikre segl
• Forbedret elektrisk isolering på ARINC 429-bussen for at gøre buskørselsangreb vanskeligere
• Tilføjelse af kryptografisk autentificering til ARINC 429-meddelelser
• Implementering af sensorfusion og krydskontrol, så uoverensstemmelser mellem flyveparametre opdages af redundante systemer
• Forbedret cockpitalarmering, så piloter underrettes om uoverensstemmelser mellem FMC- og displaydata

Forskerne understregede, at deres resultater ikke nødvendiggør en grounding af flåden, men snarere kræver praktiske, kortsigtede forbedringer af fysisk sikkerhed og avionikbusintegritet .

Sådan fungerer Bus Driver-angrebet

Forskerne – ledet af den tidligere UCSD-ph.d.-studerende Sam Crow – designede, byggede og programmerede et lille kredsløbskort, der fungerer som en ondsindet tredjepartsenhed, der sættes ind mellem to kritiske ombordcomputere . Angrebet forløber sådan:

Fysisk installation på under 60 sekunder

Enheden, der er omtrent på størrelse med en 10-krone og koster under 100 dollars at bygge, installeres ved at åbne en udvendig luge på flyets skrog, der giver adgang til Electronics and Equipment (E&E)-bugten . En angriber kan åbne lugen på cirka 15 sekunder uden specialværktøj og derefter stikke implantaten i en udsat Onboard Maintenance Computer (OMC)-port . Hele processen tager under 60 sekunder, og enheden er så lille, at den kan gemmes under portens støvhætte og forblive usynlig ved rutineinspektioner .

Udnyttelse af ARINC 429-avionikbussen

Når den er tilsluttet, kobler implantaten sig på den ukrypterede ARINC 429-avionikdatabus, en serial bus med én master, der bærer al kommunikation mellem Flight Management Computer (FMC) og pilotens Multifunction Control and Display Unit (MCDU) . ARINC 429 har ingen indbygget autentificering eller kryptering. Afgørende er, at dens elektriske design bruger impedanstilpasningsmodstande, der gør det muligt for en ondsindet enhed elektrisk at tilsidesætte legitime signaler ved at sende mere strøm ud på buslinjerne end den autoriserede sender . Forskerne kalder denne signalundertrykkelsesteknik for 'Bus Driver'-angrebet .

Hvad implantaten kan ændre

Når Bus Driver-implantaten har overtaget bussen, kan den injicere forfalskede kommandoer til at:

• Ændre waypoints og omdirigere flyet fra den programmerede rute
• Ændre startvægtberegninger, som direkte påvirker V-speeds (den rotationshastighed, der kræves til start)
• Modificere udendørstemperatur og brændstofmængdeværdier, hvilket ændrer kritiske præstationsberegninger

Snigende: Den forfalskede pilotdisplay

Samtidig sender enheden falske data til cockpitdisplayet, så piloten ser den oprindelige, uændrede flyveplan – og dermed skjules alle ændringer . Piloten vil ikke se nogen alarm eller uoverensstemmelse på MCDU-skærmen, hvilket gør angrebet ekstremt svært at opdage fra cockpittet .

Wi-Fi-kontrol under flyvning

Implantaten inkluderer en Wi-Fi-radio, så en angriber trådløst kan sende kommandoer i realtid eller endda implementere en ondsindet softwareopdatering, mens flyet er i luften . Det betyder, at enheden kan styres dynamisk fra installationsøjeblikket og under hele flyvningen.

Boeings svar

Forskerholdet rapporterede først sårbarheden til Boeing i 2020 og arbejdede derefter tæt sammen med producenten om at teste og validere angrebet i Boeings eget laboratorium .

Boeing udsendte en udtalelse, der nedtonede den praktiske risiko: "Vores tekniske eksperter er overbeviste om, at de beskyttelseslag, der er på plads på flyet, herunder i systemdesignet og driftsmiljøet, giver tilstrækkelig afbødning til i væsentlig grad at begrænse muligheden for og risikoen for angreb i den virkelige verden" . Boeing oplyste også, at de havde foretaget deres egen gennemgang af de relevante komponentdesigns, installationer og grænseflader som svar på forskernes resultater .

Anbefalede afbødningsforanstaltninger

Forskerne foreslog en række afbødningsforanstaltninger til at imødegå sårbarheden, herunder :

• Fysisk blokering af adgang til den eksterne OMC/serviceport, for eksempel med låsbare paneler eller manipulationssikre segl
• Forbedret elektrisk isolering på ARINC 429-bussen for at gøre buskørselsangreb vanskeligere
• Tilføjelse af kryptografisk autentificering til ARINC 429-meddelelser
• Implementering af sensorfusion og krydskontrol, så uoverensstemmelser mellem flyveparametre opdages af redundante systemer
• Forbedret cockpitalarmering, så piloter underrettes om uoverensstemmelser mellem FMC- og displaydata

Forskerne understregede, at deres resultater ikke nødvendiggør en grounding af flåden, men snarere kræver praktiske, kortsigtede forbedringer af fysisk sikkerhed og avionikbusintegritet .