Sicherheitslücke bei Boeing 737: Münzgroßes Gerät kann Autopiloten übernehmen

Das maßgeschneiderte Gerät der Forscher, etwa so groß wie eine 2-Euro-Münze, wird in diesen Port gesteckt und passt vollständig unter die vorhandene Staubschutzkappe – bei einer oberflächlichen Inspektion ist es unsichtbar. Die gesamte Installation dauert weniger als 60 Sekunden .

Sobald es angeschlossen ist, nutzt das Gerät eine Technik, die die Forscher „Bus Driver“ nennen: Es sendet Signale mit einer höheren elektrischen Stromstärke, um die echten Befehle zwischen FMC und MCDU zu überschreiben und zu ersetzen. Da das ARINC-429-Protokoll weder eine Verschlüsselung noch eine Authentifizierung besitzt, kann das Gerät Nachrichten abfangen, verändern und injizieren, ohne entdeckt zu werden . Das Gerät verfügt zudem über ein Wi-Fi-Modul, sodass ein Angreifer es aus der Ferne über das bordeigene Wi-Fi-Netzwerk des Flugzeugs steuern kann .

Was das Gerät konkret anrichten kann

Der „Bus Driver“-Angriff ermöglicht einem Angreifer verschiedene Formen der Kontrolle über die Flugzeugelektronik:

• Ändern von Autopilot-Wegpunkten: Das Gerät kann kleine, schrittweise Änderungen an den Wegpunkten des Flugplans vornehmen. Mit der Zeit können diese heimlichen Modifikationen das Flugzeug allmählich von seiner geplanten Route abbringen, ohne dass Pilotenalarme ausgelöst werden .
• Manipulation von Startparametern: Das Gerät kann kritische Eingaben verändern, die der FMC zur Berechnung der Startleistung verwendet, wie etwa das Flugzeuggewicht und die Außentemperatur. Registriert der FMC ein niedrigeres Gewicht oder eine höhere Temperatur als in Wirklichkeit, könnte er einen unzureichenden Schub für einen sicheren Start berechnen .
• Fälschung von Pilotenanzeigen: Das Gerät verfälscht gleichzeitig die Daten auf den Instrumenten im Cockpit und verbirgt so die Manipulationen. Der Pilot sieht falsche, aber plausibel wirkende Werte, was die Entdeckung des Angriffs erschwert .

Mögliche Folgen

Die Forscher warnen, dass diese Fähigkeiten zu ernsten Konsequenzen führen könnten:

• Startbahnüberschreitungen aufgrund manipulierter Gewichts-/Temperaturwerte .
• Umleitung des Flugzeugs in fremden oder gesperrten Luftraum .
• Katastrophale Abstürze im schlimmsten Fall .

Boeings Reaktion und Zeitplan

Boeing erklärte, man sei „zuversichtlich, dass die Schutzschichten des Flugzeugs, einschließlich des Systemdesigns und der Betriebsumgebung, ausreichende Maßnahmen bieten, um die Durchführbarkeit und das Risiko realer Angriffe erheblich zu begrenzen“ . Die Forscher berichten jedoch, dass Boeing bereits vor mehr als sechs Jahren, etwa 2020, über Teile der Forschung informiert wurde und seitdem keinen spezifischen technischen Fix zur Behebung der Sicherheitslücke veröffentlicht hat .

Empfohlene Gegenmaßnahmen

Die Forscher schlagen sowohl kurzfristige physische als auch langfristige technische Lösungen vor:

Kurzfristige physische Maßnahmen

• Den externen Wartungsport mit Epoxidharz füllen, um den physischen Zugang zu blockieren .
• Den Stecker komplett aus dem Flugzeug entfernen .

Langfristige Software-/Hardware-Lösungen

• Softwarebasierte Erkennung implementieren, um anomale Signale auf dem Avionik-Bus zu identifizieren .
• Kryptografische Authentifizierung für die ARINC-429-Kommunikation hinzufügen, um das Fälschen von Nachrichten zu verhindern .

Trotz der Schwere der Demonstration betonen die Forscher, dass sie weiterhin selbst in Boeing 737 fliegen. Sie fordern keine Flugzeugflüge zu grounden, sondern plädieren für eine langfristige Branchenplanung zur Bewältigung dieser Klasse von physischen Zugriffsangriffen auf die Avionik .