Cómo funciona el ataque: acceso físico e implantación

El atacante comienza abriendo una escotilla sin seguro en el exterior de la aeronave, el compartimento de equipos electrónicos (E&E), en aproximadamente 15 segundos y sin necesidad de herramientas especiales . En su interior, hay un puerto de diagnóstico de mantenimiento utilizado por el personal en tierra para probar y solucionar problemas de los sistemas de aviónica, que está conectado directamente al Computador de Gestión de Vuelo (FMC) y a la Unidad de Visualización y Control Multipropósito (MCDU) de la cabina a través del bus ARINC 429 .

El dispositivo personalizado de los investigadores, que es aproximadamente del tamaño de una moneda (ligeramente más grande que una moneda de 25 centavos de dólar), se conecta a este puerto y cabe completamente debajo de la cubierta antipolvo existente, lo que lo hace invisible durante una inspección casual. La instalación total toma menos de 60 segundos .

Una vez conectado, el dispositivo utiliza una técnica que los investigadores llaman 'Bus Driver': envía señales con una corriente eléctrica más alta para anular y reemplazar los comandos genuinos transmitidos entre el FMC y la MCDU. Debido a que el protocolo ARINC 429 no tiene cifrado ni autenticación, el dispositivo puede interceptar, modificar e inyectar mensajes sin ser detectado . El dispositivo también incluye un módulo Wi-Fi, lo que permite a un atacante controlarlo de forma remota a través de la red Wi-Fi a bordo de la aeronave .

Manipulaciones específicas que puede realizar el dispositivo

El dispositivo 'Bus Driver' otorga al atacante varias formas de control sobre los sistemas de aviónica de la aeronave:

• Alterar puntos de ruta del piloto automático: El dispositivo puede hacer cambios pequeños e incrementales en los puntos de ruta del plan de vuelo. Con el tiempo, estas modificaciones sigilosas pueden desviar gradualmente la aeronave de su ruta prevista sin activar alertas para los pilotos .
• Cambiar variables de despegue: El dispositivo puede modificar datos críticos que utiliza el FMC para calcular el rendimiento de despegue, como el peso de la aeronave y la temperatura del aire exterior. Si el FMC registra un peso más bajo o una temperatura más alta de la real, puede calcular un empuje insuficiente para un despegue seguro .
• Falsear las pantallas de los pilotos: El dispositivo corrompe simultáneamente los datos mostrados en los instrumentos de la cabina, ocultando las modificaciones. El piloto ve valores falsos pero aparentemente plausibles, lo que dificulta la detección del ataque .

Consecuencias potenciales

Los investigadores advierten que estas capacidades podrían tener graves consecuencias:

• Rebase de pista durante el despegue debido a valores alterados de peso/temperatura .
• Desvío de la aeronave hacia espacio aéreo extranjero o restringido .
• Accidentes catastróficos en los peores escenarios .

Respuesta de Boeing y cronología

Boeing declaró que está "segura de que las capas de protección existentes en la aeronave, incluyendo el diseño del sistema y el entorno operativo, proporcionan una mitigación suficiente para limitar significativamente la viabilidad y el riesgo de ataques en el mundo real" . Sin embargo, los investigadores informan que Boeing fue notificada por primera vez sobre elementos de la investigación hace más de seis años, alrededor de 2020, y no ha revelado ninguna solución técnica específica para abordar la vulnerabilidad .

Mitigaciones recomendadas

Los investigadores proponen soluciones físicas a corto plazo y soluciones de ingeniería a más largo plazo:

Soluciones físicas a corto plazo

• Rellenar el puerto de mantenimiento externo con epoxi para bloquear el acceso físico .
• Eliminar el conector por completo de la aeronave .

Soluciones de software/hardware a largo plazo

• Implementar detección basada en software para identificar señales anómalas en el bus de aviónica .
• Agregar autenticación criptográfica a las comunicaciones ARINC 429 para evitar la suplantación de mensajes .

A pesar de la gravedad de la demostración, los investigadores enfatizan que ellos mismos continúan volando en Boeing 737. No piden que se inmovilicen las aeronaves, sino que abogan por una planificación a largo plazo de la industria para abordar esta clase de ataques a la aviónica con acceso físico .

Cómo funciona el ataque: acceso físico e implantación

El atacante comienza abriendo una escotilla sin seguro en el exterior de la aeronave, el compartimento de equipos electrónicos (E&E), en aproximadamente 15 segundos y sin necesidad de herramientas especiales . En su interior, hay un puerto de diagnóstico de mantenimiento utilizado por el personal en tierra para probar y solucionar problemas de los sistemas de aviónica, que está conectado directamente al Computador de Gestión de Vuelo (FMC) y a la Unidad de Visualización y Control Multipropósito (MCDU) de la cabina a través del bus ARINC 429 .

El dispositivo personalizado de los investigadores, que es aproximadamente del tamaño de una moneda (ligeramente más grande que una moneda de 25 centavos de dólar), se conecta a este puerto y cabe completamente debajo de la cubierta antipolvo existente, lo que lo hace invisible durante una inspección casual. La instalación total toma menos de 60 segundos .

Una vez conectado, el dispositivo utiliza una técnica que los investigadores llaman 'Bus Driver': envía señales con una corriente eléctrica más alta para anular y reemplazar los comandos genuinos transmitidos entre el FMC y la MCDU. Debido a que el protocolo ARINC 429 no tiene cifrado ni autenticación, el dispositivo puede interceptar, modificar e inyectar mensajes sin ser detectado . El dispositivo también incluye un módulo Wi-Fi, lo que permite a un atacante controlarlo de forma remota a través de la red Wi-Fi a bordo de la aeronave .

Manipulaciones específicas que puede realizar el dispositivo

El dispositivo 'Bus Driver' otorga al atacante varias formas de control sobre los sistemas de aviónica de la aeronave:

• Alterar puntos de ruta del piloto automático: El dispositivo puede hacer cambios pequeños e incrementales en los puntos de ruta del plan de vuelo. Con el tiempo, estas modificaciones sigilosas pueden desviar gradualmente la aeronave de su ruta prevista sin activar alertas para los pilotos .
• Cambiar variables de despegue: El dispositivo puede modificar datos críticos que utiliza el FMC para calcular el rendimiento de despegue, como el peso de la aeronave y la temperatura del aire exterior. Si el FMC registra un peso más bajo o una temperatura más alta de la real, puede calcular un empuje insuficiente para un despegue seguro .
• Falsear las pantallas de los pilotos: El dispositivo corrompe simultáneamente los datos mostrados en los instrumentos de la cabina, ocultando las modificaciones. El piloto ve valores falsos pero aparentemente plausibles, lo que dificulta la detección del ataque .

Consecuencias potenciales

Los investigadores advierten que estas capacidades podrían tener graves consecuencias:

• Rebase de pista durante el despegue debido a valores alterados de peso/temperatura .
• Desvío de la aeronave hacia espacio aéreo extranjero o restringido .
• Accidentes catastróficos en los peores escenarios .

Respuesta de Boeing y cronología

Boeing declaró que está "segura de que las capas de protección existentes en la aeronave, incluyendo el diseño del sistema y el entorno operativo, proporcionan una mitigación suficiente para limitar significativamente la viabilidad y el riesgo de ataques en el mundo real" . Sin embargo, los investigadores informan que Boeing fue notificada por primera vez sobre elementos de la investigación hace más de seis años, alrededor de 2020, y no ha revelado ninguna solución técnica específica para abordar la vulnerabilidad .

Mitigaciones recomendadas

Los investigadores proponen soluciones físicas a corto plazo y soluciones de ingeniería a más largo plazo:

Soluciones físicas a corto plazo

• Rellenar el puerto de mantenimiento externo con epoxi para bloquear el acceso físico .
• Eliminar el conector por completo de la aeronave .

Soluciones de software/hardware a largo plazo

• Implementar detección basada en software para identificar señales anómalas en el bus de aviónica .
• Agregar autenticación criptográfica a las comunicaciones ARINC 429 para evitar la suplantación de mensajes .

A pesar de la gravedad de la demostración, los investigadores enfatizan que ellos mismos continúan volando en Boeing 737. No piden que se inmovilicen las aeronaves, sino que abogan por una planificación a largo plazo de la industria para abordar esta clase de ataques a la aviónica con acceso físico .