Cómo funciona el ataque 'Bus Driver'

Los investigadores, liderados por Sam Crow, exestudiante de doctorado de UC San Diego, diseñaron, construyeron y programaron una pequeña placa de circuito que actúa como un dispositivo malicioso de terceros insertado entre dos ordenadores críticos de a bordo . Así es como se desarrolla el ataque:

Instalación física en menos de 60 segundos

El dispositivo, aproximadamente del tamaño de una moneda de 25 centavos de dólar (un 'quarter') y con un coste de construcción inferior a 100 dólares, se instala abriendo una escotilla externa en el fuselaje del avión que da acceso al compartimento de Electrónica y Equipos (E&E) . Un atacante puede abrir esta escotilla en unos 15 segundos sin herramientas especiales y luego conectar el implante a un puerto expuesto del Ordenador de Mantenimiento a Bordo (OMC, por sus siglas en inglés) . Todo el proceso lleva menos de 60 segundos, y el dispositivo es tan pequeño que cabe debajo de la tapa antipolvo del puerto, pasando desapercibido durante las inspecciones rutinarias .

Explotación del bus de aviónica ARINC 429

Una vez conectado, el implante accede al bus de datos de aviónica ARINC 429 sin cifrar. Se trata de un bus serie de un solo maestro que transporta toda la comunicación entre el Ordenador de Gestión de Vuelo (FMC) y la Unidad de Control y Visualización Multifunción (MCDU) del piloto . ARINC 429 no tiene autenticación ni cifrado integrados. Un detalle crucial: su diseño eléctrico utiliza resistencias de adaptación de impedancia que permiten que un dispositivo malicioso anule eléctricamente las señales legítimas al enviar más corriente a las líneas del bus que el transmisor autorizado . Los investigadores llaman a esta técnica de supresión de señal el ataque 'Bus Driver' .

Qué puede alterar el implante

Una vez que el implante 'Bus Driver' anula el bus, puede inyectar comandos falsos para:

• Cambiar puntos de ruta y desviar el avión de su trayectoria de vuelo programada
• Alterar los cálculos de peso de despegue, lo que afecta directamente a las velocidades V (la velocidad de rotación necesaria para el despegue)
• Modificar los valores de temperatura del aire exterior y cantidad de combustible, alterando así los cálculos críticos de rendimiento

Sigilo: la pantalla del piloto engañada

Simultáneamente, el dispositivo envía datos falsos a las pantallas de la cabina de mando para que el piloto vea el plan de vuelo original sin modificar, ocultando todos los cambios . El piloto no vería ninguna alerta o discrepancia en la pantalla de la MCDU, lo que hace que el ataque sea extremadamente difícil de detectar desde la cabina .

Control por Wi-Fi en pleno vuelo

El implante incluye una radio Wi-Fi, lo que permite a un atacante enviar comandos de forma inalámbrica en tiempo real o incluso desplegar una actualización de software maliciosa mientras el avión está en vuelo . Esto significa que el dispositivo se puede controlar de forma dinámica desde el momento de su instalación y durante todo el vuelo.

La respuesta de Boeing

El equipo de investigación notificó por primera vez la vulnerabilidad a Boeing en 2020 y luego trabajó estrechamente con el fabricante para probar y validar el ataque en el propio laboratorio de Boeing .

En respuesta, Boeing emitió un comunicado restando importancia al riesgo práctico: "Nuestros expertos técnicos confían en que las capas de protección existentes en el avión, incluyendo el diseño del sistema y el entorno operativo, proporcionan una mitigación suficiente para limitar significativamente la viabilidad y el riesgo de ataques en el mundo real" . Boeing también declaró que llevó a cabo su propia revisión de los diseños, instalaciones e interfaces de los componentes relevantes en respuesta a los hallazgos de los investigadores .

Mitigaciones recomendadas

Los investigadores propusieron una serie de mitigaciones para abordar la vulnerabilidad, incluyendo :

• Bloquear físicamente el acceso al puerto externo OMC/de servicio, por ejemplo, con paneles que se puedan cerrar con llave o precintos de seguridad a prueba de manipulaciones
• Mejorar el aislamiento eléctrico en el bus ARINC 429 para dificultar los ataques de 'bus driver'
• Añadir autenticación criptográfica a los mensajes ARINC 429
• Implementar fusión de sensores y verificación cruzada para que las discrepancias entre los parámetros de vuelo sean detectadas por sistemas redundantes
• Mejorar las alertas en la cabina para que los pilotos sean notificados de las discrepancias entre los datos del FMC y los mostrados en pantalla

Los investigadores enfatizaron que sus hallazgos no requieren la inmovilización de la flota, sino que exigen mejoras prácticas y a corto plazo en la seguridad física y la integridad del bus de aviónica .

Cómo funciona el ataque 'Bus Driver'

Los investigadores, liderados por Sam Crow, exestudiante de doctorado de UC San Diego, diseñaron, construyeron y programaron una pequeña placa de circuito que actúa como un dispositivo malicioso de terceros insertado entre dos ordenadores críticos de a bordo . Así es como se desarrolla el ataque:

Instalación física en menos de 60 segundos

El dispositivo, aproximadamente del tamaño de una moneda de 25 centavos de dólar (un 'quarter') y con un coste de construcción inferior a 100 dólares, se instala abriendo una escotilla externa en el fuselaje del avión que da acceso al compartimento de Electrónica y Equipos (E&E) . Un atacante puede abrir esta escotilla en unos 15 segundos sin herramientas especiales y luego conectar el implante a un puerto expuesto del Ordenador de Mantenimiento a Bordo (OMC, por sus siglas en inglés) . Todo el proceso lleva menos de 60 segundos, y el dispositivo es tan pequeño que cabe debajo de la tapa antipolvo del puerto, pasando desapercibido durante las inspecciones rutinarias .

Explotación del bus de aviónica ARINC 429

Una vez conectado, el implante accede al bus de datos de aviónica ARINC 429 sin cifrar. Se trata de un bus serie de un solo maestro que transporta toda la comunicación entre el Ordenador de Gestión de Vuelo (FMC) y la Unidad de Control y Visualización Multifunción (MCDU) del piloto . ARINC 429 no tiene autenticación ni cifrado integrados. Un detalle crucial: su diseño eléctrico utiliza resistencias de adaptación de impedancia que permiten que un dispositivo malicioso anule eléctricamente las señales legítimas al enviar más corriente a las líneas del bus que el transmisor autorizado . Los investigadores llaman a esta técnica de supresión de señal el ataque 'Bus Driver' .

Qué puede alterar el implante

Una vez que el implante 'Bus Driver' anula el bus, puede inyectar comandos falsos para:

• Cambiar puntos de ruta y desviar el avión de su trayectoria de vuelo programada
• Alterar los cálculos de peso de despegue, lo que afecta directamente a las velocidades V (la velocidad de rotación necesaria para el despegue)
• Modificar los valores de temperatura del aire exterior y cantidad de combustible, alterando así los cálculos críticos de rendimiento

Sigilo: la pantalla del piloto engañada

Simultáneamente, el dispositivo envía datos falsos a las pantallas de la cabina de mando para que el piloto vea el plan de vuelo original sin modificar, ocultando todos los cambios . El piloto no vería ninguna alerta o discrepancia en la pantalla de la MCDU, lo que hace que el ataque sea extremadamente difícil de detectar desde la cabina .

Control por Wi-Fi en pleno vuelo

El implante incluye una radio Wi-Fi, lo que permite a un atacante enviar comandos de forma inalámbrica en tiempo real o incluso desplegar una actualización de software maliciosa mientras el avión está en vuelo . Esto significa que el dispositivo se puede controlar de forma dinámica desde el momento de su instalación y durante todo el vuelo.

La respuesta de Boeing

El equipo de investigación notificó por primera vez la vulnerabilidad a Boeing en 2020 y luego trabajó estrechamente con el fabricante para probar y validar el ataque en el propio laboratorio de Boeing .

En respuesta, Boeing emitió un comunicado restando importancia al riesgo práctico: "Nuestros expertos técnicos confían en que las capas de protección existentes en el avión, incluyendo el diseño del sistema y el entorno operativo, proporcionan una mitigación suficiente para limitar significativamente la viabilidad y el riesgo de ataques en el mundo real" . Boeing también declaró que llevó a cabo su propia revisión de los diseños, instalaciones e interfaces de los componentes relevantes en respuesta a los hallazgos de los investigadores .

Mitigaciones recomendadas

Los investigadores propusieron una serie de mitigaciones para abordar la vulnerabilidad, incluyendo :

• Bloquear físicamente el acceso al puerto externo OMC/de servicio, por ejemplo, con paneles que se puedan cerrar con llave o precintos de seguridad a prueba de manipulaciones
• Mejorar el aislamiento eléctrico en el bus ARINC 429 para dificultar los ataques de 'bus driver'
• Añadir autenticación criptográfica a los mensajes ARINC 429
• Implementar fusión de sensores y verificación cruzada para que las discrepancias entre los parámetros de vuelo sean detectadas por sistemas redundantes
• Mejorar las alertas en la cabina para que los pilotos sean notificados de las discrepancias entre los datos del FMC y los mostrados en pantalla

Los investigadores enfatizaron que sus hallazgos no requieren la inmovilización de la flota, sino que exigen mejoras prácticas y a corto plazo en la seguridad física y la integridad del bus de aviónica .