Miten ”Bus Driver” -hyökkäys toimii

Laite kytketään fyysisesti koneen elektroniikka- ja varustetilassa sijaitsevaan huoltoporttiin, joka on koneen nokan alla ja maasta käsin saavutettavissa lukitsemattoman luukun takana. Tutkijat arvioivat, että porttiin pääsee käsiksi ja laitteen saa kytkettyä alle 60 sekunnissa .

Portti välittää dataa lennonhallintatietokoneen (FMC) ja ohjaamon monitoiminäytön (MCDU) välillä kahdella ARINC 429 -väylällä – vuonna 1977 käyttöönotetulla standardilla, jossa ei ole viestien todennusta tai salausta .

Implantaatti toimii ”väylän ajurina” syöttämällä väylälle enemmän virtaa kuin lailliset tietokoneet, jolloin se voi ohittaa kaikki lähetykset ja syöttää omia väärennettyjä komentoja. Se pystyy myös piilottamaan ohjaamon näytöltä merkkejä tehdyistä muutoksista .

Mitä laite voi muuttaa

• Autopilotin reittipisteet ja lentoreitti: Implantaatti voi muuttaa koneen reittiä lennon aikana, esimerkiksi ohjata sen toisen maan ilmatilaan tai muuttaa navigointia muutamalla asteella .
• Lentoonlähtöarvot: Se voi muokata koneen painoa, tasapainoa, painopistettä ja ulkolämpötilaa – kaikkia turvallisten lentoonlähtönopeuksien laskennassa käytettäviä tietoja. Virheelliset arvot voivat johtaa kiitotien ylitykseen tai hallinnan menetykseen .
• Ohjaamon näytöt: Laite voi väärentää lentäjille näytettäviä tuloksia niin, etteivät he havaitse muutosta, mikä voi saada heidät tekemään vaarallisia päätöksiä .

Boeingen vastaus

Tutkijat ilmoittivat haavoittuvuudesta Boeingille ensimmäisen kerran vuonna 2020 ja myöhemmin vahvistivat löydöksensä Boeingen testitiloissa . Boeing vahvisti tarkistaneensa komponenttiensa suunnitelmat ja liitännät ja kertoi WIREDille, että ”koneessa olevat suojauskerrokset, mukaan lukien järjestelmäsuunnittelu ja käyttöympäristö, tarjoavat riittävän suojan vähentääkseen merkittävästi todellisten hyökkäysten toteutettavuutta ja riskiä” . Tutkijoiden mukaan Boeing ei ole kertonut heille teknisestä korjauksesta. He arvelevat, ettei yhtiö välttämättä toteuta päivitystä vuosiin, koska kaupallisia lentokoneita suunnitellaan uusiksi harvoin .

Tutkijoiden suosittelemat suojatoimet

• Fyysinen suojaaminen: Yksinkertaisin korjaus on tukkia huoltoportti epoksilla tai poistaa se kokonaan .
• Parannettu operatiivinen turvallisuus: Tutkijat vaativat tiukempia pääsynvalvontatoimia koneiden ympärillä maassa, koska hyökkäys vaatii lyhytaikaista fyysistä pääsyä koneen ulkoiseen luukkuun .
• Pidemmän aikavälin järjestelmäuudistus: Koska ARINC 429 -väylässä ei ole todennusta, tutkijat ehdottavat, että tulevissa avioniikkaväylissä olisi oltava suojausominaisuuksia, kuten viestien todennus, väärennösten estämiseksi .

Tutkijat huomauttavat, että vaikka hyökkäys on vakava ja paljastaa merkittävän sokean pisteen ilmailun kyberturvallisuudessa, se ei oikeuta koneiden käytöstä poistamiseen tai kansan paniikkiin – kaikki kirjoittajat kertovat ”matkustavansa säännöllisesti Boeing 737 -koneilla ja aikovat jatkaa niin” .

Miten ”Bus Driver” -hyökkäys toimii

Laite kytketään fyysisesti koneen elektroniikka- ja varustetilassa sijaitsevaan huoltoporttiin, joka on koneen nokan alla ja maasta käsin saavutettavissa lukitsemattoman luukun takana. Tutkijat arvioivat, että porttiin pääsee käsiksi ja laitteen saa kytkettyä alle 60 sekunnissa .

Portti välittää dataa lennonhallintatietokoneen (FMC) ja ohjaamon monitoiminäytön (MCDU) välillä kahdella ARINC 429 -väylällä – vuonna 1977 käyttöönotetulla standardilla, jossa ei ole viestien todennusta tai salausta .

Implantaatti toimii ”väylän ajurina” syöttämällä väylälle enemmän virtaa kuin lailliset tietokoneet, jolloin se voi ohittaa kaikki lähetykset ja syöttää omia väärennettyjä komentoja. Se pystyy myös piilottamaan ohjaamon näytöltä merkkejä tehdyistä muutoksista .

Mitä laite voi muuttaa

• Autopilotin reittipisteet ja lentoreitti: Implantaatti voi muuttaa koneen reittiä lennon aikana, esimerkiksi ohjata sen toisen maan ilmatilaan tai muuttaa navigointia muutamalla asteella .
• Lentoonlähtöarvot: Se voi muokata koneen painoa, tasapainoa, painopistettä ja ulkolämpötilaa – kaikkia turvallisten lentoonlähtönopeuksien laskennassa käytettäviä tietoja. Virheelliset arvot voivat johtaa kiitotien ylitykseen tai hallinnan menetykseen .
• Ohjaamon näytöt: Laite voi väärentää lentäjille näytettäviä tuloksia niin, etteivät he havaitse muutosta, mikä voi saada heidät tekemään vaarallisia päätöksiä .

Boeingen vastaus

Tutkijat ilmoittivat haavoittuvuudesta Boeingille ensimmäisen kerran vuonna 2020 ja myöhemmin vahvistivat löydöksensä Boeingen testitiloissa . Boeing vahvisti tarkistaneensa komponenttiensa suunnitelmat ja liitännät ja kertoi WIREDille, että ”koneessa olevat suojauskerrokset, mukaan lukien järjestelmäsuunnittelu ja käyttöympäristö, tarjoavat riittävän suojan vähentääkseen merkittävästi todellisten hyökkäysten toteutettavuutta ja riskiä” . Tutkijoiden mukaan Boeing ei ole kertonut heille teknisestä korjauksesta. He arvelevat, ettei yhtiö välttämättä toteuta päivitystä vuosiin, koska kaupallisia lentokoneita suunnitellaan uusiksi harvoin .

Tutkijoiden suosittelemat suojatoimet

• Fyysinen suojaaminen: Yksinkertaisin korjaus on tukkia huoltoportti epoksilla tai poistaa se kokonaan .
• Parannettu operatiivinen turvallisuus: Tutkijat vaativat tiukempia pääsynvalvontatoimia koneiden ympärillä maassa, koska hyökkäys vaatii lyhytaikaista fyysistä pääsyä koneen ulkoiseen luukkuun .
• Pidemmän aikavälin järjestelmäuudistus: Koska ARINC 429 -väylässä ei ole todennusta, tutkijat ehdottavat, että tulevissa avioniikkaväylissä olisi oltava suojausominaisuuksia, kuten viestien todennus, väärennösten estämiseksi .

Tutkijat huomauttavat, että vaikka hyökkäys on vakava ja paljastaa merkittävän sokean pisteen ilmailun kyberturvallisuudessa, se ei oikeuta koneiden käytöstä poistamiseen tai kansan paniikkiin – kaikki kirjoittajat kertovat ”matkustavansa säännöllisesti Boeing 737 -koneilla ja aikovat jatkaa niin” .