Fonctionnement de l’attaque : accès physique et implantation

L’attaquant commence par ouvrir une trappe non verrouillée à l’extérieur de l’appareil — le compartiment électronique (E&E bay) — en 15 secondes environ, sans outillage particulier . À l’intérieur se trouve un port de diagnostic utilisé par les mécaniciens au sol pour tester et dépanner l’avionique ; ce port est directement relié au Flight Management Computer (FMC) et au boîtier de commande du cockpit (MCDU) via le bus ARINC 429 .

Le dispositif conçu par les chercheurs, légèrement plus grand qu’une pièce de 2 euros, se branche sur ce port et se glisse entièrement sous le capuchon de protection existant, ce qui le rend invisible lors d’une inspection rapide. L’installation totale prend moins de 60 secondes .

Une fois connecté, l’appareil utilise une technique que les chercheurs appellent « Bus Driver » : il envoie des signaux à une intensité électrique plus élevée pour écraser et remplacer les commandes légitimes circulant entre le FMC et le MCDU. Comme le protocole ARINC 429 ne comporte ni chiffrement ni authentification, le dispositif peut intercepter, modifier et injecter des messages sans être détecté . L’appareil intègre également un module Wi‑Fi, permettant à un attaquant de le contrôler à distance via le réseau Wi‑Fi de bord .

Manipulations possibles

Le « Bus Driver » offre plusieurs formes de contrôle sur l’avionique :

• Modifier les waypoints du pilote automatique : le dispositif peut apporter de petites modifications progressives aux waypoints du plan de vol. Ces changements discrets peuvent, avec le temps, dérouter l’appareil de sa trajectoire prévue sans déclencher d’alerte pour les pilotes .
• Changer les variables de décollage : il peut altérer des données critiques utilisées par le FMC pour calculer les performances au décollage, comme le poids de l’avion et la température extérieure. Si le FMC enregistre un poids inférieur ou une température supérieure à la réalité, il peut calculer une poussée insuffisante pour un décollage en toute sécurité .
• Falsifier les affichages du cockpit : l’appareil corrompt simultanément les données affichées sur les instruments, masquant ainsi les modifications. Le pilote voit des valeurs fausses mais plausibles, ce qui rend l’attaque difficile à détecter .

Conséquences potentielles

Les chercheurs estiment que ces capacités pourraient entraîner des situations graves :

• Sortie de piste au décollage à cause des valeurs de poids/température trafiquées .
• Déroutement de l’appareil vers un espace aérien étranger ou restreint .
• Accidents catastrophiques dans les pires scénarios .

Réponse de Boeing et chronologie

Boeing a déclaré être « confiant que les couches de protection en place sur l’avion, notamment dans la conception du système et l’environnement d’exploitation, apportent une mitigation suffisante pour limiter significativement la faisabilité et le risque d’attaques réelles » . Cependant, les chercheurs rapportent que Boeing a été informé de certains aspects de la recherche il y a plus de six ans, vers 2020, et n’a pas divulgué de correctif technique spécifique pour remédier à la vulnérabilité .

Mesures de mitigation recommandées

Les chercheurs proposent à la fois des correctifs physiques à court terme et des solutions d’ingénierie à plus long terme :

Correctifs physiques à court terme

• Remplir le port de maintenance externe d’époxy pour bloquer l’accès physique .
• Retirer complètement le connecteur de l’avion .

Correctifs logiciels/matériels à long terme

• Mettre en place une détection logicielle pour identifier les signaux anormaux sur le bus avionique .
• Ajouter une authentification cryptographique aux communications ARINC 429 pour empêcher l’usurpation de messages .

Malgré la gravité de la démonstration, les chercheurs soulignent qu’ils continuent de prendre l’avion sur des Boeing 737. Ils ne demandent pas l’immobilisation des appareils, mais plaident pour une planification à long terme de l’industrie afin de traiter cette classe d’attaques par accès physique à l’avionique .

Fonctionnement de l’attaque : accès physique et implantation

L’attaquant commence par ouvrir une trappe non verrouillée à l’extérieur de l’appareil — le compartiment électronique (E&E bay) — en 15 secondes environ, sans outillage particulier . À l’intérieur se trouve un port de diagnostic utilisé par les mécaniciens au sol pour tester et dépanner l’avionique ; ce port est directement relié au Flight Management Computer (FMC) et au boîtier de commande du cockpit (MCDU) via le bus ARINC 429 .

Le dispositif conçu par les chercheurs, légèrement plus grand qu’une pièce de 2 euros, se branche sur ce port et se glisse entièrement sous le capuchon de protection existant, ce qui le rend invisible lors d’une inspection rapide. L’installation totale prend moins de 60 secondes .

Une fois connecté, l’appareil utilise une technique que les chercheurs appellent « Bus Driver » : il envoie des signaux à une intensité électrique plus élevée pour écraser et remplacer les commandes légitimes circulant entre le FMC et le MCDU. Comme le protocole ARINC 429 ne comporte ni chiffrement ni authentification, le dispositif peut intercepter, modifier et injecter des messages sans être détecté . L’appareil intègre également un module Wi‑Fi, permettant à un attaquant de le contrôler à distance via le réseau Wi‑Fi de bord .

Manipulations possibles

Le « Bus Driver » offre plusieurs formes de contrôle sur l’avionique :

• Modifier les waypoints du pilote automatique : le dispositif peut apporter de petites modifications progressives aux waypoints du plan de vol. Ces changements discrets peuvent, avec le temps, dérouter l’appareil de sa trajectoire prévue sans déclencher d’alerte pour les pilotes .
• Changer les variables de décollage : il peut altérer des données critiques utilisées par le FMC pour calculer les performances au décollage, comme le poids de l’avion et la température extérieure. Si le FMC enregistre un poids inférieur ou une température supérieure à la réalité, il peut calculer une poussée insuffisante pour un décollage en toute sécurité .
• Falsifier les affichages du cockpit : l’appareil corrompt simultanément les données affichées sur les instruments, masquant ainsi les modifications. Le pilote voit des valeurs fausses mais plausibles, ce qui rend l’attaque difficile à détecter .

Conséquences potentielles

Les chercheurs estiment que ces capacités pourraient entraîner des situations graves :

• Sortie de piste au décollage à cause des valeurs de poids/température trafiquées .
• Déroutement de l’appareil vers un espace aérien étranger ou restreint .
• Accidents catastrophiques dans les pires scénarios .

Réponse de Boeing et chronologie

Boeing a déclaré être « confiant que les couches de protection en place sur l’avion, notamment dans la conception du système et l’environnement d’exploitation, apportent une mitigation suffisante pour limiter significativement la faisabilité et le risque d’attaques réelles » . Cependant, les chercheurs rapportent que Boeing a été informé de certains aspects de la recherche il y a plus de six ans, vers 2020, et n’a pas divulgué de correctif technique spécifique pour remédier à la vulnérabilité .

Mesures de mitigation recommandées

Les chercheurs proposent à la fois des correctifs physiques à court terme et des solutions d’ingénierie à plus long terme :

Correctifs physiques à court terme

• Remplir le port de maintenance externe d’époxy pour bloquer l’accès physique .
• Retirer complètement le connecteur de l’avion .

Correctifs logiciels/matériels à long terme

• Mettre en place une détection logicielle pour identifier les signaux anormaux sur le bus avionique .
• Ajouter une authentification cryptographique aux communications ARINC 429 pour empêcher l’usurpation de messages .

Malgré la gravité de la démonstration, les chercheurs soulignent qu’ils continuent de prendre l’avion sur des Boeing 737. Ils ne demandent pas l’immobilisation des appareils, mais plaident pour une planification à long terme de l’industrie afin de traiter cette classe d’attaques par accès physique à l’avionique .