Comment fonctionne l'attaque « Bus Driver »

Le dispositif est branché physiquement dans un port de maintenance situé dans le compartiment électronique et d'équipement de l'avion, sous le nez, accessible depuis le sol derrière une trappe non verrouillée. Les chercheurs estiment qu'il faut moins de 60 secondes pour y accéder et connecter l'appareil .

Ce port achemine les données entre l'ordinateur de gestion de vol (Flight Management Computer, FMC) et l'unité d'affichage de contrôle multifonction (MCDU) du pilote via deux bus ARINC 429. Il s'agit d'un standard de communication filaire datant de 1977, qui ne comporte ni authentification des messages ni chiffrement .

L'implant agit comme un « bus driver » en envoyant un courant plus fort sur le bus que les ordinateurs légitimes, ce qui lui permet d'écraser toutes les transmissions et d'injecter ses propres commandes falsifiées. Il peut également supprimer les indications sur l'écran du pilote signalant que des modifications ont été effectuées .

Ce que le dispositif peut modifier

• Points de cheminement et trajectoire du pilote automatique : L'implant peut modifier la route de l'avion en vol, y compris le dérouter vers l'espace aérien d'un autre pays ou modifier sa navigation de quelques degrés seulement .
• Variables de décollage : Il peut modifier les données relatives au poids, à l'équilibre, au centre de gravité et à la température extérieure de l'avion, qui sont toutes utilisées pour calculer les vitesses de décollage sécurisées. Des valeurs incorrectes pourraient entraîner une sortie de piste ou une perte de contrôle .
• Affichages pilotes : Le dispositif peut simuler les résultats affichés aux pilotes, de sorte qu'ils ne voient aucune indication de changement, ce qui pourrait les inciter à prendre des décisions dangereuses .

Réponse de Boeing

Les chercheurs ont d'abord signalé la vulnérabilité à Boeing en 2020 et ont ensuite validé leurs conclusions dans une installation d'essai de Boeing . Boeing a confirmé avoir procédé à un examen de la conception et des interfaces de ses composants, et a déclaré à WIRED que « les multiples couches de protection en place sur l'avion, y compris dans la conception du système et l'environnement opérationnel, constituent une atténuation suffisante pour limiter considérablement la faisabilité et le risque d'attaques dans le monde réel » . Les chercheurs affirment que Boeing ne les a pas informés d'un quelconque correctif technique. Ils pensent que l'entreprise pourrait ne pas mettre en œuvre de mise à jour avant des années, étant donné la rareté des redesigns d'avions commerciaux .

Atténuations recommandées par les chercheurs

• Renforcement physique : La solution la plus simple consiste à boucher le port de maintenance avec de l'époxy ou à le retirer complètement .
• Amélioration de la sécurité opérationnelle : Les chercheurs plaident pour un contrôle d'accès plus strict autour des aéronefs au sol, étant donné que l'attaque nécessite un accès physique bref à la trappe extérieure de l'avion .
• Refonte à long terme du système : Étant donné que le bus ARINC 429 manque d'authentification, les chercheurs suggèrent que les futurs bus avioniques incluent des fonctionnalités de sécurité telles que l'authentification des messages pour empêcher l'usurpation d'identité .

Les chercheurs notent que, bien que l'attaque soit grave et révèle une lacune importante dans la cybersécurité aéronautique, elle ne justifie pas de clouer les avions au sol ni de semer la panique. Tous les auteurs déclarent qu'ils « voyagent régulièrement sur des Boeing 737 et comptent continuer à le faire » .

Comment fonctionne l'attaque « Bus Driver »

Le dispositif est branché physiquement dans un port de maintenance situé dans le compartiment électronique et d'équipement de l'avion, sous le nez, accessible depuis le sol derrière une trappe non verrouillée. Les chercheurs estiment qu'il faut moins de 60 secondes pour y accéder et connecter l'appareil .

Ce port achemine les données entre l'ordinateur de gestion de vol (Flight Management Computer, FMC) et l'unité d'affichage de contrôle multifonction (MCDU) du pilote via deux bus ARINC 429. Il s'agit d'un standard de communication filaire datant de 1977, qui ne comporte ni authentification des messages ni chiffrement .

L'implant agit comme un « bus driver » en envoyant un courant plus fort sur le bus que les ordinateurs légitimes, ce qui lui permet d'écraser toutes les transmissions et d'injecter ses propres commandes falsifiées. Il peut également supprimer les indications sur l'écran du pilote signalant que des modifications ont été effectuées .

Ce que le dispositif peut modifier

• Points de cheminement et trajectoire du pilote automatique : L'implant peut modifier la route de l'avion en vol, y compris le dérouter vers l'espace aérien d'un autre pays ou modifier sa navigation de quelques degrés seulement .
• Variables de décollage : Il peut modifier les données relatives au poids, à l'équilibre, au centre de gravité et à la température extérieure de l'avion, qui sont toutes utilisées pour calculer les vitesses de décollage sécurisées. Des valeurs incorrectes pourraient entraîner une sortie de piste ou une perte de contrôle .
• Affichages pilotes : Le dispositif peut simuler les résultats affichés aux pilotes, de sorte qu'ils ne voient aucune indication de changement, ce qui pourrait les inciter à prendre des décisions dangereuses .

Réponse de Boeing

Les chercheurs ont d'abord signalé la vulnérabilité à Boeing en 2020 et ont ensuite validé leurs conclusions dans une installation d'essai de Boeing . Boeing a confirmé avoir procédé à un examen de la conception et des interfaces de ses composants, et a déclaré à WIRED que « les multiples couches de protection en place sur l'avion, y compris dans la conception du système et l'environnement opérationnel, constituent une atténuation suffisante pour limiter considérablement la faisabilité et le risque d'attaques dans le monde réel » . Les chercheurs affirment que Boeing ne les a pas informés d'un quelconque correctif technique. Ils pensent que l'entreprise pourrait ne pas mettre en œuvre de mise à jour avant des années, étant donné la rareté des redesigns d'avions commerciaux .

Atténuations recommandées par les chercheurs

• Renforcement physique : La solution la plus simple consiste à boucher le port de maintenance avec de l'époxy ou à le retirer complètement .
• Amélioration de la sécurité opérationnelle : Les chercheurs plaident pour un contrôle d'accès plus strict autour des aéronefs au sol, étant donné que l'attaque nécessite un accès physique bref à la trappe extérieure de l'avion .
• Refonte à long terme du système : Étant donné que le bus ARINC 429 manque d'authentification, les chercheurs suggèrent que les futurs bus avioniques incluent des fonctionnalités de sécurité telles que l'authentification des messages pour empêcher l'usurpation d'identité .

Les chercheurs notent que, bien que l'attaque soit grave et révèle une lacune importante dans la cybersécurité aéronautique, elle ne justifie pas de clouer les avions au sol ni de semer la panique. Tous les auteurs déclarent qu'ils « voyagent régulièrement sur des Boeing 737 et comptent continuer à le faire » .