Cara kerja serangan: Akses fisik dan pemasangan

Seorang penyerang memulai dengan membuka palka yang tidak terkunci di bagian luar badan pesawat—tepatnya di ruang Elektronik dan Peralatan (E&E bay)—dalam waktu sekitar 15 detik tanpa alat khusus . Di dalamnya, terdapat port perawatan diagnostik yang digunakan teknisi darat untuk menguji avionik. Port ini terhubung langsung ke Flight Management Computer (FMC) dan Multipurpose Control Display Unit (MCDU) di kokpit melalui bus ARINC 429 .

Alat buatan peneliti yang hanya sedikit lebih besar dari koin Rp500 ini ditancapkan ke port tersebut dan muat sempurna di bawah penutup debu yang sudah ada, sehingga tidak terlihat saat inspeksi biasa. Total waktu pemasangan kurang dari 60 detik .

Setelah terhubung, alat ini menggunakan teknik bernama 'Bus Driver'—mengirimkan sinyal dengan arus listrik yang lebih tinggi untuk menimpa dan menggantikan perintah asli yang dikirim antara FMC dan MCDU. Karena protokol ARINC 429 tidak memiliki enkripsi atau otentikasi, alat ini bisa mencegat, mengubah, dan menyuntikkan pesan tanpa terdeteksi . Alat ini juga dilengkapi modul Wi-Fi, sehingga penyerang bisa mengendalikannya dari jarak jauh melalui jaringan Wi-Fi di dalam pesawat .

Manipulasi spesifik yang bisa dilakukan alat ini

Alat 'Bus Driver' memberi penyerang beberapa kendali atas sistem avionik pesawat:

• Mengubah titik arah (waypoint) autopilot: Alat ini dapat membuat perubahan kecil pada titik arah rencana penerbangan. Seiring waktu, modifikasi sembunyi-sembunyi ini dapat secara bertahap membelokkan pesawat dari rute yang dimaksud tanpa memicu peringatan pilot .
• Mengubah variabel lepas landas: Alat ini dapat memodifikasi input penting yang digunakan FMC untuk menghitung performa lepas landas, seperti berat pesawat dan suhu udara luar. Jika FMC mencatat berat lebih rendah atau suhu lebih tinggi dari kenyataan, ia bisa menghitung daya dorong yang tidak cukup untuk lepas landas yang aman .
• Memalsukan tampilan pilot: Alat ini secara bersamaan merusak data yang ditampilkan di instrumen kokpit, menyembunyikan modifikasi. Pilot melihat nilai yang salah namun tampak masuk akal, sehingga sulit mendeteksi serangan .

Konsekuensi potensial

Peneliti memperingatkan bahwa kemampuan ini bisa menyebabkan:

• Pesawat keluar landasan (runway overrun) saat lepas landas akibat data berat/suhu yang dirusak .
• Pembelokan pesawat ke wilayah udara asing atau terlarang .
• Kecelakaan fatal dalam skenario terburuk .

Respons Boeing

Boeing menyatakan 'yakin bahwa lapisan perlindungan yang ada di pesawat, termasuk dalam desain sistem dan lingkungan operasional, memberikan mitigasi yang cukup untuk secara signifikan membatasi kemungkinan dan risiko serangan di dunia nyata' . Namun, peneliti melaporkan bahwa Boeing pertama kali diberi tahu tentang elemen penelitian ini lebih dari enam tahun lalu (sekitar tahun 2020), dan hingga saat ini belum mengungkapkan perbaikan teknis spesifik untuk mengatasi kerentanan ini .

Rekomendasi mitigasi

Peneliti mengusulkan perbaikan fisik jangka pendek dan solusi teknis jangka panjang:

Perbaikan fisik jangka pendek

• Mengisi port perawatan eksternal dengan epoxy untuk memblokir akses fisik .
• Melepas konektor sepenuhnya dari pesawat .

Perbaikan perangkat lunak/perangkat keras jangka panjang

• Menerapkan deteksi berbasis perangkat lunak untuk mengidentifikasi sinyal anomali pada bus avionik .
• Menambahkan otentikasi kriptografis ke komunikasi ARINC 429 untuk mencegah pemalsuan pesan .

Meskipun demonstrasi ini tergolong serius, para peneliti menegaskan bahwa mereka sendiri masih terbang menggunakan Boeing 737. Mereka tidak menyerukan untuk menghentikan operasi pesawat, melainkan menganjurkan perencanaan industri jangka panjang untuk mengatasi serangan avionik berbasis akses fisik ini .

Cara kerja serangan: Akses fisik dan pemasangan

Seorang penyerang memulai dengan membuka palka yang tidak terkunci di bagian luar badan pesawat—tepatnya di ruang Elektronik dan Peralatan (E&E bay)—dalam waktu sekitar 15 detik tanpa alat khusus . Di dalamnya, terdapat port perawatan diagnostik yang digunakan teknisi darat untuk menguji avionik. Port ini terhubung langsung ke Flight Management Computer (FMC) dan Multipurpose Control Display Unit (MCDU) di kokpit melalui bus ARINC 429 .

Alat buatan peneliti yang hanya sedikit lebih besar dari koin Rp500 ini ditancapkan ke port tersebut dan muat sempurna di bawah penutup debu yang sudah ada, sehingga tidak terlihat saat inspeksi biasa. Total waktu pemasangan kurang dari 60 detik .

Setelah terhubung, alat ini menggunakan teknik bernama 'Bus Driver'—mengirimkan sinyal dengan arus listrik yang lebih tinggi untuk menimpa dan menggantikan perintah asli yang dikirim antara FMC dan MCDU. Karena protokol ARINC 429 tidak memiliki enkripsi atau otentikasi, alat ini bisa mencegat, mengubah, dan menyuntikkan pesan tanpa terdeteksi . Alat ini juga dilengkapi modul Wi-Fi, sehingga penyerang bisa mengendalikannya dari jarak jauh melalui jaringan Wi-Fi di dalam pesawat .

Manipulasi spesifik yang bisa dilakukan alat ini

Alat 'Bus Driver' memberi penyerang beberapa kendali atas sistem avionik pesawat:

• Mengubah titik arah (waypoint) autopilot: Alat ini dapat membuat perubahan kecil pada titik arah rencana penerbangan. Seiring waktu, modifikasi sembunyi-sembunyi ini dapat secara bertahap membelokkan pesawat dari rute yang dimaksud tanpa memicu peringatan pilot .
• Mengubah variabel lepas landas: Alat ini dapat memodifikasi input penting yang digunakan FMC untuk menghitung performa lepas landas, seperti berat pesawat dan suhu udara luar. Jika FMC mencatat berat lebih rendah atau suhu lebih tinggi dari kenyataan, ia bisa menghitung daya dorong yang tidak cukup untuk lepas landas yang aman .
• Memalsukan tampilan pilot: Alat ini secara bersamaan merusak data yang ditampilkan di instrumen kokpit, menyembunyikan modifikasi. Pilot melihat nilai yang salah namun tampak masuk akal, sehingga sulit mendeteksi serangan .

Konsekuensi potensial

Peneliti memperingatkan bahwa kemampuan ini bisa menyebabkan:

• Pesawat keluar landasan (runway overrun) saat lepas landas akibat data berat/suhu yang dirusak .
• Pembelokan pesawat ke wilayah udara asing atau terlarang .
• Kecelakaan fatal dalam skenario terburuk .

Respons Boeing

Boeing menyatakan 'yakin bahwa lapisan perlindungan yang ada di pesawat, termasuk dalam desain sistem dan lingkungan operasional, memberikan mitigasi yang cukup untuk secara signifikan membatasi kemungkinan dan risiko serangan di dunia nyata' . Namun, peneliti melaporkan bahwa Boeing pertama kali diberi tahu tentang elemen penelitian ini lebih dari enam tahun lalu (sekitar tahun 2020), dan hingga saat ini belum mengungkapkan perbaikan teknis spesifik untuk mengatasi kerentanan ini .

Rekomendasi mitigasi

Peneliti mengusulkan perbaikan fisik jangka pendek dan solusi teknis jangka panjang:

Perbaikan fisik jangka pendek

• Mengisi port perawatan eksternal dengan epoxy untuk memblokir akses fisik .
• Melepas konektor sepenuhnya dari pesawat .

Perbaikan perangkat lunak/perangkat keras jangka panjang

• Menerapkan deteksi berbasis perangkat lunak untuk mengidentifikasi sinyal anomali pada bus avionik .
• Menambahkan otentikasi kriptografis ke komunikasi ARINC 429 untuk mencegah pemalsuan pesan .

Meskipun demonstrasi ini tergolong serius, para peneliti menegaskan bahwa mereka sendiri masih terbang menggunakan Boeing 737. Mereka tidak menyerukan untuk menghentikan operasi pesawat, melainkan menganjurkan perencanaan industri jangka panjang untuk mengatasi serangan avionik berbasis akses fisik ini .