Bagaimana Serangan Bus Driver Bekerja

Para peneliti — dipimpin oleh mantan mahasiswa Ph.D. UCSD, Sam Crow — merancang, membuat, dan memprogram papan sirkuit kecil yang bertindak sebagai perangkat pihak ketiga berbahaya yang disisipkan di antara dua komputer onboard yang kritis . Berikut cara kerja serangannya:

Pemasangan Fisik dalam Waktu Kurang dari 60 Detik

Perangkat ini, kira-kira seukuran koin (seperti keping Rp500) dan biaya pembuatannya kurang dari Rp1,6 juta (setara $100), dipasang dengan membuka palka eksternal pada badan pesawat yang mengakses ruang Elektronik dan Peralatan (E&E) . Penyerang dapat membuka palka ini dalam waktu sekitar 15 detik tanpa alat khusus, lalu mencolokkan implan ke port Komputer Perawatan Onboard (OMC) yang terbuka . Seluruh proses memakan waktu kurang dari 60 detik, dan perangkat ini cukup kecil untuk disembunyikan di bawah tutup debu port, sehingga tidak terlihat selama inspeksi rutin .

Mengeksploitasi Bus Avionik ARINC 429

Setelah terhubung, implan menyusup ke bus data avionik ARINC 429 yang tidak terenkripsi, sebuah bus serial master-tunggal yang membawa semua komunikasi antara Komputer Manajemen Penerbangan (FMC) dan Unit Tampilan dan Kontrol Multifungsi (MCDU) pilot . ARINC 429 tidak memiliki otentikasi atau enkripsi bawaan. Yang terpenting, desain kelistrikannya menggunakan resistor pencocokan impedansi yang memungkinkan perangkat jahat untuk secara elektrik mengesampingkan sinyal yang sah dengan mengalirkan lebih banyak arus ke jalur bus daripada pemancar yang berwenang . Para peneliti menyebut teknik penekanan sinyal ini sebagai serangan "Bus Driver" .

Apa yang Bisa Diubah oleh Implan

Setelah implan Bus Driver mengesampingkan bus, ia dapat menyuntikkan perintah palsu untuk:

• Mengubah titik arah dan membelokkan pesawat dari jalur penerbangan yang telah diprogram
• Mengubah kalkulasi berat lepas landas, yang secara langsung mempengaruhi V-speeds (kecepatan rotasi yang diperlukan untuk lepas landas)
• Memodifikasi nilai suhu udara luar dan jumlah bahan bakar, yang mengubah kalkulasi kinerja kritis

Tersembunyi: Tampilan Pilot yang Dipalsukan

Secara bersamaan, perangkat mengirim data palsu ke layar kokpit sehingga pilot melihat rencana penerbangan asli yang tidak diubah — secara efektif menyembunyikan semua perubahan . Pilot tidak akan melihat peringatan atau perbedaan apa pun di layar MCDU, membuat serangan ini sangat sulit dideteksi dari kokpit .

Kendali Wi-Fi Saat Terbang

Implan ini dilengkapi radio Wi-Fi, memungkinkan penyerang mengirim perintah secara nirkabel secara real-time atau bahkan menyebarkan pembaruan perangkat lunak berbahaya saat pesawat sedang terbang . Ini berarti perangkat dapat dikendalikan secara dinamis sejak dipasang hingga sepanjang durasi penerbangan.

Respons Boeing

Tim peneliti pertama kali mengungkapkan kerentanan ini kepada Boeing pada tahun 2020, kemudian bekerja sama dengan pabrikan untuk menguji dan memvalidasi serangan di laboratorium Boeing sendiri .

Sebagai tanggapan, Boeing mengeluarkan pernyataan yang meremehkan risiko praktisnya: "Pakar teknis kami yakin bahwa lapisan perlindungan yang ada di pesawat, termasuk dalam desain sistem dan lingkungan operasional, memberikan mitigasi yang memadai untuk secara signifikan membatasi kelayakan dan risiko serangan di dunia nyata" . Boeing juga menyatakan bahwa mereka telah melakukan tinjauan sendiri terhadap desain, pemasangan, dan antarmuka komponen yang relevan sebagai tanggapan atas temuan para peneliti .

Mitigasi yang Direkomendasikan

Para peneliti mengusulkan serangkaian mitigasi untuk mengatasi kerentanan tersebut, termasuk :

• Menghalangi akses fisik ke port OMC/layanan eksternal, misalnya dengan panel yang dapat dikunci atau segel bukti gangguan
• Meningkatkan isolasi listrik pada bus ARINC 429 untuk mempersulit serangan bus-driving
• Menambahkan otentikasi kriptografi ke pesan ARINC 429
• Menerapkan fusi sensor dan pemeriksaan silang sehingga perbedaan antara parameter penerbangan akan terdeteksi oleh sistem yang redundan
• Meningkatkan sistem peringatan kokpit sehingga pilot diberi tahu tentang ketidakcocokan antara data FMC dan tampilan

Para peneliti menekankan bahwa temuan mereka tidak mengharuskan armada pesawat untuk di-ground-kan, melainkan menyerukan perbaikan praktis jangka pendek pada keamanan fisik dan integritas bus avionik .

Bagaimana Serangan Bus Driver Bekerja

Para peneliti — dipimpin oleh mantan mahasiswa Ph.D. UCSD, Sam Crow — merancang, membuat, dan memprogram papan sirkuit kecil yang bertindak sebagai perangkat pihak ketiga berbahaya yang disisipkan di antara dua komputer onboard yang kritis . Berikut cara kerja serangannya:

Pemasangan Fisik dalam Waktu Kurang dari 60 Detik

Perangkat ini, kira-kira seukuran koin (seperti keping Rp500) dan biaya pembuatannya kurang dari Rp1,6 juta (setara $100), dipasang dengan membuka palka eksternal pada badan pesawat yang mengakses ruang Elektronik dan Peralatan (E&E) . Penyerang dapat membuka palka ini dalam waktu sekitar 15 detik tanpa alat khusus, lalu mencolokkan implan ke port Komputer Perawatan Onboard (OMC) yang terbuka . Seluruh proses memakan waktu kurang dari 60 detik, dan perangkat ini cukup kecil untuk disembunyikan di bawah tutup debu port, sehingga tidak terlihat selama inspeksi rutin .

Mengeksploitasi Bus Avionik ARINC 429

Setelah terhubung, implan menyusup ke bus data avionik ARINC 429 yang tidak terenkripsi, sebuah bus serial master-tunggal yang membawa semua komunikasi antara Komputer Manajemen Penerbangan (FMC) dan Unit Tampilan dan Kontrol Multifungsi (MCDU) pilot . ARINC 429 tidak memiliki otentikasi atau enkripsi bawaan. Yang terpenting, desain kelistrikannya menggunakan resistor pencocokan impedansi yang memungkinkan perangkat jahat untuk secara elektrik mengesampingkan sinyal yang sah dengan mengalirkan lebih banyak arus ke jalur bus daripada pemancar yang berwenang . Para peneliti menyebut teknik penekanan sinyal ini sebagai serangan "Bus Driver" .

Apa yang Bisa Diubah oleh Implan

Setelah implan Bus Driver mengesampingkan bus, ia dapat menyuntikkan perintah palsu untuk:

• Mengubah titik arah dan membelokkan pesawat dari jalur penerbangan yang telah diprogram
• Mengubah kalkulasi berat lepas landas, yang secara langsung mempengaruhi V-speeds (kecepatan rotasi yang diperlukan untuk lepas landas)
• Memodifikasi nilai suhu udara luar dan jumlah bahan bakar, yang mengubah kalkulasi kinerja kritis

Tersembunyi: Tampilan Pilot yang Dipalsukan

Secara bersamaan, perangkat mengirim data palsu ke layar kokpit sehingga pilot melihat rencana penerbangan asli yang tidak diubah — secara efektif menyembunyikan semua perubahan . Pilot tidak akan melihat peringatan atau perbedaan apa pun di layar MCDU, membuat serangan ini sangat sulit dideteksi dari kokpit .

Kendali Wi-Fi Saat Terbang

Implan ini dilengkapi radio Wi-Fi, memungkinkan penyerang mengirim perintah secara nirkabel secara real-time atau bahkan menyebarkan pembaruan perangkat lunak berbahaya saat pesawat sedang terbang . Ini berarti perangkat dapat dikendalikan secara dinamis sejak dipasang hingga sepanjang durasi penerbangan.

Respons Boeing

Tim peneliti pertama kali mengungkapkan kerentanan ini kepada Boeing pada tahun 2020, kemudian bekerja sama dengan pabrikan untuk menguji dan memvalidasi serangan di laboratorium Boeing sendiri .

Sebagai tanggapan, Boeing mengeluarkan pernyataan yang meremehkan risiko praktisnya: "Pakar teknis kami yakin bahwa lapisan perlindungan yang ada di pesawat, termasuk dalam desain sistem dan lingkungan operasional, memberikan mitigasi yang memadai untuk secara signifikan membatasi kelayakan dan risiko serangan di dunia nyata" . Boeing juga menyatakan bahwa mereka telah melakukan tinjauan sendiri terhadap desain, pemasangan, dan antarmuka komponen yang relevan sebagai tanggapan atas temuan para peneliti .

Mitigasi yang Direkomendasikan

Para peneliti mengusulkan serangkaian mitigasi untuk mengatasi kerentanan tersebut, termasuk :

• Menghalangi akses fisik ke port OMC/layanan eksternal, misalnya dengan panel yang dapat dikunci atau segel bukti gangguan
• Meningkatkan isolasi listrik pada bus ARINC 429 untuk mempersulit serangan bus-driving
• Menambahkan otentikasi kriptografi ke pesan ARINC 429
• Menerapkan fusi sensor dan pemeriksaan silang sehingga perbedaan antara parameter penerbangan akan terdeteksi oleh sistem yang redundan
• Meningkatkan sistem peringatan kokpit sehingga pilot diberi tahu tentang ketidakcocokan antara data FMC dan tampilan

Para peneliti menekankan bahwa temuan mereka tidak mengharuskan armada pesawat untuk di-ground-kan, melainkan menyerukan perbaikan praktis jangka pendek pada keamanan fisik dan integritas bus avionik .