Come funziona l'attacco "Bus Driver"

Il dispositivo viene fisicamente collegato a una porta di manutenzione situata nel vano elettronico e di equipaggiamento del velivolo, sotto il muso, accessibile da terra tramite un portello non bloccato. I ricercatori stimano che siano sufficienti meno di 60 secondi per accedere al vano e connettere il dispositivo .

La porta trasporta i dati tra il Flight Management Computer (FMC) e il Multi-purpose Control Display Unit (MCDU) del pilota attraverso due bus ARINC 429, uno standard di comunicazione cablato risalente al 1977 che non prevede autenticazione o crittografia dei messaggi .

L'impianto agisce come un "bus driver": invia una corrente più forte sul bus rispetto ai computer legittimi, riuscendo a sovrascrivere qualsiasi trasmissione e a iniettare i propri comandi contraffatti. Può anche sopprimere le indicazioni sul display del pilota che segnalano le modifiche apportate .

Cosa può alterare il dispositivo

• Percorso di volo e waypoint dell'autopilota: L'impianto può modificare la rotta del velivolo in volo, ad esempio dirottandolo verso lo spazio aereo di un altro paese o alterando la navigazione di pochi gradi .
• Variabili di decollo: Può modificare i dati relativi a peso, bilanciamento, centro di gravità e temperatura esterna, tutti utilizzati per calcolare le velocità di decollo sicure. Valori errati potrebbero causare un'uscita di pista o la perdita di controllo .
• Display dei piloti: Il dispositivo può falsificare i risultati mostrati ai piloti, in modo che non notino alcuna modifica, con il rischio di indurli a prendere decisioni pericolose .

La risposta di Boeing

I ricercatori hanno segnalato la vulnerabilità a Boeing nel 2020 e successivamente hanno validato le loro scoperte in un impianto di prova della stessa Boeing . Boeing ha confermato di aver condotto una revisione del design e delle interfacce dei suoi componenti, e ha dichiarato a WIRED che "i livelli di protezione presenti sull'aeromobile, inclusi quelli del design di sistema e dell'ambiente operativo, forniscono una mitigazione sufficiente a limitare significativamente la fattibilità e il rischio di attacchi nel mondo reale" . I ricercatori riferiscono che Boeing non ha comunicato loro alcuna soluzione tecnica. Ritengono che l'azienda potrebbe non implementare un aggiornamento per anni, dato che gli aerei commerciali vengono riprogettati molto raramente .

Le mitigazioni raccomandate dai ricercatori

• Protezione fisica: La soluzione più semplice è sigillare la porta di manutenzione con resina epossidica o rimuoverla del tutto .
• Miglioramento della sicurezza operativa: I ricercatori sostengono la necessità di controlli di accesso più rigorosi intorno agli aeromobili a terra, poiché l'attacco richiede un breve accesso fisico al portello esterno del velivolo .
• Riprogettazione del sistema a lungo termine: Poiché il bus ARINC 429 non ha autenticazione, i ricercatori suggeriscono che i futuri bus avionici dovrebbero includere funzionalità di sicurezza come l'autenticazione dei messaggi per prevenire la contraffazione .

I ricercatori notano che, sebbene l'attacco sia serio e metta in luce una significativa lacuna nella cybersecurity aeronautica, non giustifica la messa a terra degli aeromobili o il panico pubblico. Tutti gli autori dichiarano di "viaggiare regolarmente su Boeing 737 e di avere intenzione di continuare a farlo" .

Come funziona l'attacco "Bus Driver"

Il dispositivo viene fisicamente collegato a una porta di manutenzione situata nel vano elettronico e di equipaggiamento del velivolo, sotto il muso, accessibile da terra tramite un portello non bloccato. I ricercatori stimano che siano sufficienti meno di 60 secondi per accedere al vano e connettere il dispositivo .

La porta trasporta i dati tra il Flight Management Computer (FMC) e il Multi-purpose Control Display Unit (MCDU) del pilota attraverso due bus ARINC 429, uno standard di comunicazione cablato risalente al 1977 che non prevede autenticazione o crittografia dei messaggi .

L'impianto agisce come un "bus driver": invia una corrente più forte sul bus rispetto ai computer legittimi, riuscendo a sovrascrivere qualsiasi trasmissione e a iniettare i propri comandi contraffatti. Può anche sopprimere le indicazioni sul display del pilota che segnalano le modifiche apportate .

Cosa può alterare il dispositivo

• Percorso di volo e waypoint dell'autopilota: L'impianto può modificare la rotta del velivolo in volo, ad esempio dirottandolo verso lo spazio aereo di un altro paese o alterando la navigazione di pochi gradi .
• Variabili di decollo: Può modificare i dati relativi a peso, bilanciamento, centro di gravità e temperatura esterna, tutti utilizzati per calcolare le velocità di decollo sicure. Valori errati potrebbero causare un'uscita di pista o la perdita di controllo .
• Display dei piloti: Il dispositivo può falsificare i risultati mostrati ai piloti, in modo che non notino alcuna modifica, con il rischio di indurli a prendere decisioni pericolose .

La risposta di Boeing

I ricercatori hanno segnalato la vulnerabilità a Boeing nel 2020 e successivamente hanno validato le loro scoperte in un impianto di prova della stessa Boeing . Boeing ha confermato di aver condotto una revisione del design e delle interfacce dei suoi componenti, e ha dichiarato a WIRED che "i livelli di protezione presenti sull'aeromobile, inclusi quelli del design di sistema e dell'ambiente operativo, forniscono una mitigazione sufficiente a limitare significativamente la fattibilità e il rischio di attacchi nel mondo reale" . I ricercatori riferiscono che Boeing non ha comunicato loro alcuna soluzione tecnica. Ritengono che l'azienda potrebbe non implementare un aggiornamento per anni, dato che gli aerei commerciali vengono riprogettati molto raramente .

Le mitigazioni raccomandate dai ricercatori

• Protezione fisica: La soluzione più semplice è sigillare la porta di manutenzione con resina epossidica o rimuoverla del tutto .
• Miglioramento della sicurezza operativa: I ricercatori sostengono la necessità di controlli di accesso più rigorosi intorno agli aeromobili a terra, poiché l'attacco richiede un breve accesso fisico al portello esterno del velivolo .
• Riprogettazione del sistema a lungo termine: Poiché il bus ARINC 429 non ha autenticazione, i ricercatori suggeriscono che i futuri bus avionici dovrebbero includere funzionalità di sicurezza come l'autenticazione dei messaggi per prevenire la contraffazione .

I ricercatori notano che, sebbene l'attacco sia serio e metta in luce una significativa lacuna nella cybersecurity aeronautica, non giustifica la messa a terra degli aeromobili o il panico pubblico. Tutti gli autori dichiarano di "viaggiare regolarmente su Boeing 737 e di avere intenzione di continuare a farlo" .