Come funziona l'attacco "Bus Driver"

I ricercatori, guidati da Sam Crow, ex dottorando dell'UCSD, hanno progettato, costruito e programmato un piccolo circuito stampato che agisce come un dispositivo maligno inserito tra due computer di bordo critici . Ecco come si svolge l'attacco.

Installazione fisica in meno di 60 secondi

Il dispositivo, grande circa quanto un quarto di dollaro (o una moneta da 2 euro) e dal costo di costruzione inferiore ai 100 dollari, viene installato aprendo un portello esterno sulla fusoliera del velivolo che consente l'accesso al vano Electronics and Equipment (E&E) . Un aggressore può aprire questo portello in circa 15 secondi senza utensili speciali, quindi collegare l'impianto a una porta esposta dell'Onboard Maintenance Computer (OMC) . L'intera operazione richiede meno di 60 secondi, e il dispositivo è così piccolo da poter essere nascosto sotto il coperchio antipolvere della porta, rimanendo invisibile durante le ispezioni di routine .

Sfruttamento del bus avionico ARINC 429

Una volta collegato, l'impianto si inserisce nel bus dati avionico ARINC 429 non criptato, un bus seriale master singolo che trasporta tutte le comunicazioni tra il Flight Management Computer (FMC) e il Multifunction Control and Display Unit (MCDU) del pilota . L'ARINC 429 non ha autenticazione o crittografia integrate. Inoltre, il suo progetto elettrico utilizza resistori di adattamento d'impedenza che consentono a un dispositivo malevolo di sovrascrivere elettricamente i segnali legittimi, inviando più corrente sulle linee del bus rispetto al trasmettitore autorizzato . I ricercatori chiamano questa tecnica di soppressione del segnale "Bus Driver" .

Cosa può alterare l'impianto

Una volta che l'impianto "Bus Driver" ha preso il controllo del bus, può iniettare comandi falsificati per:

• Cambiare i waypoint e deviare il velivolo dalla sua rotta programmata
• Alterare i calcoli del peso al decollo, che influenzano direttamente le V-speed (la velocità di rotazione necessaria per il decollo)
• Modificare i valori di temperatura dell'aria esterna e quantità di carburante, alterando i calcoli critici delle prestazioni

Furtività: il display del pilota ingannato

Contemporaneamente, il dispositivo invia dati falsi ai display della cabina di pilotaggio, così che il pilota veda il piano di volo originale e inalterato, nascondendo di fatto tutte le modifiche . Il pilota non vedrebbe alcun allarme o discrepanza sullo schermo MCDU, rendendo l'attacco estremamente difficile da individuare dalla cabina di pilotaggio .

Controllo Wi-Fi in volo

L'impianto include una radio Wi-Fi, che consente a un aggressore di inviare comandi in modalità wireless in tempo reale o persino di implementare un aggiornamento software malevolo mentre il velivolo è in volo . Ciò significa che il dispositivo può essere controllato dinamicamente dal momento dell'installazione fino all'intera durata del volo.

La risposta di Boeing

Il team di ricerca ha inizialmente segnalato la vulnerabilità a Boeing nel 2020, lavorando poi a stretto contatto con il costruttore per testare e validare l'attacco nel laboratorio della stessa Boeing .

In risposta, Boeing ha rilasciato una dichiarazione che ridimensiona il rischio pratico: "I nostri esperti tecnici sono fiduciosi che i livelli di protezione in atto sull'aeromobile, inclusi quelli relativi alla progettazione del sistema e all'ambiente operativo, forniscano una mitigazione sufficiente per limitare significativamente la fattibilità e il rischio di attacchi nel mondo reale" . Boeing ha inoltre dichiarato di aver effettuato una propria revisione dei progetti, delle installazioni e delle interfacce dei componenti interessati in risposta alle scoperte dei ricercatori .

Mitigazioni raccomandate

I ricercatori hanno proposto una serie di mitigazioni per affrontare la vulnerabilità, tra cui :

• Bloccare fisicamente l'accesso alla porta OMC/di servizio esterna, ad esempio con pannelli bloccabili o sigilli anti-manomissione
• Migliorare l'isolamento elettrico sul bus ARINC 429 per rendere più difficili gli attacchi "bus driver"
• Aggiungere autenticazione crittografica ai messaggi ARINC 429
• Implementare la fusione dei sensori e il controllo incrociato in modo che le discrepanze tra i parametri di volo vengano rilevate da sistemi ridondanti
• Migliorare gli allarmi in cabina di pilotaggio in modo che i piloti vengano avvisati di incongruenze tra i dati FMC e quelli del display

I ricercatori hanno sottolineato che i loro risultati non richiedono la messa a terra della flotta, ma piuttosto richiedono miglioramenti pratici e a breve termine per la sicurezza fisica e l'integrità del bus avionico .

Come funziona l'attacco "Bus Driver"

I ricercatori, guidati da Sam Crow, ex dottorando dell'UCSD, hanno progettato, costruito e programmato un piccolo circuito stampato che agisce come un dispositivo maligno inserito tra due computer di bordo critici . Ecco come si svolge l'attacco.

Installazione fisica in meno di 60 secondi

Il dispositivo, grande circa quanto un quarto di dollaro (o una moneta da 2 euro) e dal costo di costruzione inferiore ai 100 dollari, viene installato aprendo un portello esterno sulla fusoliera del velivolo che consente l'accesso al vano Electronics and Equipment (E&E) . Un aggressore può aprire questo portello in circa 15 secondi senza utensili speciali, quindi collegare l'impianto a una porta esposta dell'Onboard Maintenance Computer (OMC) . L'intera operazione richiede meno di 60 secondi, e il dispositivo è così piccolo da poter essere nascosto sotto il coperchio antipolvere della porta, rimanendo invisibile durante le ispezioni di routine .

Sfruttamento del bus avionico ARINC 429

Una volta collegato, l'impianto si inserisce nel bus dati avionico ARINC 429 non criptato, un bus seriale master singolo che trasporta tutte le comunicazioni tra il Flight Management Computer (FMC) e il Multifunction Control and Display Unit (MCDU) del pilota . L'ARINC 429 non ha autenticazione o crittografia integrate. Inoltre, il suo progetto elettrico utilizza resistori di adattamento d'impedenza che consentono a un dispositivo malevolo di sovrascrivere elettricamente i segnali legittimi, inviando più corrente sulle linee del bus rispetto al trasmettitore autorizzato . I ricercatori chiamano questa tecnica di soppressione del segnale "Bus Driver" .

Cosa può alterare l'impianto

Una volta che l'impianto "Bus Driver" ha preso il controllo del bus, può iniettare comandi falsificati per:

• Cambiare i waypoint e deviare il velivolo dalla sua rotta programmata
• Alterare i calcoli del peso al decollo, che influenzano direttamente le V-speed (la velocità di rotazione necessaria per il decollo)
• Modificare i valori di temperatura dell'aria esterna e quantità di carburante, alterando i calcoli critici delle prestazioni

Furtività: il display del pilota ingannato

Contemporaneamente, il dispositivo invia dati falsi ai display della cabina di pilotaggio, così che il pilota veda il piano di volo originale e inalterato, nascondendo di fatto tutte le modifiche . Il pilota non vedrebbe alcun allarme o discrepanza sullo schermo MCDU, rendendo l'attacco estremamente difficile da individuare dalla cabina di pilotaggio .

Controllo Wi-Fi in volo

L'impianto include una radio Wi-Fi, che consente a un aggressore di inviare comandi in modalità wireless in tempo reale o persino di implementare un aggiornamento software malevolo mentre il velivolo è in volo . Ciò significa che il dispositivo può essere controllato dinamicamente dal momento dell'installazione fino all'intera durata del volo.

La risposta di Boeing

Il team di ricerca ha inizialmente segnalato la vulnerabilità a Boeing nel 2020, lavorando poi a stretto contatto con il costruttore per testare e validare l'attacco nel laboratorio della stessa Boeing .

In risposta, Boeing ha rilasciato una dichiarazione che ridimensiona il rischio pratico: "I nostri esperti tecnici sono fiduciosi che i livelli di protezione in atto sull'aeromobile, inclusi quelli relativi alla progettazione del sistema e all'ambiente operativo, forniscano una mitigazione sufficiente per limitare significativamente la fattibilità e il rischio di attacchi nel mondo reale" . Boeing ha inoltre dichiarato di aver effettuato una propria revisione dei progetti, delle installazioni e delle interfacce dei componenti interessati in risposta alle scoperte dei ricercatori .

Mitigazioni raccomandate

I ricercatori hanno proposto una serie di mitigazioni per affrontare la vulnerabilità, tra cui :

• Bloccare fisicamente l'accesso alla porta OMC/di servizio esterna, ad esempio con pannelli bloccabili o sigilli anti-manomissione
• Migliorare l'isolamento elettrico sul bus ARINC 429 per rendere più difficili gli attacchi "bus driver"
• Aggiungere autenticazione crittografica ai messaggi ARINC 429
• Implementare la fusione dei sensori e il controllo incrociato in modo che le discrepanze tra i parametri di volo vengano rilevate da sistemi ridondanti
• Migliorare gli allarmi in cabina di pilotaggio in modo che i piloti vengano avvisati di incongruenze tra i dati FMC e quelli del display

I ricercatori hanno sottolineato che i loro risultati non richiedono la messa a terra della flotta, ma piuttosto richiedono miglioramenti pratici e a breve termine per la sicurezza fisica e l'integrità del bus avionico .