攻撃の仕組み：物理アクセスとデバイス埋め込み

攻撃者はまず、機体底部にある電子機器室（E&Eベイ）の施錠されていない点検ハッチを開けます。これには特殊な工具は一切不要で、わずか15秒でアクセス可能です。ハッチ内部には、整備士がアビオニクスのテストやトラブルシューティングに使う診断用メンテナンスポートが露出しており、このポートはARINC 429バスを介してフライトマネジメントコンピュータ（FMC）とコックピットの多機能コントロール表示ユニット（MCDU）に直結されています。

研究チームが作製したカスタムデバイスは米国の25セント硬貨より少し大きい程度で、このポートに差し込んだ後、もともとあった防塵カバーをそのままかぶせることができるため、外から見ただけでは発見されません。取り付けに要する時間は1分未満です。

デバイスが接続されると、「Bus Driver」と名付けられた手法が機能します。これは、FMCとMCDUの間でやり取りされる正規のコマンド信号よりも高い電流の信号を送ることで、それらを上書き・改ざんするというものです。ARINC 429プロトコルには暗号化も認証もないため、デバイスはメッセージの傍受、改変、注入を検出されることなく実行できます。さらに、このデバイスにはWi-Fiモジュールも内蔵されており、攻撃者は機内Wi-Fiネットワークを経由して遠隔からデバイスを制御することも可能です。

デバイスが実行可能な具体的な操作

研究者によれば、「Bus Driver」デバイスにより、攻撃者は以下のような操作を行えます。

• 自動操縦のウェイポイント変更：飛行計画上のウェイポイントを少しずつ、気づかれないように書き換えることで、航空機を徐々に本来のルートから逸脱させることができます。このような小幅な変更はパイロットにアラートを発生させません。
• 離陸パラメータの改ざん：FMCが離陸性能を計算するために使用する、機体重量や外気温といった重要な入力を書き換えることが可能です。実際よりも軽い重量や高い温度をFMCに認識させると、安全な離陸に必要な推力が不足する計算結果が導き出される危険があります。
• パイロット表示の偽装：上記の改ざんと同時に、コックピット内の計器に表示されるデータを偽装し、パイロットが攻撃を察知できないようにします。計器上では一見正常に見える値が表示されるため、異常の発見は極めて困難です。

考えられる結果

研究者らは、これらの能力が以下のような深刻な事態を引き起こす可能性があると警告します。

• 改ざんされた重量／温度値に基づく不適切な離陸推力設定による、離陸時のオーバーラン
• 航空機の他国領空や制限空域への無断侵入
• 最悪の場合、墜落などの壊滅的な事故

ボーイング社の対応と経緯

ボーイング社は、「機体のシステム設計と運用環境に備わっている多層的な防御策により、現実世界での攻撃の実現可能性とリスクは十分に軽減されている」とコメントしています。しかし、研究チームによれば、ボーイング社はこの研究に関する情報をおよそ2020年（6年以上前）に初めて受け取っていたにもかかわらず、本脆弱性に対処する具体的な技術的修正はいまだに公表されていないとのことです。

推奨される対策

研究チームは、短期的な物理的対策と長期的なソフトウェア／ハードウェア対策の両方を提案しています。

短期的な物理的対策

• 外部メンテナンスポートをエポキシ樹脂で埋めて物理的アクセスを遮断する
• 該当するコネクタを航空機から完全に取り外す

長期的なソフトウェア／ハードウェア対策

• アビオニクスバス上の異常信号を検出するソフトウェアベースの検知機能を実装する
• ARINC 429通信に暗号認証を追加し、メッセージのなりすましを防止する

なお、研究チームは「この攻撃の深刻さを認識しているが、私たち自身も引き続きボーイング737に搭乗している」と述べ、航空機の運航停止を求めるものではないと明言しています。むしろ、この種の物理アクセス型アビオニクス攻撃に対処するための長期的な業界計画を提唱しています。

攻撃の仕組み：物理アクセスとデバイス埋め込み

攻撃者はまず、機体底部にある電子機器室（E&Eベイ）の施錠されていない点検ハッチを開けます。これには特殊な工具は一切不要で、わずか15秒でアクセス可能です。ハッチ内部には、整備士がアビオニクスのテストやトラブルシューティングに使う診断用メンテナンスポートが露出しており、このポートはARINC 429バスを介してフライトマネジメントコンピュータ（FMC）とコックピットの多機能コントロール表示ユニット（MCDU）に直結されています。

研究チームが作製したカスタムデバイスは米国の25セント硬貨より少し大きい程度で、このポートに差し込んだ後、もともとあった防塵カバーをそのままかぶせることができるため、外から見ただけでは発見されません。取り付けに要する時間は1分未満です。

デバイスが接続されると、「Bus Driver」と名付けられた手法が機能します。これは、FMCとMCDUの間でやり取りされる正規のコマンド信号よりも高い電流の信号を送ることで、それらを上書き・改ざんするというものです。ARINC 429プロトコルには暗号化も認証もないため、デバイスはメッセージの傍受、改変、注入を検出されることなく実行できます。さらに、このデバイスにはWi-Fiモジュールも内蔵されており、攻撃者は機内Wi-Fiネットワークを経由して遠隔からデバイスを制御することも可能です。

デバイスが実行可能な具体的な操作

研究者によれば、「Bus Driver」デバイスにより、攻撃者は以下のような操作を行えます。

• 自動操縦のウェイポイント変更：飛行計画上のウェイポイントを少しずつ、気づかれないように書き換えることで、航空機を徐々に本来のルートから逸脱させることができます。このような小幅な変更はパイロットにアラートを発生させません。
• 離陸パラメータの改ざん：FMCが離陸性能を計算するために使用する、機体重量や外気温といった重要な入力を書き換えることが可能です。実際よりも軽い重量や高い温度をFMCに認識させると、安全な離陸に必要な推力が不足する計算結果が導き出される危険があります。
• パイロット表示の偽装：上記の改ざんと同時に、コックピット内の計器に表示されるデータを偽装し、パイロットが攻撃を察知できないようにします。計器上では一見正常に見える値が表示されるため、異常の発見は極めて困難です。

考えられる結果

研究者らは、これらの能力が以下のような深刻な事態を引き起こす可能性があると警告します。

• 改ざんされた重量／温度値に基づく不適切な離陸推力設定による、離陸時のオーバーラン
• 航空機の他国領空や制限空域への無断侵入
• 最悪の場合、墜落などの壊滅的な事故

ボーイング社の対応と経緯

ボーイング社は、「機体のシステム設計と運用環境に備わっている多層的な防御策により、現実世界での攻撃の実現可能性とリスクは十分に軽減されている」とコメントしています。しかし、研究チームによれば、ボーイング社はこの研究に関する情報をおよそ2020年（6年以上前）に初めて受け取っていたにもかかわらず、本脆弱性に対処する具体的な技術的修正はいまだに公表されていないとのことです。

推奨される対策

研究チームは、短期的な物理的対策と長期的なソフトウェア／ハードウェア対策の両方を提案しています。

短期的な物理的対策

• 外部メンテナンスポートをエポキシ樹脂で埋めて物理的アクセスを遮断する
• 該当するコネクタを航空機から完全に取り外す

長期的なソフトウェア／ハードウェア対策

• アビオニクスバス上の異常信号を検出するソフトウェアベースの検知機能を実装する
• ARINC 429通信に暗号認証を追加し、メッセージのなりすましを防止する

なお、研究チームは「この攻撃の深刻さを認識しているが、私たち自身も引き続きボーイング737に搭乗している」と述べ、航空機の運航停止を求めるものではないと明言しています。むしろ、この種の物理アクセス型アビオニクス攻撃に対処するための長期的な業界計画を提唱しています。