「Bus Driver」攻撃の仕組み

この攻撃の鍵は、機首下部の電子機器室（エレクトロニクス・アンド・イクイップメント・ベイ）にある整備用ポートです。この区画は地上から無施錠のハッチを開けるだけでアクセス可能で、研究者らはポートへの接続にかかる時間を60秒未満と見積もっています 。

このポートは、フライトマネジメントコンピュータ（FMC）とコックピットのマルチパーパス・コントロール・ディスプレイ・ユニット（MCDU）の間を、ARINC 429と呼ばれる1977年制定の有線通信規格で結んでいます。この規格にはメッセージ認証や暗号化の機能が一切なく、これが脆弱性の根本原因です 。

デバイスは「バスドライバ」として動作し、正規のコンピュータよりも強い電流をバスに流すことで、すべての通信を上書きして偽のコマンドを注入します。さらに、パイロットの表示画面に変更があったことを示す兆候そのものを抑制することも可能です 。

デバイスで可能になる改ざん

• 自動操縦のウェイポイントと飛行経路：飛行中に航空機の経路を変更し、他国の領空に逸脱させることや、わずか数度の針路変更も可能です 。
• 離陸変数の改ざん：航空機の重量、バランス、重心位置、外気温といった、安全な離陸速度を計算するために使われるデータを変更できます。誤った値が設定された場合、滑走路逸脱や機体制御喪失につながる可能性があります 。
• パイロット表示の偽装：実際に行われた変更をパイロットが一切認識できないよう、表示結果を偽装します。これにより、パイロットを危険な判断に誘導する可能性があります 。

ボーイング社の対応

研究者らは2020年にこの脆弱性をボーイング社に初めて開示し、その後、ボーイング社の試験施設でもその再現性を確認しました 。ボーイング社は自社のコンポーネント設計とインターフェースのレビューを実施したことを認め、WIRED誌に対して「航空機のシステム設計と運航環境に備わっている多層的な防御策により、現実世界での攻撃の実現可能性とリスクは十分に軽減されている」と説明しています 。

しかし研究者らによれば、ボーイング社は具体的な技術的修正について一切伝えていないとのことです。民間航空機の設計が抜本的に見直されることは稀であるため、修正アップデートが実装されるまでには長い年月がかかるだろうと研究者らは推測しています 。

研究者らが推奨する対策

• 物理的な強化：最も簡単な対策は、整備ポートをエポキシ樹脂で埋めるか、ポートそのものを取り外すことです 。
• 運用セキュリティの改善：この攻撃には機体外部ハッチへの短時間の物理的アクセスが必要なため、地上における航空機周辺へのアクセス管理をより厳格にするよう研究者らは主張しています 。
• 長期的なシステム再設計：ARINC 429バスに認証機能がないことを踏まえ、将来の航空電子バスにはメッセージ認証などのセキュリティ機能を組み込むべきだと提案しています 。

研究者らは、この攻撃は深刻であり航空サイバーセキュリティにおける重大な盲点を露呈したものの、航空機の運航停止や公衆のパニックを招くものではないと強調しています。論文著者全員が「日常的にボーイング737型機に搭乗しており、今後もそのつもりである」と述べています 。

「Bus Driver」攻撃の仕組み

この攻撃の鍵は、機首下部の電子機器室（エレクトロニクス・アンド・イクイップメント・ベイ）にある整備用ポートです。この区画は地上から無施錠のハッチを開けるだけでアクセス可能で、研究者らはポートへの接続にかかる時間を60秒未満と見積もっています 。

このポートは、フライトマネジメントコンピュータ（FMC）とコックピットのマルチパーパス・コントロール・ディスプレイ・ユニット（MCDU）の間を、ARINC 429と呼ばれる1977年制定の有線通信規格で結んでいます。この規格にはメッセージ認証や暗号化の機能が一切なく、これが脆弱性の根本原因です 。

デバイスは「バスドライバ」として動作し、正規のコンピュータよりも強い電流をバスに流すことで、すべての通信を上書きして偽のコマンドを注入します。さらに、パイロットの表示画面に変更があったことを示す兆候そのものを抑制することも可能です 。

デバイスで可能になる改ざん

• 自動操縦のウェイポイントと飛行経路：飛行中に航空機の経路を変更し、他国の領空に逸脱させることや、わずか数度の針路変更も可能です 。
• 離陸変数の改ざん：航空機の重量、バランス、重心位置、外気温といった、安全な離陸速度を計算するために使われるデータを変更できます。誤った値が設定された場合、滑走路逸脱や機体制御喪失につながる可能性があります 。
• パイロット表示の偽装：実際に行われた変更をパイロットが一切認識できないよう、表示結果を偽装します。これにより、パイロットを危険な判断に誘導する可能性があります 。

ボーイング社の対応

研究者らは2020年にこの脆弱性をボーイング社に初めて開示し、その後、ボーイング社の試験施設でもその再現性を確認しました 。ボーイング社は自社のコンポーネント設計とインターフェースのレビューを実施したことを認め、WIRED誌に対して「航空機のシステム設計と運航環境に備わっている多層的な防御策により、現実世界での攻撃の実現可能性とリスクは十分に軽減されている」と説明しています 。

しかし研究者らによれば、ボーイング社は具体的な技術的修正について一切伝えていないとのことです。民間航空機の設計が抜本的に見直されることは稀であるため、修正アップデートが実装されるまでには長い年月がかかるだろうと研究者らは推測しています 。

研究者らが推奨する対策

• 物理的な強化：最も簡単な対策は、整備ポートをエポキシ樹脂で埋めるか、ポートそのものを取り外すことです 。
• 運用セキュリティの改善：この攻撃には機体外部ハッチへの短時間の物理的アクセスが必要なため、地上における航空機周辺へのアクセス管理をより厳格にするよう研究者らは主張しています 。
• 長期的なシステム再設計：ARINC 429バスに認証機能がないことを踏まえ、将来の航空電子バスにはメッセージ認証などのセキュリティ機能を組み込むべきだと提案しています 。

研究者らは、この攻撃は深刻であり航空サイバーセキュリティにおける重大な盲点を露呈したものの、航空機の運航停止や公衆のパニックを招くものではないと強調しています。論文著者全員が「日常的にボーイング737型機に搭乗しており、今後もそのつもりである」と述べています 。