동전 크기 해킹 장치, 보잉 737 자동조종장치를 탈취하다

연결되면 이 장치는 '버스 드라이버'라는 기술을 사용합니다. 즉, 더 높은 전류의 신호를 보내 FMC와 MCDU 간에 전송되는 정상적인 명령을 무효화하고 대체합니다. ARINC 429 프로토콜에는 암호화나 인증 기능이 없기 때문에, 이 장치는 메시지를 가로채고, 수정하고, 주입할 수 있으며 이를 감지할 방법이 없습니다 . 이 장치에는 Wi-Fi 모듈도 내장되어 있어, 공격자는 항공기의 기내 Wi-Fi 네트워크를 통해 원격으로 장치를 제어할 수 있습니다 .

장치가 수행할 수 있는 구체적인 조작

'버스 드라이버' 장치는 공격자에게 항공기 항전 장비에 대한 여러 형태의 통제권을 부여합니다:

• 자동 조종 경유지 변경: 장치는 비행 계획의 경유지를 아주 작은 단위로 변경할 수 있습니다. 시간이 지남에 따라 이러한 은밀한 수정은 조종사에게 경고를 울리지 않으면서 항공기를 원래 경로에서 점차 이탈시킬 수 있습니다 .
• 이륙 변수 변경: 장치는 FMC가 이륙 성능을 계산하는 데 사용하는 중요한 입력값(예: 항공기 중량 및 외부 공기 온도)을 수정할 수 있습니다. FMC가 실제보다 낮은 중량이나 높은 온도를 기록하면, 안전한 이륙에 필요한 추력보다 부족한 추력을 계산할 수 있습니다 .
• 조종사 계기판 표시 조작: 장치는 동시에 조종석 계기판에 표시되는 데이터를 변조하여 수정 사실을 숨깁니다. 조종사는 실제와 다른 그럴듯한 값을 보게 되어 공격을 감지하기 어렵습니다 .

잠재적 결과

연구진은 이러한 기능이 심각한 결과를 초래할 수 있다고 경고합니다:

• 변조된 중량/온도 값으로 인한 이륙 시 활주로 이탈 .
• 항공기가 외국 또는 제한 공역으로 이탈 .
• 최악의 경우 치명적인 추락 사고 .

보잉의 대응 및 일정

보잉은 '시스템 설계 및 운용 환경을 포함한 항공기에 마련된 다중 보호 계층이 실제 공격의 가능성과 위험을 크게 제한할 수 있을 것'이라고 자신감을 표명했습니다 . 그러나 연구진에 따르면 보잉은 약 6년 전인 2020년경에 이 연구의 일부 내용을 처음 통보받았지만, 이 취약점을 해결하기 위한 구체적인 기술적 수정 사항을 공개하지 않았습니다 .

권장되는 완화 조치

연구진은 단기적인 물리적 수정과 장기적인 엔지니어링 솔루션을 모두 제안합니다:

단기적 물리적 수정

• 물리적 접근을 차단하기 위해 외부 정비 포트를 에폭시 수지로 채웁니다 .
• 항공기에서 커넥터 자체를 제거합니다 .

장기적 소프트웨어/하드웨어 수정

• 항공전자 버스에서 비정상 신호를 식별하기 위한 소프트웨어 기반 탐지 기능을 구현합니다 .
• 메시지 스푸핑을 방지하기 위해 ARINC 429 통신에 암호화 인증을 추가합니다 .

이번 시연의 심각성에도 불구하고, 연구진은 자신들도 계속해서 보잉 737을 타고 비행한다고 강조합니다. 그들은 항공기 운항 중단을 요구하는 것이 아니라, 이러한 물리적 접근 방식의 항전 장비 공격 문제를 해결하기 위한 장기적인 업계 계획을 옹호하고 있습니다 .