'버스 드라이버(Bus Driver)' 공격 작동 원리

이 장비는 항공기 동체 아래 '전자 및 장비 베이(Electronics and Equipment bay)'에 있는 정비 포트에 물리적으로 연결됩니다. 이 포트는 지상에서 잠금 해제된 해치 뒤에 위치해 있으며, 연구진은 접근 및 장비 연결에 60초도 채 걸리지 않을 것으로 추정했습니다 .

이 포트는 1977년에 제정된 유선 통신 표준인 ARINC 429 버스 두 개를 통해 항법 컴퓨터(FMC)와 조종사의 다기능 제어 디스플레이 장치(MCDU) 간 데이터를 전송하는데, 이 표준은 메시지 인증이나 암호화 기능이 없습니다 .

이 장비는 '버스 드라이버' 역할을 하며, 정당한 컴퓨터보다 더 강한 전류를 버스에 흘려보내 모든 전송을 무시하고 가짜 명령을 주입할 수 있습니다. 또한 조종사 디스플레이에서 변경 사항이 발생했음을 알리는 표시를 숨길 수도 있습니다 .

장비가 조작할 수 있는 항목

• 자동조종 경로 및 항로: 비행 중 항공기의 경로를 변경할 수 있으며, 다른 국가 영공으로 우회하거나 항법을 수 도만 변경할 수도 있습니다 .
• 이륙 변수: 항공기 중량, 균형, 무게 중심, 외부 기온 등 안전한 이륙 속도 계산에 사용되는 데이터를 조작할 수 있습니다. 잘못된 값은 활주로 이탈 또는 통제 불능 상태로 이어질 수 있습니다 .
• 조종사 디스플레이: 장비는 조종사에게 보이는 결과를 위조하여 변경 사항이 발생하지 않은 것처럼 보이게 할 수 있으며, 조종사가 위험한 결정을 내리도록 속일 가능성이 있습니다 .

보잉의 대응

연구진은 2020년에 처음으로 이 취약점을 보잉에 공개했으며, 이후 보잉의 테스트 시설에서 결과를 검증했습니다 . 보잉은 자체 구성품 설계 및 인터페이스에 대한 검토를 수행했다고 확인했으며, WIRED에 "항공기의 시스템 설계 및 운영 환경을 포함한 다중 보호 계층이 실제 공격의 실현 가능성과 위험을 크게 제한하기에 충분한 완화 조치를 제공한다"고 말했습니다 . 연구진은 보잉이 기술적 수정 사항에 대해 알리지 않았다고 전했습니다. 연구진은 상업용 항공기가 재설계되는 빈도가 매우 낮기 때문에 보잉이 수년간 업데이트를 적용하지 않을 수 있다고 추측했습니다 .

연구진이 권장하는 대책

• 물리적 강화: 가장 간단한 해결책은 정비 포트를 에폭시 수지로 막거나 완전히 제거하는 것입니다 .
• 운영 보안 강화: 이 공격은 지상에서 항공기 외부 해치에 대한 짧은 물리적 접근이 필요하므로, 연구진은 지상에서 항공기 주변의 접근 통제를 강화해야 한다고 주장합니다 .
• 장기적 시스템 재설계: ARINC 429 버스에 인증 기능이 없기 때문에, 연구진은 향후 항공전자 버스에는 메시지 인증과 같은 보안 기능을 포함시켜 위조를 방지해야 한다고 제안합니다 .

연구진은 이 공격이 심각하고 항공 사이버 보안의 중요한 사각지대를 드러내지만, 항공기 운항 중단이나 대중의 공포를 유발할 정도는 아니라고 강조합니다. 모든 저자는 "정기적으로 보잉 737 항공기를 이용하며 앞으로도 계속 그럴 것"이라고 밝혔습니다 .

'버스 드라이버(Bus Driver)' 공격 작동 원리

이 장비는 항공기 동체 아래 '전자 및 장비 베이(Electronics and Equipment bay)'에 있는 정비 포트에 물리적으로 연결됩니다. 이 포트는 지상에서 잠금 해제된 해치 뒤에 위치해 있으며, 연구진은 접근 및 장비 연결에 60초도 채 걸리지 않을 것으로 추정했습니다 .

이 포트는 1977년에 제정된 유선 통신 표준인 ARINC 429 버스 두 개를 통해 항법 컴퓨터(FMC)와 조종사의 다기능 제어 디스플레이 장치(MCDU) 간 데이터를 전송하는데, 이 표준은 메시지 인증이나 암호화 기능이 없습니다 .

이 장비는 '버스 드라이버' 역할을 하며, 정당한 컴퓨터보다 더 강한 전류를 버스에 흘려보내 모든 전송을 무시하고 가짜 명령을 주입할 수 있습니다. 또한 조종사 디스플레이에서 변경 사항이 발생했음을 알리는 표시를 숨길 수도 있습니다 .

장비가 조작할 수 있는 항목

• 자동조종 경로 및 항로: 비행 중 항공기의 경로를 변경할 수 있으며, 다른 국가 영공으로 우회하거나 항법을 수 도만 변경할 수도 있습니다 .
• 이륙 변수: 항공기 중량, 균형, 무게 중심, 외부 기온 등 안전한 이륙 속도 계산에 사용되는 데이터를 조작할 수 있습니다. 잘못된 값은 활주로 이탈 또는 통제 불능 상태로 이어질 수 있습니다 .
• 조종사 디스플레이: 장비는 조종사에게 보이는 결과를 위조하여 변경 사항이 발생하지 않은 것처럼 보이게 할 수 있으며, 조종사가 위험한 결정을 내리도록 속일 가능성이 있습니다 .

보잉의 대응

연구진은 2020년에 처음으로 이 취약점을 보잉에 공개했으며, 이후 보잉의 테스트 시설에서 결과를 검증했습니다 . 보잉은 자체 구성품 설계 및 인터페이스에 대한 검토를 수행했다고 확인했으며, WIRED에 "항공기의 시스템 설계 및 운영 환경을 포함한 다중 보호 계층이 실제 공격의 실현 가능성과 위험을 크게 제한하기에 충분한 완화 조치를 제공한다"고 말했습니다 . 연구진은 보잉이 기술적 수정 사항에 대해 알리지 않았다고 전했습니다. 연구진은 상업용 항공기가 재설계되는 빈도가 매우 낮기 때문에 보잉이 수년간 업데이트를 적용하지 않을 수 있다고 추측했습니다 .

연구진이 권장하는 대책

• 물리적 강화: 가장 간단한 해결책은 정비 포트를 에폭시 수지로 막거나 완전히 제거하는 것입니다 .
• 운영 보안 강화: 이 공격은 지상에서 항공기 외부 해치에 대한 짧은 물리적 접근이 필요하므로, 연구진은 지상에서 항공기 주변의 접근 통제를 강화해야 한다고 주장합니다 .
• 장기적 시스템 재설계: ARINC 429 버스에 인증 기능이 없기 때문에, 연구진은 향후 항공전자 버스에는 메시지 인증과 같은 보안 기능을 포함시켜 위조를 방지해야 한다고 제안합니다 .

연구진은 이 공격이 심각하고 항공 사이버 보안의 중요한 사각지대를 드러내지만, 항공기 운항 중단이나 대중의 공포를 유발할 정도는 아니라고 강조합니다. 모든 저자는 "정기적으로 보잉 737 항공기를 이용하며 앞으로도 계속 그럴 것"이라고 밝혔습니다 .