Bus Driver 공격, 어떻게 작동하나

연구진 — 전 UC샌디에이고 박사과정생 샘 크로우(Sam Crow)가 이끌었습니다 — 은 두 핵심 온보드 컴퓨터 사이에 끼어드는 악성 서드파티 장치 역할을 하는 소형 회로 기판을 설계·제작·프로그래밍했습니다 . 공격 시나리오는 다음과 같습니다.

60초 미만의 물리적 설치

미국 25센트(쿼터) 동전 크기, 제작 비용 100달러 미만의 이 장치는 항공기 동체 외부 해치를 열어 전자장비(E&E) 베이에 접근한 후 설치합니다 . 공격자는 특별한 도구 없이 약 15초 만에 해치를 열고, 노출된 온보드 정비 컴퓨터(OMC) 포트에 임플란트를 꽂습니다 . 전체 과정은 60초도 채 걸리지 않으며, 장치는 포트의 먼지 캡 아래 숨겨져 일상 점검에서 발견되지 않습니다 .

ARINC 429 항공전자 버스 취약점

임플란트가 연결되면 암호화되지 않은 ARINC 429 항공전자 데이터 버스에 접근합니다. 이는 비행관리컴퓨터(FMC)와 조종사의 다기능 제어·표시 장치(MCDU) 사이 모든 통신을 전달하는 단일 마스터 직렬 버스입니다 . ARINC 429는 인증이나 암호화 기능이 없습니다. 결정적으로, 그 전기적 설계는 임피던스 매칭 저항을 사용해 정당한 송신기보다 더 많은 전류를 버스 라인에 흘려보냄으로써 악성 장치가 합법적 신호를 전기적으로 무시(override)할 수 있게 합니다 . 연구진은 이 신호 억제 기술을 'Bus Driver' 공격이라고 명명했습니다 .

임플란트가 조작할 수 있는 데이터

Bus Driver 임플란트가 버스를 장악하면 다음과 같은 스푸핑 명령을 주입할 수 있습니다:

• 항로 변경: 프로그래밍된 비행 경로 이탈
• 이륙 중량 계산 조작: 회전 속도(V-speed)에 직접 영향
• 외부 기온 및 연료량 수치 변경: 핵심 성능 계산에 영향

은밀성: 속아 넘어가는 조종석 디스플레이

동시에, 이 장치는 조종석 디스플레이에 가짜 데이터를 보내 조종사가 원래의 변경되지 않은 비행 계획을 보게 만듭니다. 즉, 모든 변경 사항을 효과적으로 숨깁니다 . 조종사는 MCDU 화면에서 어떤 경고나 불일치도 발견할 수 없어, 조종석에서 공격 탐지가 극도로 어렵습니다 .

비행 중 Wi-Fi 제어

임플란트에는 Wi-Fi 무선 통신 모듈이 포함되어 있어, 공격자가 실시간으로 무선 명령을 보내거나 항공기 운항 중 악성 소프트웨어 업데이트를 배포할 수 있습니다 . 즉, 장치는 설치 순간부터 비행 전 구간에 걸쳐 동적으로 제어될 수 있습니다.

보잉의 대응

연구팀은 2020년에 보잉에 이 취약점을 최초로 공개했으며, 이후 보잉과 긴밀히 협력해 보잉 자체 실험실에서 공격을 테스트하고 검증했습니다 .

이에 대해 보잉은 실제 위험성을 낮추는 성명을 발표했습니다: "당사 기술 전문가들은 항공기 시스템 설계 및 운용 환경 내에 마련된 다중 보호 계층이 실제 공격의 가능성과 위험을 크게 제한하는 충분한 완화책을 제공한다고 확신합니다" . 보잉은 또한 연구진의 발견에 대응해 관련 구성 요소 설계, 설치 및 인터페이스에 대한 자체 검토를 수행했다고 밝혔습니다 .

권장 완화 방안

연구진은 취약점 해결을 위한 일련의 완화책을 제안했습니다 :

• 외부 OMC/서비스 포트에 대한 물리적 접근 차단: 잠금 패널 또는 변조 방지 봉인 사용
• ARINC 429 버스 전기적 절연 개선: 버스 드라이빙 공격을 더 어렵게 만듦
• ARINC 429 메시지에 암호화 인증 추가
• 센서 융합 및 상호 검증 구현: 비행 매개변수 간 불일치를 중복 시스템이 감지하도록 함
• 조종석 경고 개선: FMC와 디스플레이 데이터 간 불일치 시 조종사에게 알림

연구진은 이번 발견이 기단 운항 중단을 의미하는 것이 아니라, 물리적 보안과 항공전자 버스 무결성에 대한 실질적이고 단기적인 개선이 필요함을 강조했습니다 .

Bus Driver 공격, 어떻게 작동하나

연구진 — 전 UC샌디에이고 박사과정생 샘 크로우(Sam Crow)가 이끌었습니다 — 은 두 핵심 온보드 컴퓨터 사이에 끼어드는 악성 서드파티 장치 역할을 하는 소형 회로 기판을 설계·제작·프로그래밍했습니다 . 공격 시나리오는 다음과 같습니다.

60초 미만의 물리적 설치

미국 25센트(쿼터) 동전 크기, 제작 비용 100달러 미만의 이 장치는 항공기 동체 외부 해치를 열어 전자장비(E&E) 베이에 접근한 후 설치합니다 . 공격자는 특별한 도구 없이 약 15초 만에 해치를 열고, 노출된 온보드 정비 컴퓨터(OMC) 포트에 임플란트를 꽂습니다 . 전체 과정은 60초도 채 걸리지 않으며, 장치는 포트의 먼지 캡 아래 숨겨져 일상 점검에서 발견되지 않습니다 .

ARINC 429 항공전자 버스 취약점

임플란트가 연결되면 암호화되지 않은 ARINC 429 항공전자 데이터 버스에 접근합니다. 이는 비행관리컴퓨터(FMC)와 조종사의 다기능 제어·표시 장치(MCDU) 사이 모든 통신을 전달하는 단일 마스터 직렬 버스입니다 . ARINC 429는 인증이나 암호화 기능이 없습니다. 결정적으로, 그 전기적 설계는 임피던스 매칭 저항을 사용해 정당한 송신기보다 더 많은 전류를 버스 라인에 흘려보냄으로써 악성 장치가 합법적 신호를 전기적으로 무시(override)할 수 있게 합니다 . 연구진은 이 신호 억제 기술을 'Bus Driver' 공격이라고 명명했습니다 .

임플란트가 조작할 수 있는 데이터

Bus Driver 임플란트가 버스를 장악하면 다음과 같은 스푸핑 명령을 주입할 수 있습니다:

• 항로 변경: 프로그래밍된 비행 경로 이탈
• 이륙 중량 계산 조작: 회전 속도(V-speed)에 직접 영향
• 외부 기온 및 연료량 수치 변경: 핵심 성능 계산에 영향

은밀성: 속아 넘어가는 조종석 디스플레이

동시에, 이 장치는 조종석 디스플레이에 가짜 데이터를 보내 조종사가 원래의 변경되지 않은 비행 계획을 보게 만듭니다. 즉, 모든 변경 사항을 효과적으로 숨깁니다 . 조종사는 MCDU 화면에서 어떤 경고나 불일치도 발견할 수 없어, 조종석에서 공격 탐지가 극도로 어렵습니다 .

비행 중 Wi-Fi 제어

임플란트에는 Wi-Fi 무선 통신 모듈이 포함되어 있어, 공격자가 실시간으로 무선 명령을 보내거나 항공기 운항 중 악성 소프트웨어 업데이트를 배포할 수 있습니다 . 즉, 장치는 설치 순간부터 비행 전 구간에 걸쳐 동적으로 제어될 수 있습니다.

보잉의 대응

연구팀은 2020년에 보잉에 이 취약점을 최초로 공개했으며, 이후 보잉과 긴밀히 협력해 보잉 자체 실험실에서 공격을 테스트하고 검증했습니다 .

이에 대해 보잉은 실제 위험성을 낮추는 성명을 발표했습니다: "당사 기술 전문가들은 항공기 시스템 설계 및 운용 환경 내에 마련된 다중 보호 계층이 실제 공격의 가능성과 위험을 크게 제한하는 충분한 완화책을 제공한다고 확신합니다" . 보잉은 또한 연구진의 발견에 대응해 관련 구성 요소 설계, 설치 및 인터페이스에 대한 자체 검토를 수행했다고 밝혔습니다 .

권장 완화 방안

연구진은 취약점 해결을 위한 일련의 완화책을 제안했습니다 :

• 외부 OMC/서비스 포트에 대한 물리적 접근 차단: 잠금 패널 또는 변조 방지 봉인 사용
• ARINC 429 버스 전기적 절연 개선: 버스 드라이빙 공격을 더 어렵게 만듦
• ARINC 429 메시지에 암호화 인증 추가
• 센서 융합 및 상호 검증 구현: 비행 매개변수 간 불일치를 중복 시스템이 감지하도록 함
• 조종석 경고 개선: FMC와 디스플레이 데이터 간 불일치 시 조종사에게 알림

연구진은 이번 발견이 기단 운항 중단을 의미하는 것이 아니라, 물리적 보안과 항공전자 버스 무결성에 대한 실질적이고 단기적인 개선이 필요함을 강조했습니다 .