Bagaimana serangan berfungsi: Akses fizikal dan implantasi

Penyerang bermula dengan membuka palka yang tidak berkunci pada bahagian luar pesawat—ruang Elektronik dan Peralatan (E&E)—dalam kira-kira 15 saat tanpa memerlukan alat khas . Di dalamnya, terdapat port penyelenggaraan diagnostik yang digunakan oleh krew darat untuk menguji dan menyelesaikan masalah avionik, yang disambung terus ke Komputer Pengurusan Penerbangan (FMC) dan Unit Paparan Kawalan Pelbagai Guna (MCDU) di kokpit melalui bas ARINC 429 .

Peranti khas penyelidik, yang lebih kurang sebesar syiling (sedikit lebih besar daripada syiling 50 sen AS), dipalamkan ke port ini dan muat sepenuhnya di bawah penutup habuk sedia ada, menjadikannya tidak kelihatan semasa pemeriksaan biasa. Pemasangan keseluruhan mengambil masa kurang 60 saat .

Setelah disambung, peranti menggunakan teknik yang dinamakan 'Bus Driver' oleh penyelidik—menghantar isyarat pada arus elektrik yang lebih tinggi untuk mengatasi dan menggantikan arahan tulen yang dihantar antara FMC dan MCDU. Oleh kerana protokol ARINC 429 tidak mempunyai sebarang enkripsi atau pengesahan, peranti ini boleh memintas, mengubah suai, dan menyuntik mesej tanpa dikesan . Peranti ini juga dilengkapi modul Wi-Fi, membolehkan penyerang mengawalnya dari jauh melalui rangkaian Wi-Fi dalam pesawat .

Manipulasi khusus yang boleh dilakukan peranti

Peranti 'Bus Driver' memberikan penyerang beberapa bentuk kawalan ke atas avionik pesawat:

• Mengubah titik laluan autopilot: Peranti boleh membuat perubahan kecil dan berperingkat pada titik laluan pelan penerbangan. Lama kelamaan, pengubahsuaian secara senyap ini boleh memesongkan pesawat secara beransur-ansur dari laluan asalnya tanpa mencetuskan amaran juruterbang .
• Menukar pembolehubah berlepas: Peranti boleh mengubah suai input kritikal yang digunakan oleh FMC untuk mengira prestasi berlepas, seperti berat pesawat dan suhu udara luar. Jika FMC mencatat berat yang lebih rendah atau suhu yang lebih tinggi daripada realiti, ia mungkin mengira tujahan yang tidak mencukupi untuk berlepas yang selamat .
• Memalsukan paparan juruterbang: Peranti pada masa yang sama merosakkan data yang dipaparkan pada instrumen di kokpit, menyembunyikan pengubahsuaian yang dilakukan. Juruterbang melihat nilai yang palsu tetapi munasabah, menjadikannya sukar untuk mengesan serangan .

Akibat yang berpotensi

Penyelidik memberi amaran bahawa keupayaan ini boleh membawa kepada akibat serius:

• Pesawat terbabas di landasan ketika berlepas akibat nilai berat/suhu yang diubah .
• Pesawat diubah haluan ke ruang udara asing atau terhad .
• Kemalangan maut dalam senario paling teruk .

Tindak balas Boeing dan garis masa

Boeing menyatakan ia 'yakin bahawa lapisan perlindungan yang ada pada pesawat, termasuk dalam reka bentuk sistem dan persekitaran operasi, memberikan mitigasi yang mencukupi untuk menghadkan kebolehlaksanaan dan risiko serangan dunia sebenar dengan ketara' . Walau bagaimanapun, penyelidik melaporkan bahawa Boeing pertama kali dimaklumkan mengenai elemen penyelidikan ini lebih enam tahun lalu, sekitar tahun 2020, dan tidak pernah mendedahkan sebarang pembetulan teknikal khusus untuk menangani kelemahan ini .

Langkah mitigasi yang disarankan

Penyelidik mencadangkan pembaikan fizikal jangka pendek dan penyelesaian kejuruteraan jangka panjang:

Pembaikan fizikal jangka pendek

• Isi port penyelenggaraan luaran dengan epoksi untuk menyekat akses fizikal .
• Tanggalkan penyambung sepenuhnya dari pesawat .

Pembaikan perisian/perkakasan jangka panjang

• Laksanakan pengesanan berasaskan perisian untuk mengenal pasti isyarat luar biasa pada bas avionik .
• Tambah pengesahan kriptografi pada komunikasi ARINC 429 untuk mengelakkan pemalsuan mesej .

Walaupun demonstrasi ini serius, para penyelidik menekankan bahawa mereka sendiri masih menaiki Boeing 737. Mereka tidak menyeru agar pesawat ini dibumikan, sebaliknya menyokong perancangan industri jangka panjang untuk menangani serangan avionik akses fizikal seperti ini .

Bagaimana serangan berfungsi: Akses fizikal dan implantasi

Penyerang bermula dengan membuka palka yang tidak berkunci pada bahagian luar pesawat—ruang Elektronik dan Peralatan (E&E)—dalam kira-kira 15 saat tanpa memerlukan alat khas . Di dalamnya, terdapat port penyelenggaraan diagnostik yang digunakan oleh krew darat untuk menguji dan menyelesaikan masalah avionik, yang disambung terus ke Komputer Pengurusan Penerbangan (FMC) dan Unit Paparan Kawalan Pelbagai Guna (MCDU) di kokpit melalui bas ARINC 429 .

Peranti khas penyelidik, yang lebih kurang sebesar syiling (sedikit lebih besar daripada syiling 50 sen AS), dipalamkan ke port ini dan muat sepenuhnya di bawah penutup habuk sedia ada, menjadikannya tidak kelihatan semasa pemeriksaan biasa. Pemasangan keseluruhan mengambil masa kurang 60 saat .

Setelah disambung, peranti menggunakan teknik yang dinamakan 'Bus Driver' oleh penyelidik—menghantar isyarat pada arus elektrik yang lebih tinggi untuk mengatasi dan menggantikan arahan tulen yang dihantar antara FMC dan MCDU. Oleh kerana protokol ARINC 429 tidak mempunyai sebarang enkripsi atau pengesahan, peranti ini boleh memintas, mengubah suai, dan menyuntik mesej tanpa dikesan . Peranti ini juga dilengkapi modul Wi-Fi, membolehkan penyerang mengawalnya dari jauh melalui rangkaian Wi-Fi dalam pesawat .

Manipulasi khusus yang boleh dilakukan peranti

Peranti 'Bus Driver' memberikan penyerang beberapa bentuk kawalan ke atas avionik pesawat:

• Mengubah titik laluan autopilot: Peranti boleh membuat perubahan kecil dan berperingkat pada titik laluan pelan penerbangan. Lama kelamaan, pengubahsuaian secara senyap ini boleh memesongkan pesawat secara beransur-ansur dari laluan asalnya tanpa mencetuskan amaran juruterbang .
• Menukar pembolehubah berlepas: Peranti boleh mengubah suai input kritikal yang digunakan oleh FMC untuk mengira prestasi berlepas, seperti berat pesawat dan suhu udara luar. Jika FMC mencatat berat yang lebih rendah atau suhu yang lebih tinggi daripada realiti, ia mungkin mengira tujahan yang tidak mencukupi untuk berlepas yang selamat .
• Memalsukan paparan juruterbang: Peranti pada masa yang sama merosakkan data yang dipaparkan pada instrumen di kokpit, menyembunyikan pengubahsuaian yang dilakukan. Juruterbang melihat nilai yang palsu tetapi munasabah, menjadikannya sukar untuk mengesan serangan .

Akibat yang berpotensi

Penyelidik memberi amaran bahawa keupayaan ini boleh membawa kepada akibat serius:

• Pesawat terbabas di landasan ketika berlepas akibat nilai berat/suhu yang diubah .
• Pesawat diubah haluan ke ruang udara asing atau terhad .
• Kemalangan maut dalam senario paling teruk .

Tindak balas Boeing dan garis masa

Boeing menyatakan ia 'yakin bahawa lapisan perlindungan yang ada pada pesawat, termasuk dalam reka bentuk sistem dan persekitaran operasi, memberikan mitigasi yang mencukupi untuk menghadkan kebolehlaksanaan dan risiko serangan dunia sebenar dengan ketara' . Walau bagaimanapun, penyelidik melaporkan bahawa Boeing pertama kali dimaklumkan mengenai elemen penyelidikan ini lebih enam tahun lalu, sekitar tahun 2020, dan tidak pernah mendedahkan sebarang pembetulan teknikal khusus untuk menangani kelemahan ini .

Langkah mitigasi yang disarankan

Penyelidik mencadangkan pembaikan fizikal jangka pendek dan penyelesaian kejuruteraan jangka panjang:

Pembaikan fizikal jangka pendek

• Isi port penyelenggaraan luaran dengan epoksi untuk menyekat akses fizikal .
• Tanggalkan penyambung sepenuhnya dari pesawat .

Pembaikan perisian/perkakasan jangka panjang

• Laksanakan pengesanan berasaskan perisian untuk mengenal pasti isyarat luar biasa pada bas avionik .
• Tambah pengesahan kriptografi pada komunikasi ARINC 429 untuk mengelakkan pemalsuan mesej .

Walaupun demonstrasi ini serius, para penyelidik menekankan bahawa mereka sendiri masih menaiki Boeing 737. Mereka tidak menyeru agar pesawat ini dibumikan, sebaliknya menyokong perancangan industri jangka panjang untuk menangani serangan avionik akses fizikal seperti ini .