Serangan 'Pemandu Bas': Peranti Wi-Fi Bernilai $100 Boleh Merampas Autopilot Boeing 737 dalam 60 Saat

Pada Simposium Keselamatan USENIX ke-35 di Baltimore pada 13 Ogos 2026, satu pasukan penyelidik dari UCSD dan Kolej Oberlin mendedahkan serangan bukti konsep yang mengejutkan terhadap penerbangan komersial. Digelar serangan "Pemandu Bas" (Bus Driver), eksploitasi ini menggunakan implan perkakasan sebesar syiling yang boleh mengawal sistem autopilot dan pengurusan penerbangan Boeing 737 Generasi Seterusnya dan MAX — semuanya bermula dengan kurang daripada satu minit akses fizikal ke port luaran yang tidak selamat pada pesawat .

Bagaimana Serangan Pemandu Bas Berfungsi

Penyelidik — diketuai oleh bekas pelajar PhD UCSD, Sam Crow — mereka bentuk, membina, dan memprogramkan satu litar kecil yang bertindak sebagai peranti pihak ketiga yang berniat jahat, diselitkan di antara dua komputer onboard yang kritikal . Begini cara serangan itu berlaku:

Pemasangan Fizikal dalam Bawah 60 Saat

Peranti ini, lebih kurang sebesar syiling 50 sen dan berharga bawah $100 untuk dibina, dipasang dengan membuka ruang luar pada badan pesawat yang memberikan akses ke ruang Elektronik dan Peralatan (E&E) . Penyerang boleh membuka ruang ini dalam kira-kira 15 saat tanpa alat khas, kemudian memasang implan ke dalam port Komputer Penyelenggaraan Dalam Pesawat (OMC) yang terdedah . Keseluruhan proses mengambil masa kurang 60 saat, dan peranti ini cukup kecil untuk disembunyikan di bawah penutup port, menjadikannya tidak kelihatan semasa pemeriksaan rutin .

Mengeksploitasi Bas Avionik ARINC 429

Setelah disambungkan, implan ini menyelit ke dalam bas data avionik ARINC 429 yang tidak disulitkan, iaitu bas bersiri induk tunggal yang membawa semua komunikasi antara Komputer Pengurusan Penerbangan (FMC) dan Unit Paparan dan Kawalan Pelbagai Fungsi (MCDU) juruterbang . ARINC 429 tidak mempunyai pengesahan atau penyulitan yang terbina dalam. Yang paling penting, reka bentuk elektriknya menggunakan perintang padanan impedans yang membolehkan peranti berniat jahat mengatasi isyarat yang sah secara elektrik dengan menghantar lebih banyak arus ke laluan bas daripada pemancar yang dibenarkan . Penyelidik memanggil teknik penindasan isyarat ini sebagai serangan "Pemandu Bas" .

Apa Yang Boleh Diubah oleh Implan

Setelah implan Pemandu Bas mengatasi bas, ia boleh menyuntik arahan palsu untuk:

• Menukar titik laluan dan memesongkan pesawat daripada laluan penerbangan yang diprogramkan
• Mengubah pengiraan berat berlepas, yang secara langsung mempengaruhi kelajuan V (kelajuan putaran yang diperlukan untuk berlepas)
• Mengubah suai suhu udara luar dan nilai kuantiti minyak, yang mengubah pengiraan prestasi kritikal

Senyap: Paparan Juruterbang yang Dipalsukan

Pada masa yang sama, peranti ini menghantar data palsu ke paparan kokpit supaya juruterbang melihat pelan penerbangan asal yang tidak diubah — secara efektif menyembunyikan semua perubahan . Juruterbang tidak akan melihat sebarang amaran atau percanggahan pada skrin MCDU, menjadikan serangan ini sangat sukar dikesan dari kokpit .

Kawalan Wi-Fi Semasa Penerbangan

Implan ini termasuk radio Wi-Fi, membolehkan penyerang menghantar arahan secara wayarles dalam masa nyata atau bahkan menggunakan kemas kini perisian berniat jahat semasa pesawat berada di udara . Ini bermakna peranti boleh dikawal secara dinamik dari saat ia dipasang sepanjang tempoh penerbangan.

Respons Boeing

Pasukan penyelidik mula-mula mendedahkan kelemahan ini kepada Boeing pada tahun 2020, kemudian bekerjasama rapat dengan pengilang untuk menguji dan mengesahkan serangan di makmal Boeing sendiri .

Sebagai respons, Boeing mengeluarkan kenyataan yang memperkecilkan risiko praktikal: "Pakar teknikal kami yakin bahawa lapisan perlindungan yang ada di dalam pesawat, termasuk dalam reka bentuk sistem dan persekitaran operasi, memberikan mitigasi yang mencukupi untuk mengehadkan kebolehlaksanaan dan risiko serangan dunia sebenar secara signifikan" . Boeing juga menyatakan bahawa ia telah menjalankan semakan sendiri ke atas reka bentuk, pemasangan, dan antara muka komponen yang berkaitan sebagai respons terhadap penemuan penyelidik .

Mitigasi yang Disyorkan

Penyelidik mencadangkan satu siri mitigasi untuk menangani kelemahan ini, termasuk :

• Menghalang akses fizikal ke port OMC/perkhidmatan luaran, seperti dengan panel berkunci atau meterai kalis gangguan
• Menambah baik pengasingan elektrik pada bas ARINC 429 untuk menyukarkan serangan pemanduan bas
• Menambah pengesahan kriptografi pada mesej ARINC 429
• Melaksanakan gabungan sensor dan semakan silang supaya percanggahan antara parameter penerbangan dapat dikesan oleh sistem berlebihan
• Menambah baik pemberitahuan kokpit supaya juruterbang dimaklumkan tentang ketidakpadanan antara data FMC dan paparan

Para penyelidik menegaskan bahawa penemuan mereka tidak memerlukan penggantungan armada, sebaliknya menyeru penambahbaikan praktikal jangka pendek terhadap keselamatan fizikal dan integriti bas avionik .