Hoe de aanval werkt: fysieke toegang en implantatie

Een aanv那er begint met het openen van een onbeveiligd luik aan de buitenkant van het vliegtuig – het Electronics and Equipment (E&E)-compartiment – in zo'n 15 seconden en zonder speciaal gereedschap . Binnenin bevindt zich een diagnose-poort die door grondpersoneel wordt gebruikt voor het testen en oplossen van avionica-problemen. Deze poort is direct verbonden met de Flight Management Computer (FMC) en de Multipurpose Control Display Unit (MCDU) in de cockpit via de ARINC 429-bus .

Het apparaat van de onderzoekers, ongeveer zo groot als een euromunt, wordt in deze poort gestoken en past volledig onder de bestaande stofkap, waardoor het onzichtbaar blijft bij een oppervlakkige inspectie. De totale installatie duurt minder dan 60 seconden .

Zodra het is aangesloten, maakt het apparaat gebruik van een techniek die de onderzoekers 'Bus Driver' noemen: het stuurt signalen met een hogere elektrische stroom om de echte commando's tussen de FMC en MCDU te overschrijven en te vervangen. Omdat het ARINC 429-protocol geen encryptie of authenticatie kent, kan het apparaat berichten onderscheppen, wijzigen en injecteren zonder dat dit wordt gedetecteerd . Het apparaat heeft ook een wifi-module, waarmee een aanvaller het op afstand kan besturen via het boordnetwerk van het vliegtuig .

Specifieke manipulaties die het apparaat kan uitvoeren

Het 'Bus Driver'-apparaat geeft een aanvaller verschillende vormen van controle over de avionica van het vliegtuig:

• Wijzigen van autopilot-waypoints: Het apparaat kan kleine, stapsgewijze veranderingen aanbrengen in de waypoints van de vluchtroute. Na verloop van tijd kunnen deze subtiele aanpassingen het vliegtuig geleidelijk van de bedoelde route laten afwijken, zonder dat er een alarm voor de piloot afgaat .
• Veranderen van startparameters: Het apparaat kan kritische invoerwaarden manipuleren die de FMC gebruikt om de startprestaties te berekenen, zoals het vliegtuiggewicht en de buitentemperatuur. Als de FMC een lager gewicht of een hogere temperatuur registreert dan in werkelijkheid het geval is, kan deze te weinig stuwkracht berekenen voor een veilige start .
• Vervalsen van piloten-displays: Het apparaat beschadigt tegelijkertijd de gegevens die op de instrumenten in de cockpit worden getoond, waardoor de wijzigingen verborgen blijven. De piloot ziet valse maar aannemelijke waarden, waardoor het moeilijk is om de aanval te ontdekken .

Mogelijke gevolgen

De onderzoekers waarschuwen dat deze mogelijkheden tot ernstige uitkomsten kunnen leiden:

• Doorstarten van de landingsbaan (runway overrun) door gemanipuleerde gewichts-/temperatuurwaarden .
• Omleiding van het vliegtuig naar buitenlands of verboden luchtruim .
• Catastrofale crashes in het ergste geval .

Reactie van Boeing en tijdlijn

Boeing stelt 'er vertrouwen in te hebben dat de lagen van bescherming die in het vliegtuig zijn ingebouwd, inclusief het systeemontwerp en de operationele omgeving, voldoende mitigatie bieden om de haalbaarheid en het risico van aanvallen in de praktijk aanzienlijk te beperken' . De onderzoekers melden echter dat Boeing meer dan zes jaar geleden (rond 2020) voor het eerst over elementen van het onderzoek is ingelicht en geen specifieke technische oplossing voor de kwetsbaarheid heeft bekendgemaakt .

Aanbevolen maatregelen

De onderzoekers stellen zowel fysieke oplossingen voor de korte termijn als technische oplossingen voor de lange termijn voor:

Fysieke oplossingen voor de korte termijn

• Vul de externe onderhoudspoort met epoxy om fysieke toegang te blokkeren .
• Verwijder de connector volledig uit het vliegtuig .

Software-/hardware-oplossingen voor de lange termijn

• Implementeer softwarematige detectie om afwijkende signalen op de avionica-bus te identificeren .
• Voeg cryptografische authenticatie toe aan ARINC 429-communicatie om het vervalsen van berichten te voorkomen .

Ondanks de ernst van de demonstratie benadrukken de onderzoekers dat ze zelf nog steeds met Boeing 737's vliegen. Ze roepen niet op om vliegtuigen aan de grond te houden, maar pleiten voor een langetermijnplanning in de industrie om dit type fysieke aanvallen op avionica aan te pakken .

Hoe de aanval werkt: fysieke toegang en implantatie

Een aanv那er begint met het openen van een onbeveiligd luik aan de buitenkant van het vliegtuig – het Electronics and Equipment (E&E)-compartiment – in zo'n 15 seconden en zonder speciaal gereedschap . Binnenin bevindt zich een diagnose-poort die door grondpersoneel wordt gebruikt voor het testen en oplossen van avionica-problemen. Deze poort is direct verbonden met de Flight Management Computer (FMC) en de Multipurpose Control Display Unit (MCDU) in de cockpit via de ARINC 429-bus .

Het apparaat van de onderzoekers, ongeveer zo groot als een euromunt, wordt in deze poort gestoken en past volledig onder de bestaande stofkap, waardoor het onzichtbaar blijft bij een oppervlakkige inspectie. De totale installatie duurt minder dan 60 seconden .

Zodra het is aangesloten, maakt het apparaat gebruik van een techniek die de onderzoekers 'Bus Driver' noemen: het stuurt signalen met een hogere elektrische stroom om de echte commando's tussen de FMC en MCDU te overschrijven en te vervangen. Omdat het ARINC 429-protocol geen encryptie of authenticatie kent, kan het apparaat berichten onderscheppen, wijzigen en injecteren zonder dat dit wordt gedetecteerd . Het apparaat heeft ook een wifi-module, waarmee een aanvaller het op afstand kan besturen via het boordnetwerk van het vliegtuig .

Specifieke manipulaties die het apparaat kan uitvoeren

Het 'Bus Driver'-apparaat geeft een aanvaller verschillende vormen van controle over de avionica van het vliegtuig:

• Wijzigen van autopilot-waypoints: Het apparaat kan kleine, stapsgewijze veranderingen aanbrengen in de waypoints van de vluchtroute. Na verloop van tijd kunnen deze subtiele aanpassingen het vliegtuig geleidelijk van de bedoelde route laten afwijken, zonder dat er een alarm voor de piloot afgaat .
• Veranderen van startparameters: Het apparaat kan kritische invoerwaarden manipuleren die de FMC gebruikt om de startprestaties te berekenen, zoals het vliegtuiggewicht en de buitentemperatuur. Als de FMC een lager gewicht of een hogere temperatuur registreert dan in werkelijkheid het geval is, kan deze te weinig stuwkracht berekenen voor een veilige start .
• Vervalsen van piloten-displays: Het apparaat beschadigt tegelijkertijd de gegevens die op de instrumenten in de cockpit worden getoond, waardoor de wijzigingen verborgen blijven. De piloot ziet valse maar aannemelijke waarden, waardoor het moeilijk is om de aanval te ontdekken .

Mogelijke gevolgen

De onderzoekers waarschuwen dat deze mogelijkheden tot ernstige uitkomsten kunnen leiden:

• Doorstarten van de landingsbaan (runway overrun) door gemanipuleerde gewichts-/temperatuurwaarden .
• Omleiding van het vliegtuig naar buitenlands of verboden luchtruim .
• Catastrofale crashes in het ergste geval .

Reactie van Boeing en tijdlijn

Boeing stelt 'er vertrouwen in te hebben dat de lagen van bescherming die in het vliegtuig zijn ingebouwd, inclusief het systeemontwerp en de operationele omgeving, voldoende mitigatie bieden om de haalbaarheid en het risico van aanvallen in de praktijk aanzienlijk te beperken' . De onderzoekers melden echter dat Boeing meer dan zes jaar geleden (rond 2020) voor het eerst over elementen van het onderzoek is ingelicht en geen specifieke technische oplossing voor de kwetsbaarheid heeft bekendgemaakt .

Aanbevolen maatregelen

De onderzoekers stellen zowel fysieke oplossingen voor de korte termijn als technische oplossingen voor de lange termijn voor:

Fysieke oplossingen voor de korte termijn

• Vul de externe onderhoudspoort met epoxy om fysieke toegang te blokkeren .
• Verwijder de connector volledig uit het vliegtuig .

Software-/hardware-oplossingen voor de lange termijn

• Implementeer softwarematige detectie om afwijkende signalen op de avionica-bus te identificeren .
• Voeg cryptografische authenticatie toe aan ARINC 429-communicatie om het vervalsen van berichten te voorkomen .

Ondanks de ernst van de demonstratie benadrukken de onderzoekers dat ze zelf nog steeds met Boeing 737's vliegen. Ze roepen niet op om vliegtuigen aan de grond te houden, maar pleiten voor een langetermijnplanning in de industrie om dit type fysieke aanvallen op avionica aan te pakken .