Hoe de 'Bus Driver'-aanval werkt

Het apparaat wordt fysiek in een onderhoudspoort gestoken in het 'Electronics and Equipment'-ruim van het vliegtuig, dat zich onder de neus bevindt en vanaf de grond toegankelijk is via een onafgesloten luik. De onderzoekers schatten dat het minder dan 60 seconden duurt om toegang te krijgen en het apparaat aan te sluiten .

De poort transporteert gegevens tussen de Flight Management Computer (FMC) en de Multi-purpose Control Display Unit (MCDU) van de piloot via twee ARINC 429-bussen – een bekabelde communicatiestandaard uit 1977 die geen berichtauthenticatie of encryptie kent .

De implant fungeert als een 'bus driver' door meer stroom op de bus te zetten dan de legitieme computers. Hierdoor kan hij alle transmissies overschrijven en zijn eigen vervalste commando's injecteren. Het apparaat kan ook indicaties op het scherm van de piloot onderdrukken, zodat deze niet ziet dat er wijzigingen zijn aangebracht .

Wat het apparaat kan veranderen

• Autopiloot-wegpunten en vliegroute: De implant kan het vliegtuig tijdens de vlucht een andere route laten vliegen, inclusief het omleiden naar het luchtruim van een ander land of het wijzigen van de navigatie met slechts een paar graden .
• Startvariabelen: Het kan gegevens wijzigen over het gewicht, de balans, het zwaartepunt en de buitenluchttemperatuur van het vliegtuig – allemaal gebruikt om de veilige startsnelheid te berekenen. Onjuiste waarden kunnen leiden tot een baanoverschrijding of verlies van controle .
• Pilootdisplays: Het apparaat kan de resultaten op het scherm van de piloot vervalsen, zodat die geen indicatie ziet dat er een verandering heeft plaatsgevonden. Dit kan piloten mogelijk verleiden tot gevaarlijke beslissingen .

Reactie van Boeing

De onderzoekers meldden de kwetsbaarheid voor het eerst aan Boeing in 2020 en valideerden hun bevindingen later in een testfaciliteit van Boeing . Boeing bevestigde dat het een beoordeling heeft uitgevoerd van de ontwerpen en interfaces van zijn componenten en liet aan WIRED weten dat 'de beschermingslagen die in het vliegtuig aanwezig zijn, inclusief het systeemontwerp en de operationele omgeving, voldoende mitigatie bieden om de haalbaarheid en het risico van aanvallen in de praktijk aanzienlijk te beperken' . De onderzoekers zeggen dat Boeing hen niet op de hoogte heeft gesteld van een technische oplossing. Ze speculeren dat het bedrijf jaren geen update zal doorvoeren, aangezien commerciële vliegtuigen zelden opnieuw worden ontworpen .

Aanbevolen oplossingen van de onderzoekers

• Fysieke beveiliging: De eenvoudigste oplossing is om de onderhoudspoort met epoxy af te dichten of helemaal te verwijderen .
• Verbeterde operationele beveiliging: De onderzoekers pleiten voor strengere toegangscontrole rond vliegtuigen op de grond, omdat de aanval kortstondige fysieke toegang tot het externe luik van het vliegtuig vereist .
• Herontwerp van het systeem op langere termijn: Omdat de ARINC 429-bus geen authenticatie heeft, suggereren de onderzoekers dat toekomstige avionica-bussen beveiligingsfuncties zoals berichtauthenticatie moeten bevatten om vervalsing te voorkomen .

De onderzoekers merken op dat de aanval weliswaar serieus is en een aanzienlijke blinde vlek in de cyberbeveiliging van de luchtvaart blootlegt, maar dat het geen aanleiding is om vliegtuigen aan de grond te houden of paniek te zaaien – alle auteurs verklaren dat ze 'regelmatig met Boeing 737-vliegtuigen reizen en van plan zijn dat te blijven doen' .

Hoe de 'Bus Driver'-aanval werkt

Het apparaat wordt fysiek in een onderhoudspoort gestoken in het 'Electronics and Equipment'-ruim van het vliegtuig, dat zich onder de neus bevindt en vanaf de grond toegankelijk is via een onafgesloten luik. De onderzoekers schatten dat het minder dan 60 seconden duurt om toegang te krijgen en het apparaat aan te sluiten .

De poort transporteert gegevens tussen de Flight Management Computer (FMC) en de Multi-purpose Control Display Unit (MCDU) van de piloot via twee ARINC 429-bussen – een bekabelde communicatiestandaard uit 1977 die geen berichtauthenticatie of encryptie kent .

De implant fungeert als een 'bus driver' door meer stroom op de bus te zetten dan de legitieme computers. Hierdoor kan hij alle transmissies overschrijven en zijn eigen vervalste commando's injecteren. Het apparaat kan ook indicaties op het scherm van de piloot onderdrukken, zodat deze niet ziet dat er wijzigingen zijn aangebracht .

Wat het apparaat kan veranderen

• Autopiloot-wegpunten en vliegroute: De implant kan het vliegtuig tijdens de vlucht een andere route laten vliegen, inclusief het omleiden naar het luchtruim van een ander land of het wijzigen van de navigatie met slechts een paar graden .
• Startvariabelen: Het kan gegevens wijzigen over het gewicht, de balans, het zwaartepunt en de buitenluchttemperatuur van het vliegtuig – allemaal gebruikt om de veilige startsnelheid te berekenen. Onjuiste waarden kunnen leiden tot een baanoverschrijding of verlies van controle .
• Pilootdisplays: Het apparaat kan de resultaten op het scherm van de piloot vervalsen, zodat die geen indicatie ziet dat er een verandering heeft plaatsgevonden. Dit kan piloten mogelijk verleiden tot gevaarlijke beslissingen .

Reactie van Boeing

De onderzoekers meldden de kwetsbaarheid voor het eerst aan Boeing in 2020 en valideerden hun bevindingen later in een testfaciliteit van Boeing . Boeing bevestigde dat het een beoordeling heeft uitgevoerd van de ontwerpen en interfaces van zijn componenten en liet aan WIRED weten dat 'de beschermingslagen die in het vliegtuig aanwezig zijn, inclusief het systeemontwerp en de operationele omgeving, voldoende mitigatie bieden om de haalbaarheid en het risico van aanvallen in de praktijk aanzienlijk te beperken' . De onderzoekers zeggen dat Boeing hen niet op de hoogte heeft gesteld van een technische oplossing. Ze speculeren dat het bedrijf jaren geen update zal doorvoeren, aangezien commerciële vliegtuigen zelden opnieuw worden ontworpen .

Aanbevolen oplossingen van de onderzoekers

• Fysieke beveiliging: De eenvoudigste oplossing is om de onderhoudspoort met epoxy af te dichten of helemaal te verwijderen .
• Verbeterde operationele beveiliging: De onderzoekers pleiten voor strengere toegangscontrole rond vliegtuigen op de grond, omdat de aanval kortstondige fysieke toegang tot het externe luik van het vliegtuig vereist .
• Herontwerp van het systeem op langere termijn: Omdat de ARINC 429-bus geen authenticatie heeft, suggereren de onderzoekers dat toekomstige avionica-bussen beveiligingsfuncties zoals berichtauthenticatie moeten bevatten om vervalsing te voorkomen .

De onderzoekers merken op dat de aanval weliswaar serieus is en een aanzienlijke blinde vlek in de cyberbeveiliging van de luchtvaart blootlegt, maar dat het geen aanleiding is om vliegtuigen aan de grond te houden of paniek te zaaien – alle auteurs verklaren dat ze 'regelmatig met Boeing 737-vliegtuigen reizen en van plan zijn dat te blijven doen' .