Hoe de Bus Driver-aanval werkt

De onderzoekers – onder leiding van Sam Crow, voormalig promovendus aan UCSD – ontwierpen, bouwden en programmeerden een klein printplaatje dat fungeert als een kwaadaardig apparaat dat tussen twee kritieke boordcomputers wordt geplaatst . Dit is hoe de aanval in zijn werk gaat:

Fysieke installatie in minder dan 60 seconden

Het apparaat, ongeveer even groot als een Nederlands muntstuk van 2 euro en kostend onder de 100 dollar om te bouwen, wordt geïnstalleerd door een extern luik in de romp van het vliegtuig te openen dat toegang geeft tot de Electronics and Equipment (E&E)-bay . Een aanvaller kan dit luik in ongeveer 15 seconden openen zonder speciaal gereedschap en de stekker vervolgens in een blootliggende Onboard Maintenance Computer (OMC)-poort steken . Het hele proces duurt minder dan 60 seconden en het apparaat is klein genoeg om onder de stofkap van de poort te worden verborgen, waardoor het tijdens routine-inspecties onzichtbaar blijft .

De ARINC 429-avionicabus uitbuiten

Eenmaal aangesloten, tapt het implantaat in op de onversleutelde ARINC 429-avionicabus, een seriële bus met één master die alle communicatie verzorgt tussen de Flight Management Computer (FMC) en de Multifunction Control and Display Unit (MCDU) van de piloot . ARINC 429 heeft geen ingebouwde authenticatie of encryptie. Cruciaal is dat het elektrische ontwerp gebruikmaakt van impedantie-matchende weerstanden, waardoor een kwaadaardig apparaat legitieme signalen elektrisch kan overschrijven door meer stroom op de buslijnen te zetten dan de geautoriseerde zender . De onderzoekers noemen deze signaalonderdrukkingstechniek de 'Bus Driver'-aanval .

Wat het implantaat kan wijzigen

Zodra het Bus Driver-implantaat de bus overneemt, kan het vervalste commando's injecteren om:

• Waypoints te wijzigen en het vliegtuig van zijn geprogrammeerde vliegroute af te laten wijken
• Startgewichtberekeningen te veranderen, wat direct van invloed is op de V-snelheden (de rotatiesnelheid die nodig is voor het opstijgen)
• Waarden voor de buitentemperatuur en de brandstofhoeveelheid aan te passen, wat kritieke prestatieberekeningen beïnvloedt

Heimelijkheid: het vervalste pilotendisplay

Tegelijkertijd stuurt het apparaat valse gegevens naar de cockpitdisplays, zodat de piloot het originele, onaangepaste vluchtplan ziet – waardoor alle wijzigingen effectief verborgen blijven . De piloot zou geen alarm of afwijking op het MCDU-scherm zien, wat de aanval vanuit de cockpit uiterst moeilijk te detecteren maakt .

Wifi-besturing tijdens de vlucht

Het implantaat bevat een wifi-radio, waardoor een aanvaller draadloos commando's in realtime kan sturen of zelfs een kwaadaardige software-update kan uitrollen terwijl het vliegtuig in de lucht is . Dit betekent dat het apparaat dynamisch kan worden bestuurd vanaf het moment van installatie tot de hele duur van de vlucht.

Reactie van Boeing

Het onderzoeksteam meldde de kwetsbaarheid voor het eerst aan Boeing in 2020 en werkte vervolgens nauw samen met de fabrikant om de aanval in Boeings eigen lab te testen en te valideren .

In reactie hierop gaf Boeing een verklaring uit waarin het praktische risico werd gebagatelliseerd: "Onze technische experts zijn ervan overtuigd dat de beschermingslagen die in het vliegtuig zijn ingebouwd, inclusief het systeemontwerp en de operationele omgeving, voldoende beperkingen bieden om de haalbaarheid en het risico van aanvallen in de echte wereld aanzienlijk te beperken" . Boeing verklaarde ook dat het naar aanleiding van de bevindingen van de onderzoekers een eigen beoordeling had uitgevoerd van de relevante componentontwerpen, installaties en interfaces .

Aanbevolen mitigerende maatregelen

De onderzoekers stelden een reeks maatregelen voor om de kwetsbaarheid aan te pakken, waaronder :

• Het fysiek blokkeren van de toegang tot de externe OMC-/servicepoort, bijvoorbeeld met vergrendelbare panelen of verzegelingen die knoeien aantonen
• Het verbeteren van de elektrische isolatie op de ARINC 429-bus om bus-driving-aanvallen moeilijker te maken
• Het toevoegen van cryptografische authenticatie aan ARINC 429-berichten
• Het implementeren van sensorfusie en kruiscontroles, zodat discrepanties tussen vluchtparameters door redundante systemen worden gedetecteerd
• Het verbeteren van cockpitwaarschuwingen, zodat piloten op de hoogte worden gesteld van mismatches tussen de FMC- en displaygegevens

De onderzoekers benadrukten dat hun bevindingen niet betekenen dat de vloot aan de grond moet worden gehouden, maar dat er praktische verbeteringen op korte termijn nodig zijn op het gebied van fysieke beveiliging en de integriteit van avionicabussen .

Hoe de Bus Driver-aanval werkt

De onderzoekers – onder leiding van Sam Crow, voormalig promovendus aan UCSD – ontwierpen, bouwden en programmeerden een klein printplaatje dat fungeert als een kwaadaardig apparaat dat tussen twee kritieke boordcomputers wordt geplaatst . Dit is hoe de aanval in zijn werk gaat:

Fysieke installatie in minder dan 60 seconden

Het apparaat, ongeveer even groot als een Nederlands muntstuk van 2 euro en kostend onder de 100 dollar om te bouwen, wordt geïnstalleerd door een extern luik in de romp van het vliegtuig te openen dat toegang geeft tot de Electronics and Equipment (E&E)-bay . Een aanvaller kan dit luik in ongeveer 15 seconden openen zonder speciaal gereedschap en de stekker vervolgens in een blootliggende Onboard Maintenance Computer (OMC)-poort steken . Het hele proces duurt minder dan 60 seconden en het apparaat is klein genoeg om onder de stofkap van de poort te worden verborgen, waardoor het tijdens routine-inspecties onzichtbaar blijft .

De ARINC 429-avionicabus uitbuiten

Eenmaal aangesloten, tapt het implantaat in op de onversleutelde ARINC 429-avionicabus, een seriële bus met één master die alle communicatie verzorgt tussen de Flight Management Computer (FMC) en de Multifunction Control and Display Unit (MCDU) van de piloot . ARINC 429 heeft geen ingebouwde authenticatie of encryptie. Cruciaal is dat het elektrische ontwerp gebruikmaakt van impedantie-matchende weerstanden, waardoor een kwaadaardig apparaat legitieme signalen elektrisch kan overschrijven door meer stroom op de buslijnen te zetten dan de geautoriseerde zender . De onderzoekers noemen deze signaalonderdrukkingstechniek de 'Bus Driver'-aanval .

Wat het implantaat kan wijzigen

Zodra het Bus Driver-implantaat de bus overneemt, kan het vervalste commando's injecteren om:

• Waypoints te wijzigen en het vliegtuig van zijn geprogrammeerde vliegroute af te laten wijken
• Startgewichtberekeningen te veranderen, wat direct van invloed is op de V-snelheden (de rotatiesnelheid die nodig is voor het opstijgen)
• Waarden voor de buitentemperatuur en de brandstofhoeveelheid aan te passen, wat kritieke prestatieberekeningen beïnvloedt

Heimelijkheid: het vervalste pilotendisplay

Tegelijkertijd stuurt het apparaat valse gegevens naar de cockpitdisplays, zodat de piloot het originele, onaangepaste vluchtplan ziet – waardoor alle wijzigingen effectief verborgen blijven . De piloot zou geen alarm of afwijking op het MCDU-scherm zien, wat de aanval vanuit de cockpit uiterst moeilijk te detecteren maakt .

Wifi-besturing tijdens de vlucht

Het implantaat bevat een wifi-radio, waardoor een aanvaller draadloos commando's in realtime kan sturen of zelfs een kwaadaardige software-update kan uitrollen terwijl het vliegtuig in de lucht is . Dit betekent dat het apparaat dynamisch kan worden bestuurd vanaf het moment van installatie tot de hele duur van de vlucht.

Reactie van Boeing

Het onderzoeksteam meldde de kwetsbaarheid voor het eerst aan Boeing in 2020 en werkte vervolgens nauw samen met de fabrikant om de aanval in Boeings eigen lab te testen en te valideren .

In reactie hierop gaf Boeing een verklaring uit waarin het praktische risico werd gebagatelliseerd: "Onze technische experts zijn ervan overtuigd dat de beschermingslagen die in het vliegtuig zijn ingebouwd, inclusief het systeemontwerp en de operationele omgeving, voldoende beperkingen bieden om de haalbaarheid en het risico van aanvallen in de echte wereld aanzienlijk te beperken" . Boeing verklaarde ook dat het naar aanleiding van de bevindingen van de onderzoekers een eigen beoordeling had uitgevoerd van de relevante componentontwerpen, installaties en interfaces .

Aanbevolen mitigerende maatregelen

De onderzoekers stelden een reeks maatregelen voor om de kwetsbaarheid aan te pakken, waaronder :

• Het fysiek blokkeren van de toegang tot de externe OMC-/servicepoort, bijvoorbeeld met vergrendelbare panelen of verzegelingen die knoeien aantonen
• Het verbeteren van de elektrische isolatie op de ARINC 429-bus om bus-driving-aanvallen moeilijker te maken
• Het toevoegen van cryptografische authenticatie aan ARINC 429-berichten
• Het implementeren van sensorfusie en kruiscontroles, zodat discrepanties tussen vluchtparameters door redundante systemen worden gedetecteerd
• Het verbeteren van cockpitwaarschuwingen, zodat piloten op de hoogte worden gesteld van mismatches tussen de FMC- en displaygegevens

De onderzoekers benadrukten dat hun bevindingen niet betekenen dat de vloot aan de grond moet worden gehouden, maar dat er praktische verbeteringen op korte termijn nodig zijn op het gebied van fysieke beveiliging en de integriteit van avionicabussen .