Slik fungerer «Bus Driver»-angrepet

Forskerne – ledet av Sam Crow, tidligere doktorgradsstudent ved UCSD – designet, bygde og programmerte et lite kretskort som fungerer som en ondsinnet tredjepartsenhet mellom to kritiske innebygde datamaskiner . Slik foregår angrepet:

Fysisk installasjon på under 60 sekunder

Enheten, omtrent på størrelse med en norsk tikrone og som koster under 100 dollar å bygge, installeres ved å åpne en utvendig luke på flyets skrog som gir tilgang til Electronics and Equipment (E&E)-rommet . En angriper kan åpne denne luken på omtrent 15 sekunder uten spesialverktøy, og deretter plugge enheten inn i en eksponert port for Onboard Maintenance Computer (OMC) . Hele prosessen tar under 60 sekunder, og enheten er liten nok til å gjemme seg under portens støvdeksel – den forblir usynlig under rutinemessige inspeksjoner .

Utnyttelse av ARINC 429-avionikkbussen

Når enheten er koblet til, kobler den seg på den ukrypterte ARINC 429-avionikkdatabussen, en seriell buss med én master som bærer all kommunikasjon mellom Flight Management Computer (FMC) og pilotens Multifunction Control and Display Unit (MCDU) . ARINC 429 har ingen innebygd autentisering eller kryptering. Det avgjørende er at den elektriske utformingen bruker impedanstilpassede motstander som gjør at en ondsinnet enhet elektrisk kan overstyre legitime signaler ved å sende mer strøm på buslinjene enn den autoriserte senderen . Forskerne kaller denne signalundertrykkelsesteknikken «Bus Driver»-angrepet .

Hva implantatet kan endre

Når «Bus Driver»-implantatet har overstyrt bussen, kan det injisere forfalskede kommandoer for å:

• Endre veipunkter og omdirigere flyet fra den programmerte ruten
• Endre startvektberegninger, som direkte påvirker V-hastigheter (rotasjonshastigheten som kreves for avgang)
• Modifisere utetemperatur og drivstoffmengde, noe som endrer kritiske ytelsesberegninger

Skjult: Den forfalskede pilotdisplayen

Samtidig sender enheten falske data til cockpitdisplayene slik at piloten ser den opprinnelige, uendrede flyruten – alle endringer skjules . Piloten vil ikke se noen alarm eller avvik på MCDU-skjermen, noe som gjør angrepet svært vanskelig å oppdage fra cockpiten .

Wi-Fi-kontroll under flyging

Implantatet har en Wi-Fi-radio, slik at en angriper kan sende kommandoer trådløst i sanntid eller til og med distribuere en ondsinnet programvareoppdatering mens flyet er i luften . Dette betyr at enheten kan kontrolleres dynamisk fra installasjonsøyeblikket og gjennom hele flyturen.

Boeings svar

Forskerteamet varslet Boeing om sårbarheten allerede i 2020, og samarbeidet deretter tett med produsenten for å teste og validere angrepet i Boeings eget laboratorium .

Som svar utstedte Boeing en uttalelse som nedtonet den praktiske risikoen: «Våre tekniske eksperter er trygge på at de beskyttelseslagene som finnes på flyet, inkludert i systemdesignet og driftsmiljøet, gir tilstrekkelig demping til å betydelig begrense muligheten for og risikoen for virkelige angrep» . Boeing opplyste også at selskapet hadde gjennomgått de relevante komponentdesignene, installasjonene og grensesnittene som svar på forskernes funn .

Anbefalte tiltak

Forskerne foreslo en rekke tiltak for å adressere sårbarheten, inkludert :

• Fysisk sperre tilgangen til den eksterne OMC-/serviceporten, for eksempel med låsbare paneler eller manipulasjonssikre forseglinger
• Forbedre elektrisk isolasjon på ARINC 429-bussen for å gjøre bus-kjøringsangrep vanskeligere
• Legge til kryptografisk autentisering for ARINC 429-meldinger
• Implementere sensorfusjon og kryssjekking slik at avvik mellom flyparametere oppdages av redundante systemer
• Forbedre cockpitvarsling slik at piloter varsles om uoverensstemmelser mellom FMC og displaydata

Forskerne understreket at funnene deres ikke krever grunnstøting av flåten, men snarere kaller på praktiske, kortsiktige forbedringer av fysisk sikkerhet og integriteten til avionikkbussen .

Slik fungerer «Bus Driver»-angrepet

Forskerne – ledet av Sam Crow, tidligere doktorgradsstudent ved UCSD – designet, bygde og programmerte et lite kretskort som fungerer som en ondsinnet tredjepartsenhet mellom to kritiske innebygde datamaskiner . Slik foregår angrepet:

Fysisk installasjon på under 60 sekunder

Enheten, omtrent på størrelse med en norsk tikrone og som koster under 100 dollar å bygge, installeres ved å åpne en utvendig luke på flyets skrog som gir tilgang til Electronics and Equipment (E&E)-rommet . En angriper kan åpne denne luken på omtrent 15 sekunder uten spesialverktøy, og deretter plugge enheten inn i en eksponert port for Onboard Maintenance Computer (OMC) . Hele prosessen tar under 60 sekunder, og enheten er liten nok til å gjemme seg under portens støvdeksel – den forblir usynlig under rutinemessige inspeksjoner .

Utnyttelse av ARINC 429-avionikkbussen

Når enheten er koblet til, kobler den seg på den ukrypterte ARINC 429-avionikkdatabussen, en seriell buss med én master som bærer all kommunikasjon mellom Flight Management Computer (FMC) og pilotens Multifunction Control and Display Unit (MCDU) . ARINC 429 har ingen innebygd autentisering eller kryptering. Det avgjørende er at den elektriske utformingen bruker impedanstilpassede motstander som gjør at en ondsinnet enhet elektrisk kan overstyre legitime signaler ved å sende mer strøm på buslinjene enn den autoriserte senderen . Forskerne kaller denne signalundertrykkelsesteknikken «Bus Driver»-angrepet .

Hva implantatet kan endre

Når «Bus Driver»-implantatet har overstyrt bussen, kan det injisere forfalskede kommandoer for å:

• Endre veipunkter og omdirigere flyet fra den programmerte ruten
• Endre startvektberegninger, som direkte påvirker V-hastigheter (rotasjonshastigheten som kreves for avgang)
• Modifisere utetemperatur og drivstoffmengde, noe som endrer kritiske ytelsesberegninger

Skjult: Den forfalskede pilotdisplayen

Samtidig sender enheten falske data til cockpitdisplayene slik at piloten ser den opprinnelige, uendrede flyruten – alle endringer skjules . Piloten vil ikke se noen alarm eller avvik på MCDU-skjermen, noe som gjør angrepet svært vanskelig å oppdage fra cockpiten .

Wi-Fi-kontroll under flyging

Implantatet har en Wi-Fi-radio, slik at en angriper kan sende kommandoer trådløst i sanntid eller til og med distribuere en ondsinnet programvareoppdatering mens flyet er i luften . Dette betyr at enheten kan kontrolleres dynamisk fra installasjonsøyeblikket og gjennom hele flyturen.

Boeings svar

Forskerteamet varslet Boeing om sårbarheten allerede i 2020, og samarbeidet deretter tett med produsenten for å teste og validere angrepet i Boeings eget laboratorium .

Som svar utstedte Boeing en uttalelse som nedtonet den praktiske risikoen: «Våre tekniske eksperter er trygge på at de beskyttelseslagene som finnes på flyet, inkludert i systemdesignet og driftsmiljøet, gir tilstrekkelig demping til å betydelig begrense muligheten for og risikoen for virkelige angrep» . Boeing opplyste også at selskapet hadde gjennomgått de relevante komponentdesignene, installasjonene og grensesnittene som svar på forskernes funn .

Anbefalte tiltak

Forskerne foreslo en rekke tiltak for å adressere sårbarheten, inkludert :

• Fysisk sperre tilgangen til den eksterne OMC-/serviceporten, for eksempel med låsbare paneler eller manipulasjonssikre forseglinger
• Forbedre elektrisk isolasjon på ARINC 429-bussen for å gjøre bus-kjøringsangrep vanskeligere
• Legge til kryptografisk autentisering for ARINC 429-meldinger
• Implementere sensorfusjon og kryssjekking slik at avvik mellom flyparametere oppdages av redundante systemer
• Forbedre cockpitvarsling slik at piloter varsles om uoverensstemmelser mellom FMC og displaydata

Forskerne understreket at funnene deres ikke krever grunnstøting av flåten, men snarere kaller på praktiske, kortsiktige forbedringer av fysisk sikkerhet og integriteten til avionikkbussen .