Atak „Bus Driver”: Jak urządzenie wielkości monety za 100 dolarów może przejąć autopilota Boeinga 737

Zaprezentowany na konferencji USENIX Security Symposium w 2026 roku atak „Bus Driver” to jeden z najbardziej praktycznych i niepokojących przykładów włamania do systemów samolotu, jaki kiedykolwiek upubliczniono. Zespół naukowców z Uniwersytetu Kalifornijskiego w San Diego (UC San Diego) i Oberlin College skonstruował miniaturowe urządzenie Wi-Fi, wielkości monety (nieco większe od amerykańskiej ćwierćdolarówki), które kosztuje mniej niż 100 dolarów . Można je fizycznie zainstalować na pokładzie Boeinga 737 w mniej niż 60 sekund i przejąć kontrolę nad autopilotem, wysyłając spreparowane komendy przez nieszyfrowaną magistralę ARINC 429 .

Jak działa atak: fizyczny dostęp i instalacja

Atakujący zaczyna od otwarcia niezabezpieczonej klapy dostępu na zewnątrz kadłuba samolotu – chodzi o właz do komory wyposażenia elektronicznego (Electronics and Equipment bay, w skrócie E&E bay). Otwarcie zajmuje około 15 sekund i nie wymaga żadnych specjalnych narzędzi . Wewnątrz znajduje się port serwisowy, używany przez obsługę naziemną do testowania i diagnozowania awioniki. Port ten jest bezpośrednio połączony z komputerem zarządzania lotem (Flight Management Computer, FMC) i wielofunkcyjnym wyświetlaczem w kokpicie (MCDU) za pośrednictwem magistrali ARINC 429 .

Badacze skonstruowali urządzenie, które po prostu podłącza się do tego portu. Jest ono na tyle małe, że mieści się pod istniejącą pokrywą przeciwkurzową, przez co staje się praktycznie niewidoczne podczas rutynowych inspekcji. Cała instalacja trwa poniżej 60 sekund .

Po podłączeniu urządzenie wykorzystuje technikę nazwaną przez naukowców „Bus Driver”. Polega ona na wysyłaniu sygnałów o wyższym natężeniu prądu, które nadpisują i zastępują oryginalne komendy przesyłane między FMC a MCDU. Ponieważ protokół ARINC 429 nie ma żadnego szyfrowania ani uwierzytelniania, urządzenie może przechwytywać, modyfikować i wstrzykiwać wiadomości bez żadnych przeszkód . Co więcej, urządzenie ma wbudowany moduł Wi-Fi, co pozwala atakującemu zdalnie nim sterować za pośrednictwem pokładowej sieci Wi-Fi samolotu .

Konkretne manipulacje, jakie może przeprowadzić urządzenie

Urządzenie „Bus Driver” daje atakującemu kilka form kontroli nad awioniką samolotu:

• Zmiana punktów nawigacyjnych autopilota: Urządzenie może wprowadzać niewielkie, stopniowe zmiany w punktach nawigacyjnych trasy lotu. Z czasem te ukradkowe modyfikacje są w stanie stopniowo odwrócić samolot od zamierzonej trasy, nie wywołując przy tym alertów u pilotów .
• Modyfikacja parametrów startowych: Urządzenie może zmieniać krytyczne dane używane przez FMC do obliczania osiągów startowych, takie jak masa samolotu i temperatura powietrza zewnętrznego. Jeśli FMC zarejestruje niższą masę lub wyższą temperaturę niż w rzeczywistości, może obliczyć niewystarczający ciąg do bezpiecznego startu .
• Fałszowanie wskazań pilotów: Urządzenie jednocześnie zakłóca dane wyświetlane na przyrządach w kokpicie, ukrywając wprowadzone modyfikacje. Pilot widzi fałszywe, ale prawdopodobne wartości, co utrudnia wykrycie ataku .

Potencjalne konsekwencje

Badacze ostrzegają, że te możliwości mogą prowadzić do poważnych konsekwencji:

• Wyjechanie z pasa startowego podczas startu z powodu sfałszowanych wartości masy/temperatury .
• Zmiana kursu samolotu do przestrzeni powietrznej obcego państwa lub strefy zamkniętej .
• Katastrofalne wypadki w najgorszym scenariuszu .

Reakcja Boeinga i harmonogram

Boeing stwierdził, że jest „przekonany, iż warstwy ochrony obecne w samolocie, w tym konstrukcja systemu i środowisko operacyjne, stanowią wystarczające zabezpieczenie, aby znacząco ograniczyć możliwość i ryzyko rzeczywistych ataków” . Jednak badacze informują, że Boeing został po raz pierwszy powiadomiony o elementach tych badań ponad sześć lat temu, około 2020 roku, i do tej pory nie ujawnił żadnego konkretnego rozwiązania technicznego, które eliminowałoby tę lukę .

Zalecane środki zaradcze

Naukowcy proponują zarówno krótkoterminowe fizyczne zabezpieczenia, jak i długoterminowe rozwiązania inżynieryjne:

Krótkoterminowe zabezpieczenia fizyczne

• Wypełnienie zewnętrznego portu serwisowego żywicą epoksydową, aby zablokować fizyczny dostęp .
• Całkowite usunięcie złącza z samolotu .

Długoterminowe zabezpieczenia programowe/sprzętowe

• Wdrożenie wykrywania opartego na oprogramowaniu, które identyfikuje anomalne sygnały na magistrali awionicznej .
• Dodanie kryptograficznego uwierzytelniania do komunikacji ARINC 429, aby zapobiec fałszowaniu wiadomości .

Mimo powagi demonstracji badacze podkreślają, że sami nadal latają Boeingami 737. Nie wzywają do uziemienia samolotów, ale opowiadają się za długoterminowym planowaniem w branży, które pozwoliłoby rozwiązać problem tej klasy fizycznych ataków na awionikę .