Como o ataque funciona: Acesso físico e implantação

Um invasor começa abrindo um compartimento sem trava na parte externa da aeronave — o compartimento de equipamentos eletrônicos (E&E bay) — em cerca de 15 segundos, sem necessidade de ferramentas especiais . Lá dentro, uma porta de manutenção usada por equipes de solo para testar e diagnosticar sistemas aviônicos está diretamente conectada ao Computador de Gerenciamento de Voo (FMC) e à Unidade de Controle e Display Multipropósito (MCDU) da cabine, através do barramento ARINC 429 .

O dispositivo personalizado dos pesquisadores, que tem aproximadamente o tamanho de uma moeda (um pouco maior que uma moeda de 25 centavos de dólar), é conectado a essa porta e cabe completamente sob a tampa de proteção existente, tornando-se invisível durante uma inspeção casual. A instalação total leva menos de 60 segundos .

Uma vez conectado, o dispositivo usa uma técnica que os pesquisadores chamam de 'Bus Driver' — enviando sinais com uma corrente elétrica mais alta para substituir comandos legítimos transmitidos entre o FMC e o MCDU. Como o protocolo ARINC 429 não possui criptografia ou autenticação, o dispositivo pode interceptar, modificar e injetar mensagens sem ser detectado . O dispositivo também inclui um módulo Wi-Fi, permitindo que um invasor o controle remotamente através da rede Wi-Fi de bordo da aeronave .

Manipulações específicas que o dispositivo pode realizar

O dispositivo 'Bus Driver' concede a um invasor várias formas de controle sobre os sistemas aviônicos da aeronave:

• Alterar pontos de navegação do piloto automático: O dispositivo pode fazer pequenas e incrementais alterações nos pontos de passagem do plano de voo. Com o tempo, essas modificações sutis podem desviar gradualmente a aeronave de sua rota pretendida sem acionar alertas para os pilotos .
• Modificar variáveis de decolagem: O dispositivo pode alterar dados críticos usados pelo FMC para calcular o desempenho da decolagem, como o peso da aeronave e a temperatura externa. Se o FMC registrar um peso menor ou uma temperatura maior do que a real, ele pode calcular um empuxo insuficiente para uma decolagem segura .
• Falsificar os displays dos pilotos: O dispositivo corrompe simultaneamente os dados mostrados nos instrumentos da cabine, escondendo as modificações. O piloto vê valores falsos, mas aparentemente plausíveis, tornando difícil detectar o ataque .

Consequências potenciais

Os pesquisadores alertam que essas capacidades podem levar a consequências graves:

• Ultrapassagem de pista na decolagem devido a valores de peso/temperatura adulterados .
• Desvio da aeronave para espaço aéreo estrangeiro ou restrito .
• Acidentes catastróficos em cenários de pior caso .

Resposta da Boeing e cronologia

A Boeing afirmou estar 'confiante de que as camadas de proteção existentes na aeronave, incluindo no design do sistema e no ambiente operacional, fornecem mitigação suficiente para limitar significativamente a viabilidade e o risco de ataques no mundo real' . No entanto, os pesquisadores relatam que a Boeing foi notificada de elementos da pesquisa há mais de seis anos, por volta de 2020, e não divulgou nenhuma correção técnica específica para resolver a vulnerabilidade .

Mitigações recomendadas

Os pesquisadores propõem soluções físicas de curto prazo e soluções de engenharia de longo prazo:

Correções físicas de curto prazo

• Preencher a porta de manutenção externa com epóxi para bloquear o acesso físico .
• Remover completamente o conector da aeronave .

Correções de software/hardware de longo prazo

• Implementar detecção baseada em software para identificar sinais anômalos no barramento aviônico .
• Adicionar autenticação criptográfica às comunicações ARINC 429 para evitar a falsificação de mensagens .

Apesar da gravidade da demonstração, os pesquisadores enfatizam que continuam a voar em Boeings 737. Eles não estão pedindo que as aeronaves sejam aterradas, mas sim defendendo um planejamento de longo prazo da indústria para lidar com essa classe de ataques a sistemas aviônicos com acesso físico .

Como o ataque funciona: Acesso físico e implantação

Um invasor começa abrindo um compartimento sem trava na parte externa da aeronave — o compartimento de equipamentos eletrônicos (E&E bay) — em cerca de 15 segundos, sem necessidade de ferramentas especiais . Lá dentro, uma porta de manutenção usada por equipes de solo para testar e diagnosticar sistemas aviônicos está diretamente conectada ao Computador de Gerenciamento de Voo (FMC) e à Unidade de Controle e Display Multipropósito (MCDU) da cabine, através do barramento ARINC 429 .

O dispositivo personalizado dos pesquisadores, que tem aproximadamente o tamanho de uma moeda (um pouco maior que uma moeda de 25 centavos de dólar), é conectado a essa porta e cabe completamente sob a tampa de proteção existente, tornando-se invisível durante uma inspeção casual. A instalação total leva menos de 60 segundos .

Uma vez conectado, o dispositivo usa uma técnica que os pesquisadores chamam de 'Bus Driver' — enviando sinais com uma corrente elétrica mais alta para substituir comandos legítimos transmitidos entre o FMC e o MCDU. Como o protocolo ARINC 429 não possui criptografia ou autenticação, o dispositivo pode interceptar, modificar e injetar mensagens sem ser detectado . O dispositivo também inclui um módulo Wi-Fi, permitindo que um invasor o controle remotamente através da rede Wi-Fi de bordo da aeronave .

Manipulações específicas que o dispositivo pode realizar

O dispositivo 'Bus Driver' concede a um invasor várias formas de controle sobre os sistemas aviônicos da aeronave:

• Alterar pontos de navegação do piloto automático: O dispositivo pode fazer pequenas e incrementais alterações nos pontos de passagem do plano de voo. Com o tempo, essas modificações sutis podem desviar gradualmente a aeronave de sua rota pretendida sem acionar alertas para os pilotos .
• Modificar variáveis de decolagem: O dispositivo pode alterar dados críticos usados pelo FMC para calcular o desempenho da decolagem, como o peso da aeronave e a temperatura externa. Se o FMC registrar um peso menor ou uma temperatura maior do que a real, ele pode calcular um empuxo insuficiente para uma decolagem segura .
• Falsificar os displays dos pilotos: O dispositivo corrompe simultaneamente os dados mostrados nos instrumentos da cabine, escondendo as modificações. O piloto vê valores falsos, mas aparentemente plausíveis, tornando difícil detectar o ataque .

Consequências potenciais

Os pesquisadores alertam que essas capacidades podem levar a consequências graves:

• Ultrapassagem de pista na decolagem devido a valores de peso/temperatura adulterados .
• Desvio da aeronave para espaço aéreo estrangeiro ou restrito .
• Acidentes catastróficos em cenários de pior caso .

Resposta da Boeing e cronologia

A Boeing afirmou estar 'confiante de que as camadas de proteção existentes na aeronave, incluindo no design do sistema e no ambiente operacional, fornecem mitigação suficiente para limitar significativamente a viabilidade e o risco de ataques no mundo real' . No entanto, os pesquisadores relatam que a Boeing foi notificada de elementos da pesquisa há mais de seis anos, por volta de 2020, e não divulgou nenhuma correção técnica específica para resolver a vulnerabilidade .

Mitigações recomendadas

Os pesquisadores propõem soluções físicas de curto prazo e soluções de engenharia de longo prazo:

Correções físicas de curto prazo

• Preencher a porta de manutenção externa com epóxi para bloquear o acesso físico .
• Remover completamente o conector da aeronave .

Correções de software/hardware de longo prazo

• Implementar detecção baseada em software para identificar sinais anômalos no barramento aviônico .
• Adicionar autenticação criptográfica às comunicações ARINC 429 para evitar a falsificação de mensagens .

Apesar da gravidade da demonstração, os pesquisadores enfatizam que continuam a voar em Boeings 737. Eles não estão pedindo que as aeronaves sejam aterradas, mas sim defendendo um planejamento de longo prazo da indústria para lidar com essa classe de ataques a sistemas aviônicos com acesso físico .