Ataque 'Bus Driver': Dispositivo minúsculo com Wi-Fi consegue assumir piloto automático de Boeing 737

Explorando o Barramento de Aviônicos ARINC 429

Uma vez conectado, o implante invade o barramento de dados de aviônicos ARINC 429 não criptografado. Este barramento serial é o principal canal de comunicação entre o Computador de Gerenciamento de Voo (FMC) e a Unidade de Controle e Display Multifuncional (MCDU) do piloto . A grande fragilidade é que o ARINC 429 não possui autenticação ou criptografia integradas. Mas o ponto crucial é seu projeto elétrico, que usa resistores de casamento de impedância, permitindo que um dispositivo malicioso substitua eletricamente os sinais legítimos ao enviar mais corrente para as linhas do barramento do que o transmissor autorizado . Os pesquisadores batizaram esta técnica de supressão de sinal como ataque 'Bus Driver' .

O que o Implante Pode Alterar

Uma vez que o implante 'Bus Driver' assume o barramento, ele pode injetar comandos falsificados para:

• Alterar waypoints e desviar a aeronave da rota de voo programada
• Alterar os cálculos de peso de decolagem, o que afeta diretamente as velocidades V (a velocidade de rotação necessária para a decolagem)
• Modificar os valores de temperatura externa e quantidade de combustível, alterando cálculos críticos de desempenho

Furtividade: O Display Enganado do Piloto

Simultaneamente, o dispositivo envia dados falsos para os displays da cabine, de modo que o piloto veja o plano de voo original e inalterado – escondendo todas as modificações . O piloto não veria nenhum alerta ou discrepância na tela do MCDU, tornando o ataque extremamente difícil de ser detectado a partir da cabine .

Controle por Wi-Fi Durante o Voo

O implante inclui um rádio Wi-Fi, permitindo que um invasor envie comandos sem fio em tempo real ou até mesmo implante uma atualização de software maliciosa enquanto a aeronave está em voo . Isso significa que o dispositivo pode ser controlado dinamicamente desde o momento da instalação até o final do voo.

A Resposta da Boeing

A equipe de pesquisa divulgou a vulnerabilidade para a Boeing pela primeira vez em 2020 e, em seguida, trabalhou em estreita colaboração com o fabricante para testar e validar o ataque no próprio laboratório da Boeing .

Em resposta, a Boeing divulgou um comunicado minimizando o risco prático: 'Nossos especialistas técnicos estão confiantes de que as camadas de proteção existentes na aeronave, incluindo o design do sistema e o ambiente operacional, fornecem mitigação suficiente para limitar significativamente a viabilidade e o risco de ataques no mundo real' . A Boeing também afirmou que realizou sua própria revisão dos projetos, instalações e interfaces dos componentes relevantes em resposta às descobertas dos pesquisadores .

Mitigações Recomendadas

Os pesquisadores propuseram uma série de mitigações para lidar com a vulnerabilidade, incluindo :

• Bloquear fisicamente o acesso à porta externa de manutenção (OMC), por exemplo, com painéis traváveis ou lacres com violação evidente
• Melhorar o isolamento elétrico no barramento ARINC 429 para dificultar ataques do tipo 'Bus Driver'
• Adicionar autenticação criptográfica às mensagens ARINC 429
• Implementar fusão de sensores e verificação cruzada para que discrepâncias entre os parâmetros de voo sejam detectadas por sistemas redundantes
• Melhorar os alertas na cabine para que os pilotos sejam notificados de incompatibilidades entre os dados do FMC e do display

Os pesquisadores enfatizaram que suas descobertas não exigem a paralisação da frota, mas sim a implementação de melhorias práticas e de curto prazo na segurança física e na integridade do barramento de aviônicos .