Como Funciona o Ataque 'Bus Driver'

Os pesquisadores – liderados por Sam Crow, ex-aluno de doutorado da UCSD – projetaram, construíram e programaram uma pequena placa de circuito que atua como um dispositivo malicioso de terceiros, inserido entre dois computadores de bordo críticos . Veja o passo a passo do ataque:

Instalação Física em Menos de 60 Segundos

O dispositivo, aproximadamente do tamanho de uma moeda de 25 centavos de dólar e custando menos de US$ 100 (cerca de R$ 600) para ser fabricado, é instalado abrindo-se um compartimento externo na fuselagem da aeronave que dá acesso ao compartimento de eletrônicos e equipamentos (E&E bay, na sigla em inglês) . Um invasor consegue abrir esse compartimento em cerca de 15 segundos, sem ferramentas especiais, e então conecta o implante a uma porta exposta do Computador de Manutenção de Bordo (OMC, na sigla em inglês) . Todo o processo leva menos de 60 segundos, e o dispositivo é pequeno o suficiente para ser escondido sob a tampa de poeira da porta, passando despercebido durante as inspeções de rotina .

Explorando o Barramento de Aviônicos ARINC 429

Uma vez conectado, o implante invade o barramento de dados de aviônicos ARINC 429 não criptografado. Este barramento serial é o principal canal de comunicação entre o Computador de Gerenciamento de Voo (FMC) e a Unidade de Controle e Display Multifuncional (MCDU) do piloto . A grande fragilidade é que o ARINC 429 não possui autenticação ou criptografia integradas. Mas o ponto crucial é seu projeto elétrico, que usa resistores de casamento de impedância, permitindo que um dispositivo malicioso substitua eletricamente os sinais legítimos ao enviar mais corrente para as linhas do barramento do que o transmissor autorizado . Os pesquisadores batizaram esta técnica de supressão de sinal como ataque 'Bus Driver' .

O que o Implante Pode Alterar

Uma vez que o implante 'Bus Driver' assume o barramento, ele pode injetar comandos falsificados para:

• Alterar waypoints e desviar a aeronave da rota de voo programada
• Alterar os cálculos de peso de decolagem, o que afeta diretamente as velocidades V (a velocidade de rotação necessária para a decolagem)
• Modificar os valores de temperatura externa e quantidade de combustível, alterando cálculos críticos de desempenho

Furtividade: O Display Enganado do Piloto

Simultaneamente, o dispositivo envia dados falsos para os displays da cabine, de modo que o piloto veja o plano de voo original e inalterado – escondendo todas as modificações . O piloto não veria nenhum alerta ou discrepância na tela do MCDU, tornando o ataque extremamente difícil de ser detectado a partir da cabine .

Controle por Wi-Fi Durante o Voo

O implante inclui um rádio Wi-Fi, permitindo que um invasor envie comandos sem fio em tempo real ou até mesmo implante uma atualização de software maliciosa enquanto a aeronave está em voo . Isso significa que o dispositivo pode ser controlado dinamicamente desde o momento da instalação até o final do voo.

A Resposta da Boeing

A equipe de pesquisa divulgou a vulnerabilidade para a Boeing pela primeira vez em 2020 e, em seguida, trabalhou em estreita colaboração com o fabricante para testar e validar o ataque no próprio laboratório da Boeing .

Em resposta, a Boeing divulgou um comunicado minimizando o risco prático: 'Nossos especialistas técnicos estão confiantes de que as camadas de proteção existentes na aeronave, incluindo o design do sistema e o ambiente operacional, fornecem mitigação suficiente para limitar significativamente a viabilidade e o risco de ataques no mundo real' . A Boeing também afirmou que realizou sua própria revisão dos projetos, instalações e interfaces dos componentes relevantes em resposta às descobertas dos pesquisadores .

Mitigações Recomendadas

Os pesquisadores propuseram uma série de mitigações para lidar com a vulnerabilidade, incluindo :

• Bloquear fisicamente o acesso à porta externa de manutenção (OMC), por exemplo, com painéis traváveis ou lacres com violação evidente
• Melhorar o isolamento elétrico no barramento ARINC 429 para dificultar ataques do tipo 'Bus Driver'
• Adicionar autenticação criptográfica às mensagens ARINC 429
• Implementar fusão de sensores e verificação cruzada para que discrepâncias entre os parâmetros de voo sejam detectadas por sistemas redundantes
• Melhorar os alertas na cabine para que os pilotos sejam notificados de incompatibilidades entre os dados do FMC e do display

Os pesquisadores enfatizaram que suas descobertas não exigem a paralisação da frota, mas sim a implementação de melhorias práticas e de curto prazo na segurança física e na integridade do barramento de aviônicos .

Como Funciona o Ataque 'Bus Driver'

Os pesquisadores – liderados por Sam Crow, ex-aluno de doutorado da UCSD – projetaram, construíram e programaram uma pequena placa de circuito que atua como um dispositivo malicioso de terceiros, inserido entre dois computadores de bordo críticos . Veja o passo a passo do ataque:

Instalação Física em Menos de 60 Segundos

O dispositivo, aproximadamente do tamanho de uma moeda de 25 centavos de dólar e custando menos de US$ 100 (cerca de R$ 600) para ser fabricado, é instalado abrindo-se um compartimento externo na fuselagem da aeronave que dá acesso ao compartimento de eletrônicos e equipamentos (E&E bay, na sigla em inglês) . Um invasor consegue abrir esse compartimento em cerca de 15 segundos, sem ferramentas especiais, e então conecta o implante a uma porta exposta do Computador de Manutenção de Bordo (OMC, na sigla em inglês) . Todo o processo leva menos de 60 segundos, e o dispositivo é pequeno o suficiente para ser escondido sob a tampa de poeira da porta, passando despercebido durante as inspeções de rotina .

Explorando o Barramento de Aviônicos ARINC 429

Uma vez conectado, o implante invade o barramento de dados de aviônicos ARINC 429 não criptografado. Este barramento serial é o principal canal de comunicação entre o Computador de Gerenciamento de Voo (FMC) e a Unidade de Controle e Display Multifuncional (MCDU) do piloto . A grande fragilidade é que o ARINC 429 não possui autenticação ou criptografia integradas. Mas o ponto crucial é seu projeto elétrico, que usa resistores de casamento de impedância, permitindo que um dispositivo malicioso substitua eletricamente os sinais legítimos ao enviar mais corrente para as linhas do barramento do que o transmissor autorizado . Os pesquisadores batizaram esta técnica de supressão de sinal como ataque 'Bus Driver' .

O que o Implante Pode Alterar

Uma vez que o implante 'Bus Driver' assume o barramento, ele pode injetar comandos falsificados para:

• Alterar waypoints e desviar a aeronave da rota de voo programada
• Alterar os cálculos de peso de decolagem, o que afeta diretamente as velocidades V (a velocidade de rotação necessária para a decolagem)
• Modificar os valores de temperatura externa e quantidade de combustível, alterando cálculos críticos de desempenho

Furtividade: O Display Enganado do Piloto

Simultaneamente, o dispositivo envia dados falsos para os displays da cabine, de modo que o piloto veja o plano de voo original e inalterado – escondendo todas as modificações . O piloto não veria nenhum alerta ou discrepância na tela do MCDU, tornando o ataque extremamente difícil de ser detectado a partir da cabine .

Controle por Wi-Fi Durante o Voo

O implante inclui um rádio Wi-Fi, permitindo que um invasor envie comandos sem fio em tempo real ou até mesmo implante uma atualização de software maliciosa enquanto a aeronave está em voo . Isso significa que o dispositivo pode ser controlado dinamicamente desde o momento da instalação até o final do voo.

A Resposta da Boeing

A equipe de pesquisa divulgou a vulnerabilidade para a Boeing pela primeira vez em 2020 e, em seguida, trabalhou em estreita colaboração com o fabricante para testar e validar o ataque no próprio laboratório da Boeing .

Em resposta, a Boeing divulgou um comunicado minimizando o risco prático: 'Nossos especialistas técnicos estão confiantes de que as camadas de proteção existentes na aeronave, incluindo o design do sistema e o ambiente operacional, fornecem mitigação suficiente para limitar significativamente a viabilidade e o risco de ataques no mundo real' . A Boeing também afirmou que realizou sua própria revisão dos projetos, instalações e interfaces dos componentes relevantes em resposta às descobertas dos pesquisadores .

Mitigações Recomendadas

Os pesquisadores propuseram uma série de mitigações para lidar com a vulnerabilidade, incluindo :

• Bloquear fisicamente o acesso à porta externa de manutenção (OMC), por exemplo, com painéis traváveis ou lacres com violação evidente
• Melhorar o isolamento elétrico no barramento ARINC 429 para dificultar ataques do tipo 'Bus Driver'
• Adicionar autenticação criptográfica às mensagens ARINC 429
• Implementar fusão de sensores e verificação cruzada para que discrepâncias entre os parâmetros de voo sejam detectadas por sistemas redundantes
• Melhorar os alertas na cabine para que os pilotos sejam notificados de incompatibilidades entre os dados do FMC e do display

Os pesquisadores enfatizaram que suas descobertas não exigem a paralisação da frota, mas sim a implementação de melhorias práticas e de curto prazo na segurança física e na integridade do barramento de aviônicos .