Атака Bus Driver: устройство за $100 размером с монету, способное взломать автопилот Boeing 737

Разработанное учёными устройство, чуть больше монеты, вставляется в этот порт и полностью помещается под существующую пылезащитную крышку, что делает его незаметным при обычном осмотре. Весь процесс установки занимает менее 60 секунд .

После подключения устройство использует технику, названную исследователями «Bus Driver»: оно посылает сигналы с более высоким электрическим током, чтобы перезаписывать и подменять настоящие команды, передаваемые между FMC и MCDU. Поскольку протокол ARINC 429 не имеет шифрования или аутентификации, устройство может перехватывать, изменять и внедрять сообщения без обнаружения . Кроме того, устройство оснащено Wi-Fi-модулем, что позволяет злоумышленнику управлять им удалённо через бортовую сеть самолёта .

Какие манипуляции способно выполнять устройство

Устройство «Bus Driver» даёт атакующему несколько способов контроля над авионикой:

• Изменение точек маршрута автопилота: прибор может вносить небольшие, постепенные изменения в путевые точки плана полёта. Со временем эти скрытые модификации способны незаметно отклонить самолёт от намеченного маршрута, не вызывая предупреждений у пилотов .
• Изменение параметров взлёта: устройство может подделывать критически важные данные, используемые FMC для расчёта взлётных характеристик — такие как вес самолёта и температура наружного воздуха. Если FMC зафиксирует меньший вес или более высокую температуру, чем есть на самом деле, он может рассчитать недостаточную тягу для безопасного взлёта .
• Подмена показаний на приборах пилотов: одновременно устройство искажает данные на индикаторах в кабине, скрывая изменения. Пилот видит ложные, но правдоподобные значения, что затрудняет обнаружение атаки .

Возможные последствия

Исследователи предупреждают, что эти возможности могут привести к серьёзным последствиям:

• Выкатывание за пределы взлётно-посадочной полосы (ВПП) из-за подделанных данных о весе или температуре .
• Увод самолёта в воздушное пространство другого государства или в запретную зону .
• В худшем случае — катастрофические крушения .

Реакция Boeing и сроки

Boeing заявил, что «уверен, что уровни защиты, предусмотренные в конструкции самолёта, включая системное проектирование и эксплуатационную среду, обеспечивают достаточное смягчение, чтобы значительно ограничить возможность и риск реальных атак» . Однако исследователи сообщают, что Boeing был уведомлён о некоторых аспектах исследования более шести лет назад, около 2020 года, и не раскрыл никаких конкретных технических исправлений для устранения этой уязвимости .

Рекомендуемые меры защиты

Исследователи предлагают как краткосрочные физические решения, так и долгосрочные инженерные исправления:

Краткосрочные физические меры

• Заполнить внешний обслуживающий порт эпоксидной смолой для блокировки физического доступа .
• Полностью удалить разъём с самолёта .

Долгосрочные программно-аппаратные исправления

• Внедрить программное обнаружение аномальных сигналов на шине авионики .
• Добавить криптографическую аутентификацию для обмена данными по протоколу ARINC 429, чтобы предотвратить подделку сообщений .

Несмотря на серьёзность демонстрации, исследователи подчёркивают, что сами продолжают летать на Boeing 737. Они не призывают к прекращению эксплуатации этих самолётов, а выступают за долгосрочное отраслевое планирование для борьбы с атаками такого класса, использующими физический доступ к авионике .