Как работает атака «Bus Driver»

Устройство физически подключается к сервисному порту в отсеке электроники и оборудования (Electronics and Equipment bay) самолёта, расположенному под носовой частью фюзеляжа. Доступ к этому отсеку осуществляется с земли через незапертый люк. По оценкам исследователей, на установку устройства требуется менее 60 секунд .

Порт передаёт данные между вычислителем управления полётом (FMC) и многофункциональным пультом управления (MCDU) пилота по двум шинам ARINC 429 — проводному стандарту связи, разработанному ещё в 1977 году и не имеющему аутентификации и шифрования сообщений .

Устройство выступает в роли «ведущего на шине» (bus driver): оно подаёт на шину больший ток, чем штатные компьютеры, что позволяет ему переопределять любые передачи и вставлять собственные поддельные команды. Кроме того, устройство может подавлять индикацию на дисплее пилотов, скрывая факт внесённых изменений .

Что может изменить устройство

• Путевые точки и траектория полёта: Имплантат способен перенаправить самолёт в полёте, вплоть до изменения курса в воздушное пространство другой страны или корректировки навигации на несколько градусов .
• Параметры взлёта: Устройство может модифицировать данные о весе, центровке, центре тяжести и температуре наружного воздуха — все эти значения используются для расчёта безопасных скоростей взлёта. Неверные данные могут привести к выкатыванию за пределы ВПП или потере управления .
• Отображение на приборах: Устройство подменяет результаты, показываемые пилотам, так что они не видят никаких изменений. Это может заставить их принимать опасные решения .

Реакция Boeing

Исследователи впервые сообщили об уязвимости компании Boeing в 2020 году, а затем подтвердили свои выводы в тестовом центре Boeing . Компания подтвердила, что провела проверку конструкции и интерфейсов своих компонентов. В заявлении для WIRED Boeing сообщила, что «уровни защиты, предусмотренные в конструкции самолёта, включая системную архитектуру и условия эксплуатации, обеспечивают достаточный запас прочности, чтобы существенно ограничить возможность и риск атак в реальном мире» . Исследователи отмечают, что Boeing не сообщила им о каких-либо технических исправлениях. Они предполагают, что компания может не внедрять обновление в течение многих лет, учитывая, как редко коммерческие самолёты подвергаются кардинальной переработке .

Рекомендации исследователей по защите

• Физическое укрепление: Самое простое решение — залить порт эпоксидной смолой или вовсе удалить его .
• Улучшение операционной безопасности: Исследователи настаивают на более строгом контроле доступа к самолётам на земле, поскольку для атаки требуется лишь кратковременный физический доступ к внешнему люку .
• Модернизация системы в перспективе: Поскольку шина ARINC 429 не поддерживает аутентификацию, исследователи предлагают внедрить в будущие авиационные шины такие функции безопасности, как аутентификация сообщений, для предотвращения подмены данных .

Исследователи подчёркивают, что, хотя атака серьезна и демонстрирует существенную слепую зону в кибербезопасности авиации, это не является поводом для приостановки полётов или паники. Все авторы заявили, что «регулярно путешествуют на самолётах Boeing 737 и намерены продолжать это делать» .

Как работает атака «Bus Driver»

Устройство физически подключается к сервисному порту в отсеке электроники и оборудования (Electronics and Equipment bay) самолёта, расположенному под носовой частью фюзеляжа. Доступ к этому отсеку осуществляется с земли через незапертый люк. По оценкам исследователей, на установку устройства требуется менее 60 секунд .

Порт передаёт данные между вычислителем управления полётом (FMC) и многофункциональным пультом управления (MCDU) пилота по двум шинам ARINC 429 — проводному стандарту связи, разработанному ещё в 1977 году и не имеющему аутентификации и шифрования сообщений .

Устройство выступает в роли «ведущего на шине» (bus driver): оно подаёт на шину больший ток, чем штатные компьютеры, что позволяет ему переопределять любые передачи и вставлять собственные поддельные команды. Кроме того, устройство может подавлять индикацию на дисплее пилотов, скрывая факт внесённых изменений .

Что может изменить устройство

• Путевые точки и траектория полёта: Имплантат способен перенаправить самолёт в полёте, вплоть до изменения курса в воздушное пространство другой страны или корректировки навигации на несколько градусов .
• Параметры взлёта: Устройство может модифицировать данные о весе, центровке, центре тяжести и температуре наружного воздуха — все эти значения используются для расчёта безопасных скоростей взлёта. Неверные данные могут привести к выкатыванию за пределы ВПП или потере управления .
• Отображение на приборах: Устройство подменяет результаты, показываемые пилотам, так что они не видят никаких изменений. Это может заставить их принимать опасные решения .

Реакция Boeing

Исследователи впервые сообщили об уязвимости компании Boeing в 2020 году, а затем подтвердили свои выводы в тестовом центре Boeing . Компания подтвердила, что провела проверку конструкции и интерфейсов своих компонентов. В заявлении для WIRED Boeing сообщила, что «уровни защиты, предусмотренные в конструкции самолёта, включая системную архитектуру и условия эксплуатации, обеспечивают достаточный запас прочности, чтобы существенно ограничить возможность и риск атак в реальном мире» . Исследователи отмечают, что Boeing не сообщила им о каких-либо технических исправлениях. Они предполагают, что компания может не внедрять обновление в течение многих лет, учитывая, как редко коммерческие самолёты подвергаются кардинальной переработке .

Рекомендации исследователей по защите

• Физическое укрепление: Самое простое решение — залить порт эпоксидной смолой или вовсе удалить его .
• Улучшение операционной безопасности: Исследователи настаивают на более строгом контроле доступа к самолётам на земле, поскольку для атаки требуется лишь кратковременный физический доступ к внешнему люку .
• Модернизация системы в перспективе: Поскольку шина ARINC 429 не поддерживает аутентификацию, исследователи предлагают внедрить в будущие авиационные шины такие функции безопасности, как аутентификация сообщений, для предотвращения подмены данных .

Исследователи подчёркивают, что, хотя атака серьезна и демонстрирует существенную слепую зону в кибербезопасности авиации, это не является поводом для приостановки полётов или паники. Все авторы заявили, что «регулярно путешествуют на самолётах Boeing 737 и намерены продолжать это делать» .