Как работает атака «Bus Driver»

Исследователи — под руководством бывшего аспиранта UCSD Сэма Кроу — спроектировали, собрали и запрограммировали небольшую печатную плату, которая действует как вредоносное стороннее устройство, вклинивающееся между двумя критически важными бортовыми компьютерами . Вот как происходит атака:

Физическая установка менее чем за 60 секунд

Устройство, размером примерно с четверть доллара и стоимостью менее 100 долларов, устанавливается через открытие внешнего люка на фюзеляже самолёта, обеспечивающего доступ к отсеку электроники и оборудования (E&E) . Злоумышленник может открыть этот люк примерно за 15 секунд без специальных инструментов, а затем воткнуть имплант в открытый порт бортового обслуживающего компьютера (OMC) . Весь процесс занимает менее 60 секунд, а устройство настолько мало, что его можно спрятать под пылезащитной крышкой порта, оставаясь незамеченным при плановых осмотрах .

Эксплуатация авионики шины ARINC 429

После подключения имплант получает доступ к незашифрованной шине данных авионики ARINC 429 — однопроводной последовательной шине, по которой передаётся вся информация между вычислителем управления полётом (FMC) и многофункциональным пультом управления и индикации пилота (MCDU) . ARINC 429 не имеет встроенной аутентификации или шифрования. Ключевая особенность: её электрическая схема использует резисторы согласования импеданса, которые позволяют вредоносному устройству электрически подавлять легитимные сигналы, подавая на шину больший ток, чем авторизованный передатчик . Исследователи назвали этот метод подавления сигнала атакой «Bus Driver» .

Что может изменить имплант

После того как имплант «Bus Driver» перехватывает шину, он может внедрять поддельные команды для:

• Изменения путевых точек и отклонения самолёта от запрограммированного маршрута
• Изменения расчётов взлётного веса, что напрямую влияет на V-скорости (скорость отрыва, необходимую для взлёта)
• Изменения температуры наружного воздуха и количества топлива, что меняет критические эксплуатационные расчёты

Скрытность: поддельный дисплей пилота

Одновременно устройство отправляет поддельные данные на дисплеи в кабине, так что пилот видит первоначальный, неизменённый план полёта — фактически скрывая все изменения . Пилот не увидит никаких предупреждений или несоответствий на экране MCDU, что делает атаку крайне сложной для обнаружения из кабины .

Wi-Fi-управление в полёте

Имплант оснащён Wi-Fi-радиомодулем, что позволяет злоумышленнику отправлять команды беспроводным способом в реальном времени или даже развёртывать вредоносное обновление программного обеспечения во время полёта . Это означает, что устройством можно динамически управлять с момента установки и на протяжении всего полёта.

Ответ Boeing

Исследовательская группа впервые сообщила об уязвимости компании Boeing в 2020 году, а затем тесно сотрудничала с производителем для тестирования и подтверждения атаки в собственной лаборатории Boeing .

В ответ Boeing опубликовал заявление, преуменьшающее практический риск: «Наши технические специалисты уверены, что уровни защиты, предусмотренные конструкцией самолёта, включая системную архитектуру и эксплуатационную среду, обеспечивают достаточное смягчение для значительного ограничения осуществимости и риска реальных атак» . Boeing также заявил, что провёл собственный анализ соответствующих компонентов, их установки и интерфейсов в ответ на выводы исследователей .

Рекомендуемые меры защиты

Исследователи предложили ряд мер для устранения уязвимости, включая :

• Физическое блокирование доступа к внешнему порту OMC/сервисному порту, например, с помощью запираемых панелей или пломб, указывающих на несанкционированное вскрытие
• Улучшение электрической изоляции на шине ARINC 429 для усложнения атак типа «bus-driving»
• Внедрение криптографической аутентификации для сообщений ARINC 429
• Внедрение слияния данных от нескольких датчиков и перекрёстной проверки, чтобы несоответствия между параметрами полёта обнаруживались резервными системами
• Улучшение оповещения пилотов, чтобы они уведомлялись о несоответствиях между данными FMC и дисплея

Исследователи подчеркнули, что их выводы не требуют прекращения эксплуатации парка, а скорее указывают на необходимость практических, краткосрочных улучшений физической безопасности и целостности шин авионики .

Как работает атака «Bus Driver»

Исследователи — под руководством бывшего аспиранта UCSD Сэма Кроу — спроектировали, собрали и запрограммировали небольшую печатную плату, которая действует как вредоносное стороннее устройство, вклинивающееся между двумя критически важными бортовыми компьютерами . Вот как происходит атака:

Физическая установка менее чем за 60 секунд

Устройство, размером примерно с четверть доллара и стоимостью менее 100 долларов, устанавливается через открытие внешнего люка на фюзеляже самолёта, обеспечивающего доступ к отсеку электроники и оборудования (E&E) . Злоумышленник может открыть этот люк примерно за 15 секунд без специальных инструментов, а затем воткнуть имплант в открытый порт бортового обслуживающего компьютера (OMC) . Весь процесс занимает менее 60 секунд, а устройство настолько мало, что его можно спрятать под пылезащитной крышкой порта, оставаясь незамеченным при плановых осмотрах .

Эксплуатация авионики шины ARINC 429

После подключения имплант получает доступ к незашифрованной шине данных авионики ARINC 429 — однопроводной последовательной шине, по которой передаётся вся информация между вычислителем управления полётом (FMC) и многофункциональным пультом управления и индикации пилота (MCDU) . ARINC 429 не имеет встроенной аутентификации или шифрования. Ключевая особенность: её электрическая схема использует резисторы согласования импеданса, которые позволяют вредоносному устройству электрически подавлять легитимные сигналы, подавая на шину больший ток, чем авторизованный передатчик . Исследователи назвали этот метод подавления сигнала атакой «Bus Driver» .

Что может изменить имплант

После того как имплант «Bus Driver» перехватывает шину, он может внедрять поддельные команды для:

• Изменения путевых точек и отклонения самолёта от запрограммированного маршрута
• Изменения расчётов взлётного веса, что напрямую влияет на V-скорости (скорость отрыва, необходимую для взлёта)
• Изменения температуры наружного воздуха и количества топлива, что меняет критические эксплуатационные расчёты

Скрытность: поддельный дисплей пилота

Одновременно устройство отправляет поддельные данные на дисплеи в кабине, так что пилот видит первоначальный, неизменённый план полёта — фактически скрывая все изменения . Пилот не увидит никаких предупреждений или несоответствий на экране MCDU, что делает атаку крайне сложной для обнаружения из кабины .

Wi-Fi-управление в полёте

Имплант оснащён Wi-Fi-радиомодулем, что позволяет злоумышленнику отправлять команды беспроводным способом в реальном времени или даже развёртывать вредоносное обновление программного обеспечения во время полёта . Это означает, что устройством можно динамически управлять с момента установки и на протяжении всего полёта.

Ответ Boeing

Исследовательская группа впервые сообщила об уязвимости компании Boeing в 2020 году, а затем тесно сотрудничала с производителем для тестирования и подтверждения атаки в собственной лаборатории Boeing .

В ответ Boeing опубликовал заявление, преуменьшающее практический риск: «Наши технические специалисты уверены, что уровни защиты, предусмотренные конструкцией самолёта, включая системную архитектуру и эксплуатационную среду, обеспечивают достаточное смягчение для значительного ограничения осуществимости и риска реальных атак» . Boeing также заявил, что провёл собственный анализ соответствующих компонентов, их установки и интерфейсов в ответ на выводы исследователей .

Рекомендуемые меры защиты

Исследователи предложили ряд мер для устранения уязвимости, включая :

• Физическое блокирование доступа к внешнему порту OMC/сервисному порту, например, с помощью запираемых панелей или пломб, указывающих на несанкционированное вскрытие
• Улучшение электрической изоляции на шине ARINC 429 для усложнения атак типа «bus-driving»
• Внедрение криптографической аутентификации для сообщений ARINC 429
• Внедрение слияния данных от нескольких датчиков и перекрёстной проверки, чтобы несоответствия между параметрами полёта обнаруживались резервными системами
• Улучшение оповещения пилотов, чтобы они уведомлялись о несоответствиях между данными FMC и дисплея

Исследователи подчеркнули, что их выводы не требуют прекращения эксплуатации парка, а скорее указывают на необходимость практических, краткосрочных улучшений физической безопасности и целостности шин авионики .