Så fungerar attacken: Fysisk åtkomst och implantation

Angriparen börjar med att öppna en olåst lucka på flygplanets utsida – det så kallade Electronics and Equipment (E&E)-utrymmet – på cirka 15 sekunder utan specialverktyg . Inuti finns en diagnosport som används av markpersonal för testning och felsökning av avionik. Porten är direkt kopplad till Flight Management Computer (FMC) och cockpitens Multipurpose Control Display Unit (MCDU) via ARINC 429-bussen .

Forskarnas specialbyggda enhet, ungefär lika stor som en svensk tiokrona, ansluts till porten och får plats helt under det befintliga dammkåpan, vilket gör den osynlig vid en snabb inspektion. Hela installationen tar under 60 sekunder .

När enheten väl är ansluten använder den en teknik som forskarna kallar ”Bus Driver” – den skickar signaler med högre elektrisk ström för att överskrida och ersätta äkta kommandon som överförs mellan FMC och MCDU. Eftersom ARINC 429-protokollet saknar kryptering och autentisering kan enheten avlyssna, modifiera och injicera meddelanden utan att upptäckas . Enheten har också en Wi-Fi-modul, vilket gör att en angripare kan styra den på distans via flygplanets inbyggda Wi-Fi-nätverk .

Specifika manipulationer enheten kan utföra

”Bus Driver”-enheten ger angriparen flera former av kontroll över flygplanets avionik:

• Ändra autopilotens waypoints: Enheten kan göra små, stegvisa förändringar av flygplanets färdplan. Över tid kan dessa smygande modifieringar gradvis styra om planet från den avsedda rutten utan att utlösa varningar för piloten .
• Ändra startparametrar: Enheten kan manipulera kritiska indata som FMC använder för att beräkna startprestanda, såsom flygplanets vikt och utomhustemperatur. Om FMC registrerar en lägre vikt eller högre temperatur än verkligheten kan den beräkna en otillräcklig dragkraft för en säker start .
• Förfalska pilotdisplayer: Enheten korrumperar samtidigt data som visas på instrumenten i cockpit och döljer på så sätt ändringarna. Piloten ser falska men troliga värden, vilket gör det svårt att upptäcka attacken .

Potentiella konsekvenser

Forskarna varnar för att dessa förmågor kan leda till allvarliga utfall:

• Banöverskridningar vid start på grund av manipulerade vikt-/temperaturvärden .
• Omdirigering av flygplanet till främmande eller restriktivt luftrum .
• I värsta fall katastrofala krascher .

Boeings respons och tidslinje

Boeing har sagt att de är ”övertygade om att de skyddslager som finns på flygplanet, inklusive inom systemdesignen och driftsmiljön, ger tillräcklig begränsning för att avsevärt minska genomförbarheten och risken för attacker i verkligheten” . Forskarna rapporterar dock att Boeing underrättades om delar av forskningen för mer än sex år sedan, runt 2020, och inte har offentliggjort någon specifik teknisk åtgärd för att åtgärda sårbarheten .

Rekommenderade åtgärder

Forskarna föreslår både kortsiktiga fysiska lösningar och långsiktiga tekniska lösningar:

Kortsiktiga fysiska lösningar

• Fyll den externa underhållsporten med epoxy för att blockera fysisk åtkomst .
• Ta bort kontakten helt från flygplanet .

Långsiktiga program-/hårdvarulösningar

• Implementera programvarubaserad detektion för att identifiera avvikande signaler på avionikbussen .
• Lägg till kryptografisk autentisering för ARINC 429-kommunikation för att förhindra meddelandeförfalskning .

Trots demonstrationens allvarliga karaktär betonar forskarna att de själva fortsätter att flyga med Boeing 737. De kräver inte att flygplanen ska grundstötas utan förespråkar långsiktig planering för att hantera den här typen av fysiska avionikattacker .

Så fungerar attacken: Fysisk åtkomst och implantation

Angriparen börjar med att öppna en olåst lucka på flygplanets utsida – det så kallade Electronics and Equipment (E&E)-utrymmet – på cirka 15 sekunder utan specialverktyg . Inuti finns en diagnosport som används av markpersonal för testning och felsökning av avionik. Porten är direkt kopplad till Flight Management Computer (FMC) och cockpitens Multipurpose Control Display Unit (MCDU) via ARINC 429-bussen .

Forskarnas specialbyggda enhet, ungefär lika stor som en svensk tiokrona, ansluts till porten och får plats helt under det befintliga dammkåpan, vilket gör den osynlig vid en snabb inspektion. Hela installationen tar under 60 sekunder .

När enheten väl är ansluten använder den en teknik som forskarna kallar ”Bus Driver” – den skickar signaler med högre elektrisk ström för att överskrida och ersätta äkta kommandon som överförs mellan FMC och MCDU. Eftersom ARINC 429-protokollet saknar kryptering och autentisering kan enheten avlyssna, modifiera och injicera meddelanden utan att upptäckas . Enheten har också en Wi-Fi-modul, vilket gör att en angripare kan styra den på distans via flygplanets inbyggda Wi-Fi-nätverk .

Specifika manipulationer enheten kan utföra

”Bus Driver”-enheten ger angriparen flera former av kontroll över flygplanets avionik:

• Ändra autopilotens waypoints: Enheten kan göra små, stegvisa förändringar av flygplanets färdplan. Över tid kan dessa smygande modifieringar gradvis styra om planet från den avsedda rutten utan att utlösa varningar för piloten .
• Ändra startparametrar: Enheten kan manipulera kritiska indata som FMC använder för att beräkna startprestanda, såsom flygplanets vikt och utomhustemperatur. Om FMC registrerar en lägre vikt eller högre temperatur än verkligheten kan den beräkna en otillräcklig dragkraft för en säker start .
• Förfalska pilotdisplayer: Enheten korrumperar samtidigt data som visas på instrumenten i cockpit och döljer på så sätt ändringarna. Piloten ser falska men troliga värden, vilket gör det svårt att upptäcka attacken .

Potentiella konsekvenser

Forskarna varnar för att dessa förmågor kan leda till allvarliga utfall:

• Banöverskridningar vid start på grund av manipulerade vikt-/temperaturvärden .
• Omdirigering av flygplanet till främmande eller restriktivt luftrum .
• I värsta fall katastrofala krascher .

Boeings respons och tidslinje

Boeing har sagt att de är ”övertygade om att de skyddslager som finns på flygplanet, inklusive inom systemdesignen och driftsmiljön, ger tillräcklig begränsning för att avsevärt minska genomförbarheten och risken för attacker i verkligheten” . Forskarna rapporterar dock att Boeing underrättades om delar av forskningen för mer än sex år sedan, runt 2020, och inte har offentliggjort någon specifik teknisk åtgärd för att åtgärda sårbarheten .

Rekommenderade åtgärder

Forskarna föreslår både kortsiktiga fysiska lösningar och långsiktiga tekniska lösningar:

Kortsiktiga fysiska lösningar

• Fyll den externa underhållsporten med epoxy för att blockera fysisk åtkomst .
• Ta bort kontakten helt från flygplanet .

Långsiktiga program-/hårdvarulösningar

• Implementera programvarubaserad detektion för att identifiera avvikande signaler på avionikbussen .
• Lägg till kryptografisk autentisering för ARINC 429-kommunikation för att förhindra meddelandeförfalskning .

Trots demonstrationens allvarliga karaktär betonar forskarna att de själva fortsätter att flyga med Boeing 737. De kräver inte att flygplanen ska grundstötas utan förespråkar långsiktig planering för att hantera den här typen av fysiska avionikattacker .