Så fungerar ”Bus Driver”-attacken

Enheten kopplas fysiskt in i en underhållsport i planets elektronik- och utrustningsutrymme, beläget under nosen och åtkomligt från marken bakom en olåst lucka. Forskarna uppskattar att det tar under 60 sekunder att få åtkomst och koppla in enheten .

Porten överför data mellan flygledningsdatorn (Flight Management Computer, FMC) och pilotens displayenhet (Multipurpose Control Display Unit, MCDU) via två ARINC 429-bussar – en trådbunden kommunikationsstandard från 1977 som saknar meddelandeautentisering eller kryptering .

Implantatet fungerar som en ”bussförare” (bus driver) genom att driva mer ström på bussen än de legitima datorerna. På så sätt kan det överskrida alla sändningar och injicera egna förfalskade kommandon. Enheten kan också dölja indikationer på pilotens display så att ändringar inte syns .

Vad enheten kan påverka

• Autopilotens vägpunkter och flygväg: Implantatet kan omdirigera planet under flygning, inklusive att styra det till ett annat lands luftrum eller ändra kursen med bara några grader .
• Startvariabler: Det kan ändra data för planets vikt, balans, tyngdpunkt och utomhustemperatur – samtliga används för att beräkna säkra startfarter. Felaktiga värden kan leda till att planet kör av banan eller tappar kontrollen .
• Pilotdisplayer: Enheten kan förfalska resultaten som visas för piloterna så att de inte ser att en ändring har gjorts – vilket potentiellt kan lura dem att fatta farliga beslut .

Boeings reaktion

Forskarna rapporterade sårbarheten till Boeing redan 2020 och validerade senare sina rön i en testanläggning hos Boeing . Boeing bekräftade att man genomfört en granskning av komponenternas konstruktion och gränssnitt, och sade till WIRED att ”de skyddslager som finns på planet, inklusive i systemdesignen och driftmiljön, ger tillräcklig minskning för att avsevärt begränsa genomförbarheten och risken för verkliga attacker” . Forskarna uppger att Boeing inte har meddelat dem om någon teknisk åtgärd. De spekulerar att det kan dröja åratal innan en uppdatering genomförs, med tanke på hur sällan kommersiella flygplan konstrueras om .

Åtgärder som forskarna rekommenderar

• Fysiskt skydd: Den enklaste lösningen är att täppa igen underhållsporten med epoxy eller ta bort den helt .
• Förbättrad operativ säkerhet: Forskarna efterlyser striktare åtkomstkontroll runt flygplan på marken, eftersom attacken kräver kortvarig fysisk åtkomst till planets yttre lucka .
• Långsiktig systemomdesign: Eftersom ARINC 429-bussen saknar autentisering föreslår forskarna att framtida flygelektronikbussar bör inkludera säkerhetsfunktioner som meddelandeautentisering för att förhindra förfalskning .

Forskarna betonar att även om attacken är allvarlig och visar en betydande blind fläck inom flygets cybersäkerhet, motiverar den varken grundstötning av plan eller allmän panik – alla författarna uppger att de ”regelbundet reser med Boeing 737 och förväntar sig fortsätta med det” .

Så fungerar ”Bus Driver”-attacken

Enheten kopplas fysiskt in i en underhållsport i planets elektronik- och utrustningsutrymme, beläget under nosen och åtkomligt från marken bakom en olåst lucka. Forskarna uppskattar att det tar under 60 sekunder att få åtkomst och koppla in enheten .

Porten överför data mellan flygledningsdatorn (Flight Management Computer, FMC) och pilotens displayenhet (Multipurpose Control Display Unit, MCDU) via två ARINC 429-bussar – en trådbunden kommunikationsstandard från 1977 som saknar meddelandeautentisering eller kryptering .

Implantatet fungerar som en ”bussförare” (bus driver) genom att driva mer ström på bussen än de legitima datorerna. På så sätt kan det överskrida alla sändningar och injicera egna förfalskade kommandon. Enheten kan också dölja indikationer på pilotens display så att ändringar inte syns .

Vad enheten kan påverka

• Autopilotens vägpunkter och flygväg: Implantatet kan omdirigera planet under flygning, inklusive att styra det till ett annat lands luftrum eller ändra kursen med bara några grader .
• Startvariabler: Det kan ändra data för planets vikt, balans, tyngdpunkt och utomhustemperatur – samtliga används för att beräkna säkra startfarter. Felaktiga värden kan leda till att planet kör av banan eller tappar kontrollen .
• Pilotdisplayer: Enheten kan förfalska resultaten som visas för piloterna så att de inte ser att en ändring har gjorts – vilket potentiellt kan lura dem att fatta farliga beslut .

Boeings reaktion

Forskarna rapporterade sårbarheten till Boeing redan 2020 och validerade senare sina rön i en testanläggning hos Boeing . Boeing bekräftade att man genomfört en granskning av komponenternas konstruktion och gränssnitt, och sade till WIRED att ”de skyddslager som finns på planet, inklusive i systemdesignen och driftmiljön, ger tillräcklig minskning för att avsevärt begränsa genomförbarheten och risken för verkliga attacker” . Forskarna uppger att Boeing inte har meddelat dem om någon teknisk åtgärd. De spekulerar att det kan dröja åratal innan en uppdatering genomförs, med tanke på hur sällan kommersiella flygplan konstrueras om .

Åtgärder som forskarna rekommenderar

• Fysiskt skydd: Den enklaste lösningen är att täppa igen underhållsporten med epoxy eller ta bort den helt .
• Förbättrad operativ säkerhet: Forskarna efterlyser striktare åtkomstkontroll runt flygplan på marken, eftersom attacken kräver kortvarig fysisk åtkomst till planets yttre lucka .
• Långsiktig systemomdesign: Eftersom ARINC 429-bussen saknar autentisering föreslår forskarna att framtida flygelektronikbussar bör inkludera säkerhetsfunktioner som meddelandeautentisering för att förhindra förfalskning .

Forskarna betonar att även om attacken är allvarlig och visar en betydande blind fläck inom flygets cybersäkerhet, motiverar den varken grundstötning av plan eller allmän panik – alla författarna uppger att de ”regelbundet reser med Boeing 737 och förväntar sig fortsätta med det” .