Hur Busschaufförsattacken fungerar

Forskarna – ledda av den tidigare UCSD-doktoranden Sam Crow – designade, byggde och programmerade ett litet kretskort som fungerar som en illasinnad tredjepartsenhet som kopplas in mellan två kritiska omborddatorer . Så här går attacken till:

Fysisk installation på under 60 sekunder

Enheten, ungefär lika stor som en svensk enkrona och som kostar under 100 dollar att bygga, installeras genom att öppna en extern lucka på flygplanets skrov som ger åtkomst till Electronics and Equipment (E&E)-utrymmet . En angripare kan öppna luckan på cirka 15 sekunder utan specialverktyg och koppla sedan in implantatet i en exponerad OMC-port (Onboard Maintenance Computer) . Hela processen tar mindre än 60 sekunder, och enheten är så liten att den kan gömmas under portens dammskydd, osynlig vid rutininspektioner .

Utnyttjande av ARINC 429-avionikbussen

När implantatet väl är anslutet kopplar det in sig på den okrypterade ARINC 429-avionikdatabussen, en seriell buss med en enda master som bär all kommunikation mellan Flight Management Computer (FMC) och pilotens Multifunction Control and Display Unit (MCDU) . ARINC 429 har ingen inbyggd autentisering eller kryptering. Avgörande är att dess elektriska design använder impedansmatchande motstånd som gör att en illasinnad enhet elektriskt kan överrösta legitima signaler genom att driva mer ström på busslinjerna än den auktoriserade sändaren . Forskarna kallar denna signalundertryckningsteknik för "Busschaufförsattacken" .

Vad implantatet kan ändra

När Busschaufförsimplantatet väl har tagit över bussen kan det injicera förfalskade kommandon för att:

• Ändra waypoints och omdirigera flygplanet från dess programmerade flygväg
• Ändra startviktsberäkningar, vilket direkt påverkar V-hastigheterna (den rotationshastighet som krävs för start)
• Modifiera utomhustemperatur och bränslemängd, vilket ändrar kritiska prestandaberäkningar

Osynlighet: Den förfalskade pilotdisplayen

Samtidigt skickar enheten falsk data till cockpitdisplayerna så att piloten ser den ursprungliga, oförändrade flygplanen – vilket effektivt döljer alla ändringar . Piloten skulle inte se någon varning eller avvikelse på MCDU-skärmen, vilket gör attacken extremt svår att upptäcka från cockpit .

Wi-fi-kontroll under flygning

Implantatet har en wifi-sändare som gör att en angripare kan skicka kommandon trådlöst i realtid eller till och med distribuera en skadlig programuppdatering medan flygplanet är i luften . Detta innebär att enheten kan kontrolleras dynamiskt från installationsögonblicket och under hela flygningen.

Boeings svar

Forskarteamet informerade Boeing om sårbarheten redan 2020 och arbetade sedan nära tillverkaren för att testa och validera attacken i Boeings eget labb .

Boeing svarade med ett uttalande som tonade ner den praktiska risken: "Våra tekniska experter är övertygade om att de skyddslager som finns på flygplanet, inklusive inom systemdesignen och driftsmiljön, ger tillräcklig begränsning för att avsevärt begränsa genomförbarheten och risken för verkliga attacker" . Boeing uppgav också att de genomfört en egen granskning av relevanta komponentdesigner, installationer och gränssnitt som svar på forskarnas resultat .

Rekommenderade åtgärder

Forskarna föreslog en rad åtgärder för att åtgärda sårbarheten, inklusive :

• Fysiskt blockera åtkomst till den externa OMC/serviceporten, till exempel med låsbara paneler eller plomberingsförseglingar
• Förbättra elektrisk isolering på ARINC 429-bussen för att göra busdriver-attacker svårare
• Lägga till kryptografisk autentisering för ARINC 429-meddelanden
• Implementera sensorfusion och korskontroll så att avvikelser mellan flygparametrar skulle upptäckas av redundanta system
• Förbättra cockpitvarningar så att piloter meddelas om avvikelser mellan FMC och displaydata

Forskarna betonade att deras resultat inte kräver att flygplansflottan grundstöts, utan snarare efterlyser praktiska, kortsiktiga förbättringar av fysisk säkerhet och avionikbussarnas integritet .

Hur Busschaufförsattacken fungerar

Forskarna – ledda av den tidigare UCSD-doktoranden Sam Crow – designade, byggde och programmerade ett litet kretskort som fungerar som en illasinnad tredjepartsenhet som kopplas in mellan två kritiska omborddatorer . Så här går attacken till:

Fysisk installation på under 60 sekunder

Enheten, ungefär lika stor som en svensk enkrona och som kostar under 100 dollar att bygga, installeras genom att öppna en extern lucka på flygplanets skrov som ger åtkomst till Electronics and Equipment (E&E)-utrymmet . En angripare kan öppna luckan på cirka 15 sekunder utan specialverktyg och koppla sedan in implantatet i en exponerad OMC-port (Onboard Maintenance Computer) . Hela processen tar mindre än 60 sekunder, och enheten är så liten att den kan gömmas under portens dammskydd, osynlig vid rutininspektioner .

Utnyttjande av ARINC 429-avionikbussen

När implantatet väl är anslutet kopplar det in sig på den okrypterade ARINC 429-avionikdatabussen, en seriell buss med en enda master som bär all kommunikation mellan Flight Management Computer (FMC) och pilotens Multifunction Control and Display Unit (MCDU) . ARINC 429 har ingen inbyggd autentisering eller kryptering. Avgörande är att dess elektriska design använder impedansmatchande motstånd som gör att en illasinnad enhet elektriskt kan överrösta legitima signaler genom att driva mer ström på busslinjerna än den auktoriserade sändaren . Forskarna kallar denna signalundertryckningsteknik för "Busschaufförsattacken" .

Vad implantatet kan ändra

När Busschaufförsimplantatet väl har tagit över bussen kan det injicera förfalskade kommandon för att:

• Ändra waypoints och omdirigera flygplanet från dess programmerade flygväg
• Ändra startviktsberäkningar, vilket direkt påverkar V-hastigheterna (den rotationshastighet som krävs för start)
• Modifiera utomhustemperatur och bränslemängd, vilket ändrar kritiska prestandaberäkningar

Osynlighet: Den förfalskade pilotdisplayen

Samtidigt skickar enheten falsk data till cockpitdisplayerna så att piloten ser den ursprungliga, oförändrade flygplanen – vilket effektivt döljer alla ändringar . Piloten skulle inte se någon varning eller avvikelse på MCDU-skärmen, vilket gör attacken extremt svår att upptäcka från cockpit .

Wi-fi-kontroll under flygning

Implantatet har en wifi-sändare som gör att en angripare kan skicka kommandon trådlöst i realtid eller till och med distribuera en skadlig programuppdatering medan flygplanet är i luften . Detta innebär att enheten kan kontrolleras dynamiskt från installationsögonblicket och under hela flygningen.

Boeings svar

Forskarteamet informerade Boeing om sårbarheten redan 2020 och arbetade sedan nära tillverkaren för att testa och validera attacken i Boeings eget labb .

Boeing svarade med ett uttalande som tonade ner den praktiska risken: "Våra tekniska experter är övertygade om att de skyddslager som finns på flygplanet, inklusive inom systemdesignen och driftsmiljön, ger tillräcklig begränsning för att avsevärt begränsa genomförbarheten och risken för verkliga attacker" . Boeing uppgav också att de genomfört en egen granskning av relevanta komponentdesigner, installationer och gränssnitt som svar på forskarnas resultat .

Rekommenderade åtgärder

Forskarna föreslog en rad åtgärder för att åtgärda sårbarheten, inklusive :

• Fysiskt blockera åtkomst till den externa OMC/serviceporten, till exempel med låsbara paneler eller plomberingsförseglingar
• Förbättra elektrisk isolering på ARINC 429-bussen för att göra busdriver-attacker svårare
• Lägga till kryptografisk autentisering för ARINC 429-meddelanden
• Implementera sensorfusion och korskontroll så att avvikelser mellan flygparametrar skulle upptäckas av redundanta system
• Förbättra cockpitvarningar så att piloter meddelas om avvikelser mellan FMC och displaydata

Forskarna betonade att deras resultat inte kräver att flygplansflottan grundstöts, utan snarare efterlyser praktiska, kortsiktiga förbättringar av fysisk säkerhet och avionikbussarnas integritet .