การโจมตีแบบ "Bus Driver" ทำงานอย่างไร

อุปกรณ์นี้ถูกเสียบเข้ากับช่องซ่อมบำรุงในห้องอุปกรณ์อิเล็กทรอนิกส์ (Electronics and Equipment bay) ซึ่งอยู่บริเวณใต้จมูกเครื่องบินและเข้าถึงได้จากพื้นสนามบินผ่านฝาปิดที่ไม่ได้ล็อค ทีมวิจัยประเมินว่าการเข้าถึงและเชื่อมต่ออุปกรณ์ใช้เวลาไม่ถึง 60 วินาที

ช่องดังกล่าวทำหน้าที่ส่งข้อมูลระหว่าง Flight Management Computer (FMC) กับ Multi-purpose Control Display Unit (MCDU) ของนักบินผ่านระบบบัส ARINC 429 สองเส้น ซึ่งเป็นมาตรฐานการสื่อสารแบบมีสายที่ออกแบบมาตั้งแต่ปี 1977 และไม่มีระบบยืนยันตัวตนหรือการเข้ารหัสข้อความ (message authentication)

อุปกรณ์ที่ฝังนี้ทำหน้าที่เป็น "Bus Driver" โดยการส่งกระแสไฟฟ้าบนบัสมากกว่าคอมพิวเตอร์ที่ใช้งานตามปกติ ทำให้สามารถแทนที่การส่งสัญญาณทั้งหมดและฉีดคำสั่งปลอมของตัวเองเข้าไปได้ อีกทั้งยังสามารถซ่อนสัญญาณเตือนบนจอแสดงผลของนักบินไม่ให้เห็นว่ามีการเปลี่ยนแปลงเกิดขึ้น

สิ่งที่อุปกรณ์สามารถเปลี่ยนแปลงได้

• จุดบินอัตโนมัติและเส้นทางบิน: อุปกรณ์สามารถเปลี่ยนเส้นทางของเครื่องบินขณะบินได้ รวมถึงการเปลี่ยนเส้นทางไปยังน่านฟ้าของประเทศอื่น หรือเปลี่ยนแปลงการนำทางเพียงไม่กี่องศา
• ค่าตัวแปรในการบินขึ้น: สามารถแก้ไขข้อมูลน้ำหนักเครื่อง จุดสมดุล จุดศูนย์ถ่วง และอุณหภูมิอากาศภายนอก ซึ่งทั้งหมดถูกใช้ในการคำนวณความเร็วปลอดภัยในการบินขึ้น ค่าที่ไม่ถูกต้องอาจนำไปสู่การรันเวย์ยาวเกินไปหรือสูญเสียการควบคุม
• จอแสดงผลของนักบิน: อุปกรณ์สามารถหลอกผลลัพธ์ที่แสดงให้นักบินเห็น โดยที่นักบินจะไม่ทราบว่ามีการเปลี่ยนแปลงเกิดขึ้น ซึ่งอาจทำให้นักบินตัดสินใจอย่างอันตรายได้

การตอบสนองของโบอิ้ง

นักวิจัยรายงานช่องโหว่นี้ให้โบอิ้งทราบครั้งแรกในปี 2020 และต่อมาได้ตรวจสอบผลการค้นพบในสถานที่ทดสอบของโบอิ้งเอง โบอิ้งยืนยันว่าได้ตรวจสอบการออกแบบและส่วนต่อประสานของส่วนประกอบต่างๆ แล้ว และบอกกับ WIRED ว่า "ชั้นการป้องกันที่มีอยู่บนเครื่องบิน รวมถึงการออกแบบระบบและสภาพแวดล้อมการปฏิบัติงาน ช่วยบรรเทาความเป็นไปได้และความเสี่ยงของการโจมตีในโลกจริงได้อย่างเพียงพอ" แต่นักวิจัยกล่าวว่าโบอิ้งไม่ได้แจ้งถึงแนวทางแก้ไขทางเทคนิคใดๆ ให้พวกเขาทราบ พวกเขาคาดการณ์ว่าบริษัทอาจไม่ดำเนินการอัปเดตเป็นเวลาหลายปี เนื่องจากเครื่องบินพาณิชย์แทบจะไม่ได้รับการออกแบบใหม่บ่อยครั้ง

มาตรการป้องกันที่นักวิจัยแนะนำ

• การป้องกันทางกายภาพ: วิธีที่ง่ายที่สุดคือการอุดช่องซ่อมบำรุงด้วยอีพ็อกซี่หรือถอดออกให้หมด
• การรักษาความปลอดภัยในการปฏิบัติงานที่ดีขึ้น: นักวิจัยเสนอให้มีมาตรการควบคุมการเข้าถึงรอบๆ เครื่องบินบนพื้นให้รัดกุมมากขึ้น เนื่องจากการโจมตีนี้ต้องการการเข้าถึงทางกายภาพในช่วงสั้นๆ ไปยังฝาปิดด้านนอกของเครื่องบิน
• การออกแบบระบบใหม่ในระยะยาว: เนื่องจากบัส ARINC 429 ขาดระบบยืนยันตัวตน นักวิจัยจึงแนะนำว่าระบบบัสอากาศยานในอนาคตควรรวมคุณลักษณะด้านความปลอดภัย เช่น การยืนยันตัวตนของข้อความ (message authentication) เพื่อป้องกันการปลอมแปลง

นักวิจัยเน้นย้ำว่าแม้การโจมตีนี้จะร้ายแรงและแสดงให้เห็นจุดบอดที่สำคัญในความปลอดภัยทางไซเบอร์ของการบิน แต่ก็ไม่ถึงกับต้องทำให้เครื่องบินต้องจอดตรวจสอบหรือทำให้ผู้โดยสารตื่นตระหนก โดยผู้เขียนทุกคนระบุว่า "พวกเขาเดินทางด้วยเครื่องบินโบอิ้ง 737 เป็นประจำและคาดว่าจะยังคงทำเช่นนั้นต่อไป"

การโจมตีแบบ "Bus Driver" ทำงานอย่างไร

อุปกรณ์นี้ถูกเสียบเข้ากับช่องซ่อมบำรุงในห้องอุปกรณ์อิเล็กทรอนิกส์ (Electronics and Equipment bay) ซึ่งอยู่บริเวณใต้จมูกเครื่องบินและเข้าถึงได้จากพื้นสนามบินผ่านฝาปิดที่ไม่ได้ล็อค ทีมวิจัยประเมินว่าการเข้าถึงและเชื่อมต่ออุปกรณ์ใช้เวลาไม่ถึง 60 วินาที

ช่องดังกล่าวทำหน้าที่ส่งข้อมูลระหว่าง Flight Management Computer (FMC) กับ Multi-purpose Control Display Unit (MCDU) ของนักบินผ่านระบบบัส ARINC 429 สองเส้น ซึ่งเป็นมาตรฐานการสื่อสารแบบมีสายที่ออกแบบมาตั้งแต่ปี 1977 และไม่มีระบบยืนยันตัวตนหรือการเข้ารหัสข้อความ (message authentication)

อุปกรณ์ที่ฝังนี้ทำหน้าที่เป็น "Bus Driver" โดยการส่งกระแสไฟฟ้าบนบัสมากกว่าคอมพิวเตอร์ที่ใช้งานตามปกติ ทำให้สามารถแทนที่การส่งสัญญาณทั้งหมดและฉีดคำสั่งปลอมของตัวเองเข้าไปได้ อีกทั้งยังสามารถซ่อนสัญญาณเตือนบนจอแสดงผลของนักบินไม่ให้เห็นว่ามีการเปลี่ยนแปลงเกิดขึ้น

สิ่งที่อุปกรณ์สามารถเปลี่ยนแปลงได้

• จุดบินอัตโนมัติและเส้นทางบิน: อุปกรณ์สามารถเปลี่ยนเส้นทางของเครื่องบินขณะบินได้ รวมถึงการเปลี่ยนเส้นทางไปยังน่านฟ้าของประเทศอื่น หรือเปลี่ยนแปลงการนำทางเพียงไม่กี่องศา
• ค่าตัวแปรในการบินขึ้น: สามารถแก้ไขข้อมูลน้ำหนักเครื่อง จุดสมดุล จุดศูนย์ถ่วง และอุณหภูมิอากาศภายนอก ซึ่งทั้งหมดถูกใช้ในการคำนวณความเร็วปลอดภัยในการบินขึ้น ค่าที่ไม่ถูกต้องอาจนำไปสู่การรันเวย์ยาวเกินไปหรือสูญเสียการควบคุม
• จอแสดงผลของนักบิน: อุปกรณ์สามารถหลอกผลลัพธ์ที่แสดงให้นักบินเห็น โดยที่นักบินจะไม่ทราบว่ามีการเปลี่ยนแปลงเกิดขึ้น ซึ่งอาจทำให้นักบินตัดสินใจอย่างอันตรายได้

การตอบสนองของโบอิ้ง

นักวิจัยรายงานช่องโหว่นี้ให้โบอิ้งทราบครั้งแรกในปี 2020 และต่อมาได้ตรวจสอบผลการค้นพบในสถานที่ทดสอบของโบอิ้งเอง โบอิ้งยืนยันว่าได้ตรวจสอบการออกแบบและส่วนต่อประสานของส่วนประกอบต่างๆ แล้ว และบอกกับ WIRED ว่า "ชั้นการป้องกันที่มีอยู่บนเครื่องบิน รวมถึงการออกแบบระบบและสภาพแวดล้อมการปฏิบัติงาน ช่วยบรรเทาความเป็นไปได้และความเสี่ยงของการโจมตีในโลกจริงได้อย่างเพียงพอ" แต่นักวิจัยกล่าวว่าโบอิ้งไม่ได้แจ้งถึงแนวทางแก้ไขทางเทคนิคใดๆ ให้พวกเขาทราบ พวกเขาคาดการณ์ว่าบริษัทอาจไม่ดำเนินการอัปเดตเป็นเวลาหลายปี เนื่องจากเครื่องบินพาณิชย์แทบจะไม่ได้รับการออกแบบใหม่บ่อยครั้ง

มาตรการป้องกันที่นักวิจัยแนะนำ

• การป้องกันทางกายภาพ: วิธีที่ง่ายที่สุดคือการอุดช่องซ่อมบำรุงด้วยอีพ็อกซี่หรือถอดออกให้หมด
• การรักษาความปลอดภัยในการปฏิบัติงานที่ดีขึ้น: นักวิจัยเสนอให้มีมาตรการควบคุมการเข้าถึงรอบๆ เครื่องบินบนพื้นให้รัดกุมมากขึ้น เนื่องจากการโจมตีนี้ต้องการการเข้าถึงทางกายภาพในช่วงสั้นๆ ไปยังฝาปิดด้านนอกของเครื่องบิน
• การออกแบบระบบใหม่ในระยะยาว: เนื่องจากบัส ARINC 429 ขาดระบบยืนยันตัวตน นักวิจัยจึงแนะนำว่าระบบบัสอากาศยานในอนาคตควรรวมคุณลักษณะด้านความปลอดภัย เช่น การยืนยันตัวตนของข้อความ (message authentication) เพื่อป้องกันการปลอมแปลง

นักวิจัยเน้นย้ำว่าแม้การโจมตีนี้จะร้ายแรงและแสดงให้เห็นจุดบอดที่สำคัญในความปลอดภัยทางไซเบอร์ของการบิน แต่ก็ไม่ถึงกับต้องทำให้เครื่องบินต้องจอดตรวจสอบหรือทำให้ผู้โดยสารตื่นตระหนก โดยผู้เขียนทุกคนระบุว่า "พวกเขาเดินทางด้วยเครื่องบินโบอิ้ง 737 เป็นประจำและคาดว่าจะยังคงทำเช่นนั้นต่อไป"