การโจมตีแบบ 'Bus Driver': อุปกรณ์ Wi-Fi ราว 3,500 บาท ที่สามารถเข้าควบคุมระบบขับเคลื่อนอัตโนมัติของโบอิ้ง 737 ได้ใน 60 วินาที

การใช้ประโยชน์จากบัสระบบ Avionics ARINC 429

เมื่อเชื่อมต่อแล้ว อุปกรณ์จะเชื่อมต่อกับ บัสข้อมูลระบบ avionics ARINC 429 ที่ไม่ได้เข้ารหัส ซึ่งเป็นบัสแบบอนุกรมที่มีตัวควบคุมหลักเพียงตัวเดียว (single-master serial bus) ที่ทำหน้าที่รับส่งข้อมูลทั้งหมดระหว่าง Flight Management Computer (FMC) และจอแสดงผลและชุดควบคุมของนักบิน (Multifunction Control and Display Unit - MCDU) ARINC 429 ไม่มีระบบยืนยันตัวตนหรือการเข้ารหัสในตัว จุดแตกหักคือการออกแบบทางไฟฟ้าที่ใช้ตัวต้านทานเพื่อปรับอิมพีแดนซ์ (impedance-matching resistors) ซึ่งทำให้อุปกรณ์ที่เป็นอันตรายสามารถส่งสัญญาณกระแสไฟฟ้าที่แรงกว่าไปบนสายบัสเพื่อแทนที่สัญญาณที่ถูกต้องได้ นักวิจัยเรียกเทคนิคการระงับสัญญาณนี้ว่า 'Bus Driver' attack

อุปกรณ์สามารถเปลี่ยนแปลงอะไรได้บ้าง

เมื่ออุปกรณ์ Bus Driver เข้าควบคุมบัสแล้ว มันสามารถส่งคำสั่งปลอมเพื่อ:

• เปลี่ยนจุดหมายและเปลี่ยนเส้นทางของเครื่องบิน จากเส้นทางบินที่ตั้งโปรแกรมไว้
• แก้ไขการคำนวณน้ำหนักเครื่องขึ้น ซึ่งส่งผลโดยตรงต่อความเร็วในการบินขึ้น (V-speeds) ที่จำเป็นสำหรับการโรเตชัน
• ปรับเปลี่ยนค่าอุณหภูมิอากาศภายนอกและปริมาณเชื้อเพลิง ซึ่งจะเปลี่ยนแปลงการคำนวณประสิทธิภาพที่สำคัญ

การซ่อนข้อมูล: จอแสดงผลของนักบินที่ถูกหลอก

ในเวลาเดียวกัน อุปกรณ์จะส่งข้อมูลปลอมไปยังจอแสดงผลในห้องนักบิน เพื่อให้นักบินยังคงเห็นแผนการบินเดิมที่ไม่ถูกแก้ไข — โดยซ่อนการเปลี่ยนแปลงทั้งหมด นักบินจะไม่เห็นสัญญาณเตือนหรือความคลาดเคลื่อนใดๆ บนหน้าจอ MCDU ทำให้การโจมตีนี้ยากมากที่จะตรวจพบจากห้องนักบิน

การควบคุมผ่าน Wi-Fi ขณะบิน

อุปกรณ์นี้มีวิทยุ Wi-Fi ทำให้ผู้โจมตีสามารถส่งคำสั่งแบบไร้สายแบบเรียลไทม์หรือแม้แต่ดำเนินการอัปเดตซอฟต์แวร์ที่เป็นอันตรายในขณะที่เครื่องบินกำลังบินอยู่ ซึ่งหมายความว่าอุปกรณ์สามารถควบคุมได้แบบไดนามิกตั้งแต่ช่วงที่ติดตั้งไปจนตลอดระยะเวลาของเที่ยวบิน

การตอบสนองของโบอิ้ง

ทีมวิจัยได้แจ้งช่องโหว่ดังกล่าวให้โบอิ้งทราบเป็นครั้งแรกใน ปี 2020 จากนั้นจึงทำงานร่วมกับผู้ผลิตอย่างใกล้ชิดเพื่อทดสอบและตรวจสอบการโจมตีในห้องปฏิบัติการของโบอิ้งเอง

ในการตอบสนอง โบอิ้งได้ออกแถลงการณ์ที่ลดความเสี่ยงในทางปฏิบัติ: "ผู้เชี่ยวชาญด้านเทคนิคของเรามั่นใจว่าชั้นการป้องกันที่มีอยู่บนเครื่องบิน รวมถึงการออกแบบระบบและสภาพแวดล้อมการปฏิบัติการนั้น เพียงพอที่จะบรรเทาความเป็นไปได้และความเสี่ยงของการโจมตีในโลกจริงได้อย่างมีนัยสำคัญ" โบอิ้งยังระบุว่าได้ดำเนินการตรวจสอบการออกแบบส่วนประกอบที่เกี่ยวข้อง การติดตั้ง และส่วนติดต่อด้วยตนเองเพื่อตอบสนองต่อสิ่งที่นักวิจัยค้นพบ

มาตรการบรรเทาที่แนะนำ

นักวิจัยได้เสนอมาตรการบรรเทาหลายประการเพื่อแก้ไขช่องโหว่นี้ ซึ่งรวมถึง :

• การกั้นทางกายภาพเพื่อไม่ให้เข้าถึงพอร์ต OMC/บริการภายนอก เช่น การใช้แผงปิดที่ล็อคได้หรือซีลที่แสดงหลักฐานการงัดแงะ
• การปรับปรุงฉนวนไฟฟ้า บนบัส ARINC 429 เพื่อให้การโจมตีแบบ Bus Driver ทำได้ยากขึ้น
• การเพิ่มการตรวจสอบสิทธิ์ด้วยการเข้ารหัส (cryptographic authentication) ให้กับข้อความ ARINC 429
• การใช้ sensor fusion และการตรวจสอบข้ามระบบ (cross-checking) เพื่อให้ระบบสำรองสามารถตรวจจับความคลาดเคลื่อนของพารามิเตอร์การบินได้
• การปรับปรุงการแจ้งเตือนในห้องนักบิน เพื่อให้นักบินได้รับแจ้งเมื่อข้อมูลระหว่าง FMC และจอแสดงผลไม่ตรงกัน

นักวิจัยเน้นย้ำว่าสิ่งที่ค้นพบนี้ไม่จำเป็นต้องสั่งหยุดบินฝูงบิน (grounding the fleet) แต่เรียกร้องให้มีการปรับปรุงด้านความปลอดภัยทางกายภาพและความสมบูรณ์ของบัส avionics ในทางปฏิบัติและในระยะใกล้