การโจมตีแบบ Bus Driver ทำงานอย่างไร

ทีมวิจัย ซึ่งนำโดย Sam Crow อดีตนักศึกษาปริญญาเอกจาก UC San Diego ได้ออกแบบ สร้าง และเขียนโปรแกรมสำหรับแผงวงจรขนาดเล็กที่ทำหน้าที่เป็นอุปกรณ์บุคคลที่สามที่เป็นอันตราย สอดแทรกอยู่ระหว่างคอมพิวเตอร์ออนบอร์ดที่สำคัญสองเครื่อง นี่คือขั้นตอนการโจมตี:

การติดตั้งทางกายภาพในเวลาไม่ถึง 60 วินาที

อุปกรณ์ที่มีขนาดประมาณเหรียญควอเตอร์ของสหรัฐฯ ซึ่งมีค่าใช้จ่ายในการผลิตต่ำกว่า 100 ดอลลาร์สหรัฐ (ประมาณ 3,500 บาท) จะถูกติดตั้งโดยการเปิดช่องฟักภายนอกของลำตัวเครื่องบินที่เข้าถึงช่อง Electronics and Equipment (E&E) bay ผู้โจมตีสามารถเปิดช่องฟักนี้ได้ในเวลาประมาณ 15 วินาทีโดยไม่ต้องใช้เครื่องมือพิเศษใดๆ จากนั้นจึงเสียบอุปกรณ์เข้ากับพอร์ต Onboard Maintenance Computer (OMC) ที่เปิดเผย กระบวนการทั้งหมดใช้เวลาไม่ถึง 60 วินาที และอุปกรณ์มีขนาดเล็กพอที่จะซ่อนไว้ใต้ฝาครอบกันฝุ่นของพอร์ต ทำให้ไม่สามารถมองเห็นได้ในระหว่างการตรวจสอบตามปกติ

การใช้ประโยชน์จากบัสระบบ Avionics ARINC 429

เมื่อเชื่อมต่อแล้ว อุปกรณ์จะเชื่อมต่อกับ บัสข้อมูลระบบ avionics ARINC 429 ที่ไม่ได้เข้ารหัส ซึ่งเป็นบัสแบบอนุกรมที่มีตัวควบคุมหลักเพียงตัวเดียว (single-master serial bus) ที่ทำหน้าที่รับส่งข้อมูลทั้งหมดระหว่าง Flight Management Computer (FMC) และจอแสดงผลและชุดควบคุมของนักบิน (Multifunction Control and Display Unit - MCDU) ARINC 429 ไม่มีระบบยืนยันตัวตนหรือการเข้ารหัสในตัว จุดแตกหักคือการออกแบบทางไฟฟ้าที่ใช้ตัวต้านทานเพื่อปรับอิมพีแดนซ์ (impedance-matching resistors) ซึ่งทำให้อุปกรณ์ที่เป็นอันตรายสามารถส่งสัญญาณกระแสไฟฟ้าที่แรงกว่าไปบนสายบัสเพื่อแทนที่สัญญาณที่ถูกต้องได้ นักวิจัยเรียกเทคนิคการระงับสัญญาณนี้ว่า 'Bus Driver' attack

อุปกรณ์สามารถเปลี่ยนแปลงอะไรได้บ้าง

เมื่ออุปกรณ์ Bus Driver เข้าควบคุมบัสแล้ว มันสามารถส่งคำสั่งปลอมเพื่อ:

• เปลี่ยนจุดหมายและเปลี่ยนเส้นทางของเครื่องบิน จากเส้นทางบินที่ตั้งโปรแกรมไว้
• แก้ไขการคำนวณน้ำหนักเครื่องขึ้น ซึ่งส่งผลโดยตรงต่อความเร็วในการบินขึ้น (V-speeds) ที่จำเป็นสำหรับการโรเตชัน
• ปรับเปลี่ยนค่าอุณหภูมิอากาศภายนอกและปริมาณเชื้อเพลิง ซึ่งจะเปลี่ยนแปลงการคำนวณประสิทธิภาพที่สำคัญ

การซ่อนข้อมูล: จอแสดงผลของนักบินที่ถูกหลอก

ในเวลาเดียวกัน อุปกรณ์จะส่งข้อมูลปลอมไปยังจอแสดงผลในห้องนักบิน เพื่อให้นักบินยังคงเห็นแผนการบินเดิมที่ไม่ถูกแก้ไข — โดยซ่อนการเปลี่ยนแปลงทั้งหมด นักบินจะไม่เห็นสัญญาณเตือนหรือความคลาดเคลื่อนใดๆ บนหน้าจอ MCDU ทำให้การโจมตีนี้ยากมากที่จะตรวจพบจากห้องนักบิน

การควบคุมผ่าน Wi-Fi ขณะบิน

อุปกรณ์นี้มีวิทยุ Wi-Fi ทำให้ผู้โจมตีสามารถส่งคำสั่งแบบไร้สายแบบเรียลไทม์หรือแม้แต่ดำเนินการอัปเดตซอฟต์แวร์ที่เป็นอันตรายในขณะที่เครื่องบินกำลังบินอยู่ ซึ่งหมายความว่าอุปกรณ์สามารถควบคุมได้แบบไดนามิกตั้งแต่ช่วงที่ติดตั้งไปจนตลอดระยะเวลาของเที่ยวบิน

การตอบสนองของโบอิ้ง

ทีมวิจัยได้แจ้งช่องโหว่ดังกล่าวให้โบอิ้งทราบเป็นครั้งแรกใน ปี 2020 จากนั้นจึงทำงานร่วมกับผู้ผลิตอย่างใกล้ชิดเพื่อทดสอบและตรวจสอบการโจมตีในห้องปฏิบัติการของโบอิ้งเอง

ในการตอบสนอง โบอิ้งได้ออกแถลงการณ์ที่ลดความเสี่ยงในทางปฏิบัติ: "ผู้เชี่ยวชาญด้านเทคนิคของเรามั่นใจว่าชั้นการป้องกันที่มีอยู่บนเครื่องบิน รวมถึงการออกแบบระบบและสภาพแวดล้อมการปฏิบัติการนั้น เพียงพอที่จะบรรเทาความเป็นไปได้และความเสี่ยงของการโจมตีในโลกจริงได้อย่างมีนัยสำคัญ" โบอิ้งยังระบุว่าได้ดำเนินการตรวจสอบการออกแบบส่วนประกอบที่เกี่ยวข้อง การติดตั้ง และส่วนติดต่อด้วยตนเองเพื่อตอบสนองต่อสิ่งที่นักวิจัยค้นพบ

มาตรการบรรเทาที่แนะนำ

นักวิจัยได้เสนอมาตรการบรรเทาหลายประการเพื่อแก้ไขช่องโหว่นี้ ซึ่งรวมถึง :

• การกั้นทางกายภาพเพื่อไม่ให้เข้าถึงพอร์ต OMC/บริการภายนอก เช่น การใช้แผงปิดที่ล็อคได้หรือซีลที่แสดงหลักฐานการงัดแงะ
• การปรับปรุงฉนวนไฟฟ้า บนบัส ARINC 429 เพื่อให้การโจมตีแบบ Bus Driver ทำได้ยากขึ้น
• การเพิ่มการตรวจสอบสิทธิ์ด้วยการเข้ารหัส (cryptographic authentication) ให้กับข้อความ ARINC 429
• การใช้ sensor fusion และการตรวจสอบข้ามระบบ (cross-checking) เพื่อให้ระบบสำรองสามารถตรวจจับความคลาดเคลื่อนของพารามิเตอร์การบินได้
• การปรับปรุงการแจ้งเตือนในห้องนักบิน เพื่อให้นักบินได้รับแจ้งเมื่อข้อมูลระหว่าง FMC และจอแสดงผลไม่ตรงกัน

นักวิจัยเน้นย้ำว่าสิ่งที่ค้นพบนี้ไม่จำเป็นต้องสั่งหยุดบินฝูงบิน (grounding the fleet) แต่เรียกร้องให้มีการปรับปรุงด้านความปลอดภัยทางกายภาพและความสมบูรณ์ของบัส avionics ในทางปฏิบัติและในระยะใกล้

การโจมตีแบบ Bus Driver ทำงานอย่างไร

ทีมวิจัย ซึ่งนำโดย Sam Crow อดีตนักศึกษาปริญญาเอกจาก UC San Diego ได้ออกแบบ สร้าง และเขียนโปรแกรมสำหรับแผงวงจรขนาดเล็กที่ทำหน้าที่เป็นอุปกรณ์บุคคลที่สามที่เป็นอันตราย สอดแทรกอยู่ระหว่างคอมพิวเตอร์ออนบอร์ดที่สำคัญสองเครื่อง นี่คือขั้นตอนการโจมตี:

การติดตั้งทางกายภาพในเวลาไม่ถึง 60 วินาที

อุปกรณ์ที่มีขนาดประมาณเหรียญควอเตอร์ของสหรัฐฯ ซึ่งมีค่าใช้จ่ายในการผลิตต่ำกว่า 100 ดอลลาร์สหรัฐ (ประมาณ 3,500 บาท) จะถูกติดตั้งโดยการเปิดช่องฟักภายนอกของลำตัวเครื่องบินที่เข้าถึงช่อง Electronics and Equipment (E&E) bay ผู้โจมตีสามารถเปิดช่องฟักนี้ได้ในเวลาประมาณ 15 วินาทีโดยไม่ต้องใช้เครื่องมือพิเศษใดๆ จากนั้นจึงเสียบอุปกรณ์เข้ากับพอร์ต Onboard Maintenance Computer (OMC) ที่เปิดเผย กระบวนการทั้งหมดใช้เวลาไม่ถึง 60 วินาที และอุปกรณ์มีขนาดเล็กพอที่จะซ่อนไว้ใต้ฝาครอบกันฝุ่นของพอร์ต ทำให้ไม่สามารถมองเห็นได้ในระหว่างการตรวจสอบตามปกติ

การใช้ประโยชน์จากบัสระบบ Avionics ARINC 429

เมื่อเชื่อมต่อแล้ว อุปกรณ์จะเชื่อมต่อกับ บัสข้อมูลระบบ avionics ARINC 429 ที่ไม่ได้เข้ารหัส ซึ่งเป็นบัสแบบอนุกรมที่มีตัวควบคุมหลักเพียงตัวเดียว (single-master serial bus) ที่ทำหน้าที่รับส่งข้อมูลทั้งหมดระหว่าง Flight Management Computer (FMC) และจอแสดงผลและชุดควบคุมของนักบิน (Multifunction Control and Display Unit - MCDU) ARINC 429 ไม่มีระบบยืนยันตัวตนหรือการเข้ารหัสในตัว จุดแตกหักคือการออกแบบทางไฟฟ้าที่ใช้ตัวต้านทานเพื่อปรับอิมพีแดนซ์ (impedance-matching resistors) ซึ่งทำให้อุปกรณ์ที่เป็นอันตรายสามารถส่งสัญญาณกระแสไฟฟ้าที่แรงกว่าไปบนสายบัสเพื่อแทนที่สัญญาณที่ถูกต้องได้ นักวิจัยเรียกเทคนิคการระงับสัญญาณนี้ว่า 'Bus Driver' attack

อุปกรณ์สามารถเปลี่ยนแปลงอะไรได้บ้าง

เมื่ออุปกรณ์ Bus Driver เข้าควบคุมบัสแล้ว มันสามารถส่งคำสั่งปลอมเพื่อ:

• เปลี่ยนจุดหมายและเปลี่ยนเส้นทางของเครื่องบิน จากเส้นทางบินที่ตั้งโปรแกรมไว้
• แก้ไขการคำนวณน้ำหนักเครื่องขึ้น ซึ่งส่งผลโดยตรงต่อความเร็วในการบินขึ้น (V-speeds) ที่จำเป็นสำหรับการโรเตชัน
• ปรับเปลี่ยนค่าอุณหภูมิอากาศภายนอกและปริมาณเชื้อเพลิง ซึ่งจะเปลี่ยนแปลงการคำนวณประสิทธิภาพที่สำคัญ

การซ่อนข้อมูล: จอแสดงผลของนักบินที่ถูกหลอก

ในเวลาเดียวกัน อุปกรณ์จะส่งข้อมูลปลอมไปยังจอแสดงผลในห้องนักบิน เพื่อให้นักบินยังคงเห็นแผนการบินเดิมที่ไม่ถูกแก้ไข — โดยซ่อนการเปลี่ยนแปลงทั้งหมด นักบินจะไม่เห็นสัญญาณเตือนหรือความคลาดเคลื่อนใดๆ บนหน้าจอ MCDU ทำให้การโจมตีนี้ยากมากที่จะตรวจพบจากห้องนักบิน

การควบคุมผ่าน Wi-Fi ขณะบิน

อุปกรณ์นี้มีวิทยุ Wi-Fi ทำให้ผู้โจมตีสามารถส่งคำสั่งแบบไร้สายแบบเรียลไทม์หรือแม้แต่ดำเนินการอัปเดตซอฟต์แวร์ที่เป็นอันตรายในขณะที่เครื่องบินกำลังบินอยู่ ซึ่งหมายความว่าอุปกรณ์สามารถควบคุมได้แบบไดนามิกตั้งแต่ช่วงที่ติดตั้งไปจนตลอดระยะเวลาของเที่ยวบิน

การตอบสนองของโบอิ้ง

ทีมวิจัยได้แจ้งช่องโหว่ดังกล่าวให้โบอิ้งทราบเป็นครั้งแรกใน ปี 2020 จากนั้นจึงทำงานร่วมกับผู้ผลิตอย่างใกล้ชิดเพื่อทดสอบและตรวจสอบการโจมตีในห้องปฏิบัติการของโบอิ้งเอง

ในการตอบสนอง โบอิ้งได้ออกแถลงการณ์ที่ลดความเสี่ยงในทางปฏิบัติ: "ผู้เชี่ยวชาญด้านเทคนิคของเรามั่นใจว่าชั้นการป้องกันที่มีอยู่บนเครื่องบิน รวมถึงการออกแบบระบบและสภาพแวดล้อมการปฏิบัติการนั้น เพียงพอที่จะบรรเทาความเป็นไปได้และความเสี่ยงของการโจมตีในโลกจริงได้อย่างมีนัยสำคัญ" โบอิ้งยังระบุว่าได้ดำเนินการตรวจสอบการออกแบบส่วนประกอบที่เกี่ยวข้อง การติดตั้ง และส่วนติดต่อด้วยตนเองเพื่อตอบสนองต่อสิ่งที่นักวิจัยค้นพบ

มาตรการบรรเทาที่แนะนำ

นักวิจัยได้เสนอมาตรการบรรเทาหลายประการเพื่อแก้ไขช่องโหว่นี้ ซึ่งรวมถึง :

• การกั้นทางกายภาพเพื่อไม่ให้เข้าถึงพอร์ต OMC/บริการภายนอก เช่น การใช้แผงปิดที่ล็อคได้หรือซีลที่แสดงหลักฐานการงัดแงะ
• การปรับปรุงฉนวนไฟฟ้า บนบัส ARINC 429 เพื่อให้การโจมตีแบบ Bus Driver ทำได้ยากขึ้น
• การเพิ่มการตรวจสอบสิทธิ์ด้วยการเข้ารหัส (cryptographic authentication) ให้กับข้อความ ARINC 429
• การใช้ sensor fusion และการตรวจสอบข้ามระบบ (cross-checking) เพื่อให้ระบบสำรองสามารถตรวจจับความคลาดเคลื่อนของพารามิเตอร์การบินได้
• การปรับปรุงการแจ้งเตือนในห้องนักบิน เพื่อให้นักบินได้รับแจ้งเมื่อข้อมูลระหว่าง FMC และจอแสดงผลไม่ตรงกัน

นักวิจัยเน้นย้ำว่าสิ่งที่ค้นพบนี้ไม่จำเป็นต้องสั่งหยุดบินฝูงบิน (grounding the fleet) แต่เรียกร้องให้มีการปรับปรุงด้านความปลอดภัยทางกายภาพและความสมบูรณ์ของบัส avionics ในทางปฏิบัติและในระยะใกล้