Атака "Bus Driver": пристрій за 100 доларів, здатний перехопити автопілот Boeing 737

Спеціально створений пристрій дослідників, розміром трохи більший за монету (наприклад, за 25-центову монету США), під'єднується до цього порту і повністю ховається під існуючою пилозахисною кришкою, що робить його непомітним при звичайному огляді. Весь процес установки займає менше 60 секунд .

Після під'єднання пристрій використовує техніку, яку дослідники назвали "Bus Driver": він надсилає сигнали з вищою силою струму, щоб перекрити та замінити справжні команди, які передаються між FMC та MCDU. Оскільки протокол ARINC 429 не має шифрування чи автентифікації, пристрій може перехоплювати, змінювати та впроваджувати повідомлення без виявлення . Пристрій також має Wi-Fi модуль, що дозволяє зловмиснику керувати ним дистанційно через бортову Wi-Fi мережу літака .

Які саме маніпуляції може виконувати пристрій

Пристрій "Bus Driver" дає зловмиснику кілька форм контролю над авіонікою літака:

• Зміна маршрутних точок автопілота: Пристрій може вносити невеликі, поступові зміни в проміжні точки польотного плану. З часом ці непомітні модифікації можуть відхилити літак від запланованого маршруту без попередження пілотів .
• Зміна злітних параметрів: Пристрій може змінювати критично важливі дані, які використовує польотний комп'ютер для розрахунку злітних характеристик, зокрема вагу літака та температуру зовнішнього повітря. Якщо польотний комп'ютер отримує занижену вагу або завищену температуру, він може розрахувати недостатню тягу для безпечного зльоту .
• Підміна даних на дисплеях пілотів: Пристрій одночасно спотворює дані, які відображаються на приладах у кабіні, приховуючи модифікації. Пілот бачить хибні, але правдоподібні значення, що ускладнює виявлення атаки .

Можливі наслідки

Дослідники попереджають, що ці можливості можуть призвести до серйозних наслідків:

• Викочування за межі злітно-посадкової смуги через підроблені значення ваги або температури .
• Відхилення літака в повітряний простір іншої країни або заборонену зону .
• У найгіршому випадку — катастрофа .

Реакція Boeing та хронологія

Boeing заявив, що "впевнений, що рівні захисту, передбачені конструкцією літака та експлуатаційним середовищем, забезпечують достатню нейтралізацію, щоб значно обмежити можливість і ризик реальних атак" . Однак дослідники повідомляють, що Boeing отримав перші дані про дослідження понад шість років тому, приблизно у 2020 році, і не оприлюднив жодного конкретного технічного виправлення для усунення цієї вразливості .

Рекомендовані заходи захисту

Дослідники пропонують як короткострокові фізичні рішення, так і довгострокові інженерні виправлення:

Короткострокові фізичні рішення

• Заповнити зовнішній технічний порт епоксидною смолою, щоб заблокувати фізичний доступ .
• Повністю видалити роз'єм з літака .

Довгострокові програмні/апаратні рішення

• Впровадити програмне виявлення аномальних сигналів на авіонічній шині .
• Додати криптографічну автентифікацію до комунікацій протоколу ARINC 429, щоб запобігти підробці повідомлень .

Незважаючи на серйозність демонстрації, дослідники підкреслюють, що вони й самі продовжують літати на Boeing 737. Вони не закликають припинити експлуатацію літаків, а пропонують довгострокове планування в галузі для вирішення цього класу атак на авіоніку з фізичним доступом .