Як працює атака "Bus Driver"

Пристрій фізично підключається до технічного порту у відсіку електроніки та обладнання (Electronics and Equipment bay), який розташований під носом літака та доступний із землі через незамкнений люк. За оцінками дослідників, на отримання доступу та підключення пристрою потрібно менше 60 секунд .

Цей порт передає дані між польотним керуючим комп'ютером (Flight Management Computer, FMC) та багатофункціональним пультом пілота (Multi-purpose Control Display Unit, MCDU) через дві шини ARINC 429 — стандарт дротового зв'язку, який датується 1977 роком і не має автентифікації повідомлень або шифрування .

Імплант діє як "водій шини" (bus driver), подаючи більший струм на шину, ніж легітимні комп'ютери, що дозволяє йому перезаписувати будь-які передачі та вставляти власні підроблені команди. Він також може придушувати на дисплеї пілота будь-які індикації про внесені зміни .

Що може змінити пристрій

• Маршрут і шлях автопілота: Імплант може перенаправити літак у польоті, включно з відхиленням до повітряного простору іншої країни або зміною навігації всього на кілька градусів .
• Злітні параметри: Пристрій може змінювати дані про масу літака, балансування, центр ваги та температуру зовнішнього повітря — всі ці показники використовуються для розрахунку безпечних швидкостей зльоту. Неправильні значення можуть призвести до викочування за межі злітної смуги або втрати керування .
• Покази приладів пілотів: Пристрій може підробляти результати, які бачать пілоти, так що вони не помічають жодних змін, що потенційно може змусити їх ухвалювати небезпечні рішення .

Реакція Boeing

Дослідники вперше повідомили Boeing про цю вразливість у 2020 році, а згодом підтвердили свої висновки на тестовому об'єкті Boeing . Boeing підтвердив, що провів огляд конструкції та інтерфейсів своїх компонентів, і повідомив WIRED, що "рівні захисту, наявні на літаку, включаючи системну архітектуру та операційне середовище, забезпечують достатнє пом'якшення для значного обмеження можливості та ризику реальних атак" . Дослідники кажуть, що Boeing не повідомив їм про жодні технічні виправлення. Вони припускають, що компанія може не впроваджувати оновлення роками, враховуючи, як рідко комерційні літаки зазнають перепроектування .

Рекомендації дослідників

• Фізичне посилення: Найпростіше рішення — залити технічний порт епоксидною смолою або повністю його видалити .
• Покращена операційна безпека: Дослідники наполягають на посиленні контролю доступу до літаків на землі, оскільки атака потребує короткочасного фізичного доступу до зовнішнього люка .
• Перепроектування систем у довгостроковій перспективі: Оскільки шина ARINC 429 не має автентифікації, дослідники пропонують, щоб майбутні авіонічні шини включали функції безпеки, такі як автентифікація повідомлень, для запобігання підробці .

Дослідники зазначають, що хоча атака є серйозною і демонструє значну прогалину в кібербезпеці авіації, вона не вимагає приземлення літаків або паніки — всі автори заявляють, що "регулярно літають на Boeing 737 і мають намір продовжувати це робити" .

Як працює атака "Bus Driver"

Пристрій фізично підключається до технічного порту у відсіку електроніки та обладнання (Electronics and Equipment bay), який розташований під носом літака та доступний із землі через незамкнений люк. За оцінками дослідників, на отримання доступу та підключення пристрою потрібно менше 60 секунд .

Цей порт передає дані між польотним керуючим комп'ютером (Flight Management Computer, FMC) та багатофункціональним пультом пілота (Multi-purpose Control Display Unit, MCDU) через дві шини ARINC 429 — стандарт дротового зв'язку, який датується 1977 роком і не має автентифікації повідомлень або шифрування .

Імплант діє як "водій шини" (bus driver), подаючи більший струм на шину, ніж легітимні комп'ютери, що дозволяє йому перезаписувати будь-які передачі та вставляти власні підроблені команди. Він також може придушувати на дисплеї пілота будь-які індикації про внесені зміни .

Що може змінити пристрій

• Маршрут і шлях автопілота: Імплант може перенаправити літак у польоті, включно з відхиленням до повітряного простору іншої країни або зміною навігації всього на кілька градусів .
• Злітні параметри: Пристрій може змінювати дані про масу літака, балансування, центр ваги та температуру зовнішнього повітря — всі ці показники використовуються для розрахунку безпечних швидкостей зльоту. Неправильні значення можуть призвести до викочування за межі злітної смуги або втрати керування .
• Покази приладів пілотів: Пристрій може підробляти результати, які бачать пілоти, так що вони не помічають жодних змін, що потенційно може змусити їх ухвалювати небезпечні рішення .

Реакція Boeing

Дослідники вперше повідомили Boeing про цю вразливість у 2020 році, а згодом підтвердили свої висновки на тестовому об'єкті Boeing . Boeing підтвердив, що провів огляд конструкції та інтерфейсів своїх компонентів, і повідомив WIRED, що "рівні захисту, наявні на літаку, включаючи системну архітектуру та операційне середовище, забезпечують достатнє пом'якшення для значного обмеження можливості та ризику реальних атак" . Дослідники кажуть, що Boeing не повідомив їм про жодні технічні виправлення. Вони припускають, що компанія може не впроваджувати оновлення роками, враховуючи, як рідко комерційні літаки зазнають перепроектування .

Рекомендації дослідників

• Фізичне посилення: Найпростіше рішення — залити технічний порт епоксидною смолою або повністю його видалити .
• Покращена операційна безпека: Дослідники наполягають на посиленні контролю доступу до літаків на землі, оскільки атака потребує короткочасного фізичного доступу до зовнішнього люка .
• Перепроектування систем у довгостроковій перспективі: Оскільки шина ARINC 429 не має автентифікації, дослідники пропонують, щоб майбутні авіонічні шини включали функції безпеки, такі як автентифікація повідомлень, для запобігання підробці .

Дослідники зазначають, що хоча атака є серйозною і демонструє значну прогалину в кібербезпеці авіації, вона не вимагає приземлення літаків або паніки — всі автори заявляють, що "регулярно літають на Boeing 737 і мають намір продовжувати це робити" .