Cách thức hoạt động của cuộc tấn công: Tiếp cận vật lý và cấy ghép

Kẻ tấn công bắt đầu bằng cách mở một cửa hầm không khóa ở bên ngoài máy bay—khoang Điện tử và Thiết bị (E&E)—trong khoảng 15 giây mà không cần dụng cụ đặc biệt . Bên trong, có một cổng bảo trì chẩn đoán mà nhân viên kỹ thuật mặt đất sử dụng để kiểm tra và khắc phục sự cố hệ thống điện tử hàng không. Cổng này được kết nối trực tiếp với Máy tính Quản lý Chuyến bay (FMC) và Bộ Hiển thị và Điều khiển Đa năng (MCDU) trong buồng lái thông qua bus ARINC 429 .

Thiết bị tùy chỉnh của các nhà nghiên cứu, có kích thước gần bằng một đồng xu (lớn hơn một chút so với đồng quarter của Mỹ), được cắm vào cổng này và nằm gọn hoàn toàn bên dưới nắp chống bụi hiện có, khiến nó trở nên vô hình khi kiểm tra thông thường. Tổng thời gian cài đặt chưa đầy 60 giây .

Sau khi được kết nối, thiết bị sử dụng một kỹ thuật mà các nhà nghiên cứu gọi là 'Bus Driver'—gửi các tín hiệu có dòng điện cao hơn để ghi đè và thay thế các lệnh thật được truyền giữa FMC và MCDU. Vì giao thức ARINC 429 không có mã hóa hoặc xác thực, thiết bị có thể chặn, sửa đổi và gửi các thông điệp mà không bị phát hiện . Thiết bị cũng bao gồm một mô-đun Wi-Fi, cho phép kẻ tấn công điều khiển nó từ xa thông qua mạng Wi-Fi trên máy bay .

Các thao tác cụ thể mà thiết bị có thể thực hiện

Thiết bị 'Bus Driver' cho phép kẻ tấn công kiểm soát hệ thống điện tử hàng không của máy bay theo nhiều cách:

• Thay đổi điểm đường bay của chế độ lái tự động: Thiết bị có thể thực hiện các thay đổi nhỏ, tăng dần đối với các điểm đường bay trong kế hoạch bay. Theo thời gian, những sửa đổi lén lút này có thể dần dần chuyển hướng máy bay khỏi lộ trình dự kiến mà không kích hoạt cảnh báo cho phi công .
• Thay đổi các thông số cất cánh: Thiết bị có thể sửa đổi các đầu vào quan trọng được FMC sử dụng để tính toán hiệu suất cất cánh, chẳng hạn như trọng lượng máy bay và nhiệt độ không khí bên ngoài. Nếu FMC đăng ký trọng lượng thấp hơn hoặc nhiệt độ cao hơn thực tế, nó có thể tính toán lực đẩy không đủ để cất cánh an toàn .
• Giả mạo màn hình của phi công: Thiết bị đồng thời làm hỏng dữ liệu hiển thị trên các thiết bị trong buồng lái, che giấu các sửa đổi. Phi công nhìn thấy các giá trị sai nhưng có vẻ hợp lý, khiến việc phát hiện cuộc tấn công trở nên khó khăn .

Hậu quả tiềm tàng

Các nhà nghiên cứu cảnh báo rằng những khả năng này có thể dẫn đến các hậu quả nghiêm trọng:

• Trượt đường băng khi cất cánh do các giá trị trọng lượng/nhiệt độ bị giả mạo .
• Chuyển hướng máy bay vào không phận nước ngoài hoặc khu vực cấm bay .
• Tai nạn thảm khốc trong các kịch bản xấu nhất .

Phản ứng của Boeing và mốc thời gian

Boeing tuyên bố họ 'tin tưởng rằng các lớp bảo vệ được trang bị trên máy bay, bao gồm trong thiết kế hệ thống và môi trường vận hành, cung cấp biện pháp giảm thiểu đầy đủ để hạn chế đáng kể khả năng và rủi ro của các cuộc tấn công trong thế giới thực' . Tuy nhiên, các nhà nghiên cứu cho biết Boeing đã được thông báo về các yếu tố của nghiên cứu này hơn sáu năm trước, vào khoảng năm 2020, và chưa công bố bất kỳ biện pháp khắc phục kỹ thuật cụ thể nào để giải quyết lỗ hổng này .

Các biện pháp giảm thiểu được đề xuất

Các nhà nghiên cứu đề xuất cả các biện pháp khắc phục vật lý ngắn hạn và các giải pháp kỹ thuật dài hạn:

Các biện pháp khắc phục vật lý ngắn hạn

• Đổ đầy epoxy vào cổng bảo trì bên ngoài để chặn truy cập vật lý .
• Loại bỏ hoàn toàn đầu nối khỏi máy bay .

Các biện pháp khắc phục phần mềm/phần cứng dài hạn

• Triển khai phát hiện dựa trên phần mềm để xác định các tín hiệu bất thường trên bus điện tử hàng không .
• Thêm xác thực mã hóa vào các giao tiếp ARINC 429 để ngăn chặn việc giả mạo thông điệp .

Bất chấp mức độ nghiêm trọng của cuộc trình diễn, các nhà nghiên cứu nhấn mạnh rằng bản thân họ vẫn tiếp tục bay trên các máy bay Boeing 737. Họ không kêu gọi tạm dừng khai thác mà thay vào đó ủng hộ việc lập kế hoạch dài hạn của ngành để giải quyết loại tấn công này vào hệ thống điện tử hàng không thông qua truy cập vật lý .

Cách thức hoạt động của cuộc tấn công: Tiếp cận vật lý và cấy ghép

Kẻ tấn công bắt đầu bằng cách mở một cửa hầm không khóa ở bên ngoài máy bay—khoang Điện tử và Thiết bị (E&E)—trong khoảng 15 giây mà không cần dụng cụ đặc biệt . Bên trong, có một cổng bảo trì chẩn đoán mà nhân viên kỹ thuật mặt đất sử dụng để kiểm tra và khắc phục sự cố hệ thống điện tử hàng không. Cổng này được kết nối trực tiếp với Máy tính Quản lý Chuyến bay (FMC) và Bộ Hiển thị và Điều khiển Đa năng (MCDU) trong buồng lái thông qua bus ARINC 429 .

Thiết bị tùy chỉnh của các nhà nghiên cứu, có kích thước gần bằng một đồng xu (lớn hơn một chút so với đồng quarter của Mỹ), được cắm vào cổng này và nằm gọn hoàn toàn bên dưới nắp chống bụi hiện có, khiến nó trở nên vô hình khi kiểm tra thông thường. Tổng thời gian cài đặt chưa đầy 60 giây .

Sau khi được kết nối, thiết bị sử dụng một kỹ thuật mà các nhà nghiên cứu gọi là 'Bus Driver'—gửi các tín hiệu có dòng điện cao hơn để ghi đè và thay thế các lệnh thật được truyền giữa FMC và MCDU. Vì giao thức ARINC 429 không có mã hóa hoặc xác thực, thiết bị có thể chặn, sửa đổi và gửi các thông điệp mà không bị phát hiện . Thiết bị cũng bao gồm một mô-đun Wi-Fi, cho phép kẻ tấn công điều khiển nó từ xa thông qua mạng Wi-Fi trên máy bay .

Các thao tác cụ thể mà thiết bị có thể thực hiện

Thiết bị 'Bus Driver' cho phép kẻ tấn công kiểm soát hệ thống điện tử hàng không của máy bay theo nhiều cách:

• Thay đổi điểm đường bay của chế độ lái tự động: Thiết bị có thể thực hiện các thay đổi nhỏ, tăng dần đối với các điểm đường bay trong kế hoạch bay. Theo thời gian, những sửa đổi lén lút này có thể dần dần chuyển hướng máy bay khỏi lộ trình dự kiến mà không kích hoạt cảnh báo cho phi công .
• Thay đổi các thông số cất cánh: Thiết bị có thể sửa đổi các đầu vào quan trọng được FMC sử dụng để tính toán hiệu suất cất cánh, chẳng hạn như trọng lượng máy bay và nhiệt độ không khí bên ngoài. Nếu FMC đăng ký trọng lượng thấp hơn hoặc nhiệt độ cao hơn thực tế, nó có thể tính toán lực đẩy không đủ để cất cánh an toàn .
• Giả mạo màn hình của phi công: Thiết bị đồng thời làm hỏng dữ liệu hiển thị trên các thiết bị trong buồng lái, che giấu các sửa đổi. Phi công nhìn thấy các giá trị sai nhưng có vẻ hợp lý, khiến việc phát hiện cuộc tấn công trở nên khó khăn .

Hậu quả tiềm tàng

Các nhà nghiên cứu cảnh báo rằng những khả năng này có thể dẫn đến các hậu quả nghiêm trọng:

• Trượt đường băng khi cất cánh do các giá trị trọng lượng/nhiệt độ bị giả mạo .
• Chuyển hướng máy bay vào không phận nước ngoài hoặc khu vực cấm bay .
• Tai nạn thảm khốc trong các kịch bản xấu nhất .

Phản ứng của Boeing và mốc thời gian

Boeing tuyên bố họ 'tin tưởng rằng các lớp bảo vệ được trang bị trên máy bay, bao gồm trong thiết kế hệ thống và môi trường vận hành, cung cấp biện pháp giảm thiểu đầy đủ để hạn chế đáng kể khả năng và rủi ro của các cuộc tấn công trong thế giới thực' . Tuy nhiên, các nhà nghiên cứu cho biết Boeing đã được thông báo về các yếu tố của nghiên cứu này hơn sáu năm trước, vào khoảng năm 2020, và chưa công bố bất kỳ biện pháp khắc phục kỹ thuật cụ thể nào để giải quyết lỗ hổng này .

Các biện pháp giảm thiểu được đề xuất

Các nhà nghiên cứu đề xuất cả các biện pháp khắc phục vật lý ngắn hạn và các giải pháp kỹ thuật dài hạn:

Các biện pháp khắc phục vật lý ngắn hạn

• Đổ đầy epoxy vào cổng bảo trì bên ngoài để chặn truy cập vật lý .
• Loại bỏ hoàn toàn đầu nối khỏi máy bay .

Các biện pháp khắc phục phần mềm/phần cứng dài hạn

• Triển khai phát hiện dựa trên phần mềm để xác định các tín hiệu bất thường trên bus điện tử hàng không .
• Thêm xác thực mã hóa vào các giao tiếp ARINC 429 để ngăn chặn việc giả mạo thông điệp .

Bất chấp mức độ nghiêm trọng của cuộc trình diễn, các nhà nghiên cứu nhấn mạnh rằng bản thân họ vẫn tiếp tục bay trên các máy bay Boeing 737. Họ không kêu gọi tạm dừng khai thác mà thay vào đó ủng hộ việc lập kế hoạch dài hạn của ngành để giải quyết loại tấn công này vào hệ thống điện tử hàng không thông qua truy cập vật lý .