Cách thức tấn công "Bus Driver" hoạt động

Thiết bị được cắm vật lý vào một cổng bảo trì trong khoang Điện tử và Thiết bị (Electronics and Equipment bay) của máy bay, nằm ở phía dưới mũi và có thể tiếp cận từ mặt đất thông qua một cửa hầm không khóa. Các nhà nghiên cứu ước tính chỉ mất chưa đầy 60 giây để tiếp cận và kết nối thiết bị .

Cổng này truyền dữ liệu giữa Máy tính Quản lý Chuyến bay (FMC) và Bộ điều khiển Hiển thị Đa năng (MCDU) của phi công qua hai bus ARINC 429 — một chuẩn giao tiếp có dây có từ năm 1977, không có cơ chế xác thực hoặc mã hóa tin nhắn .

Thiết bị cấy ghép hoạt động như một "tài xế bus" (bus driver) bằng cách truyền dòng điện mạnh hơn trên bus so với các máy tính hợp pháp, cho phép nó ghi đè mọi đường truyền và chèn các lệnh giả mạo của riêng mình. Nó cũng có thể ngăn chặn các dấu hiệu trên màn hình của phi công cho thấy đã có sự thay đổi .

Những gì thiết bị có thể can thiệp

• Điểm đến đường bay và lộ trình của hệ thống lái tự động: Thiết bị có thể thay đổi lộ trình của máy bay đang bay, bao gồm chuyển hướng đến không phận của một quốc gia khác hoặc thay đổi điều hướng chỉ vài độ .
• Các thông số cất cánh: Nó có thể sửa đổi dữ liệu về trọng lượng máy bay, sự cân bằng, trọng tâm và nhiệt độ không khí bên ngoài — tất cả đều được dùng để tính toán tốc độ cất cánh an toàn. Các giá trị sai lệch có thể dẫn đến trượt khỏi đường băng hoặc mất kiểm soát .
• Màn hình phi công: Thiết bị có thể giả mạo kết quả hiển thị cho phi công để họ không thấy bất kỳ dấu hiệu thay đổi nào, có khả năng đánh lừa họ đưa ra các quyết định nguy hiểm .

Phản hồi của Boeing

Các nhà nghiên cứu đã tiết lộ lỗ hổng này cho Boeing lần đầu tiên vào năm 2020 và sau đó xác thực phát hiện của họ trong một cơ sở thử nghiệm của Boeing . Boeing xác nhận đã tiến hành đánh giá thiết kế và giao diện của các thành phần, đồng thời nói với WIRED rằng "các lớp bảo vệ hiện có trên máy bay, bao gồm trong thiết kế hệ thống và môi trường vận hành, cung cấp biện pháp giảm thiểu đầy đủ để hạn chế đáng kể khả năng xảy ra và rủi ro của các cuộc tấn công trong thực tế" . Các nhà nghiên cứu cho biết Boeing chưa thông báo với họ về bất kỳ giải pháp kỹ thuật nào. Họ suy đoán rằng công ty có thể sẽ không triển khai bản cập nhật trong nhiều năm, vì máy bay thương mại hiếm khi được thiết kế lại .

Các biện pháp giảm thiểu được các nhà nghiên cứu khuyến nghị

• Tăng cường bảo vệ vật lý: Giải pháp đơn giản nhất là bịt kín cổng bảo trì bằng epoxy hoặc loại bỏ nó hoàn toàn .
• Cải thiện an ninh hoạt động: Các nhà nghiên cứu cho rằng cần kiểm soát chặt chẽ hơn việc tiếp cận máy bay trên mặt đất, vì cuộc tấn công đòi hỏi tiếp cận vật lý ngắn hạn với cửa hầm bên ngoài của máy bay .
• Thiết kế lại hệ thống dài hạn: Vì bus ARINC 429 thiếu xác thực, các nhà nghiên cứu đề xuất rằng các bus hàng không trong tương lai nên bao gồm các tính năng bảo mật như xác thực tin nhắn để ngăn chặn giả mạo .

Các nhà nghiên cứu lưu ý rằng mặc dù cuộc tấn công là nghiêm trọng và cho thấy một điểm mù đáng kể trong an ninh mạng hàng không, nhưng nó không đòi hỏi phải đình chỉ bay máy bay hoặc gây hoảng loạn công chúng — tất cả các tác giả đều tuyên bố rằng họ "thường xuyên đi trên máy bay Boeing 737 và dự định sẽ tiếp tục làm như vậy" .

Cách thức tấn công "Bus Driver" hoạt động

Thiết bị được cắm vật lý vào một cổng bảo trì trong khoang Điện tử và Thiết bị (Electronics and Equipment bay) của máy bay, nằm ở phía dưới mũi và có thể tiếp cận từ mặt đất thông qua một cửa hầm không khóa. Các nhà nghiên cứu ước tính chỉ mất chưa đầy 60 giây để tiếp cận và kết nối thiết bị .

Cổng này truyền dữ liệu giữa Máy tính Quản lý Chuyến bay (FMC) và Bộ điều khiển Hiển thị Đa năng (MCDU) của phi công qua hai bus ARINC 429 — một chuẩn giao tiếp có dây có từ năm 1977, không có cơ chế xác thực hoặc mã hóa tin nhắn .

Thiết bị cấy ghép hoạt động như một "tài xế bus" (bus driver) bằng cách truyền dòng điện mạnh hơn trên bus so với các máy tính hợp pháp, cho phép nó ghi đè mọi đường truyền và chèn các lệnh giả mạo của riêng mình. Nó cũng có thể ngăn chặn các dấu hiệu trên màn hình của phi công cho thấy đã có sự thay đổi .

Những gì thiết bị có thể can thiệp

• Điểm đến đường bay và lộ trình của hệ thống lái tự động: Thiết bị có thể thay đổi lộ trình của máy bay đang bay, bao gồm chuyển hướng đến không phận của một quốc gia khác hoặc thay đổi điều hướng chỉ vài độ .
• Các thông số cất cánh: Nó có thể sửa đổi dữ liệu về trọng lượng máy bay, sự cân bằng, trọng tâm và nhiệt độ không khí bên ngoài — tất cả đều được dùng để tính toán tốc độ cất cánh an toàn. Các giá trị sai lệch có thể dẫn đến trượt khỏi đường băng hoặc mất kiểm soát .
• Màn hình phi công: Thiết bị có thể giả mạo kết quả hiển thị cho phi công để họ không thấy bất kỳ dấu hiệu thay đổi nào, có khả năng đánh lừa họ đưa ra các quyết định nguy hiểm .

Phản hồi của Boeing

Các nhà nghiên cứu đã tiết lộ lỗ hổng này cho Boeing lần đầu tiên vào năm 2020 và sau đó xác thực phát hiện của họ trong một cơ sở thử nghiệm của Boeing . Boeing xác nhận đã tiến hành đánh giá thiết kế và giao diện của các thành phần, đồng thời nói với WIRED rằng "các lớp bảo vệ hiện có trên máy bay, bao gồm trong thiết kế hệ thống và môi trường vận hành, cung cấp biện pháp giảm thiểu đầy đủ để hạn chế đáng kể khả năng xảy ra và rủi ro của các cuộc tấn công trong thực tế" . Các nhà nghiên cứu cho biết Boeing chưa thông báo với họ về bất kỳ giải pháp kỹ thuật nào. Họ suy đoán rằng công ty có thể sẽ không triển khai bản cập nhật trong nhiều năm, vì máy bay thương mại hiếm khi được thiết kế lại .

Các biện pháp giảm thiểu được các nhà nghiên cứu khuyến nghị

• Tăng cường bảo vệ vật lý: Giải pháp đơn giản nhất là bịt kín cổng bảo trì bằng epoxy hoặc loại bỏ nó hoàn toàn .
• Cải thiện an ninh hoạt động: Các nhà nghiên cứu cho rằng cần kiểm soát chặt chẽ hơn việc tiếp cận máy bay trên mặt đất, vì cuộc tấn công đòi hỏi tiếp cận vật lý ngắn hạn với cửa hầm bên ngoài của máy bay .
• Thiết kế lại hệ thống dài hạn: Vì bus ARINC 429 thiếu xác thực, các nhà nghiên cứu đề xuất rằng các bus hàng không trong tương lai nên bao gồm các tính năng bảo mật như xác thực tin nhắn để ngăn chặn giả mạo .

Các nhà nghiên cứu lưu ý rằng mặc dù cuộc tấn công là nghiêm trọng và cho thấy một điểm mù đáng kể trong an ninh mạng hàng không, nhưng nó không đòi hỏi phải đình chỉ bay máy bay hoặc gây hoảng loạn công chúng — tất cả các tác giả đều tuyên bố rằng họ "thường xuyên đi trên máy bay Boeing 737 và dự định sẽ tiếp tục làm như vậy" .