攻击原理：物理访问与植入

攻击者首先打开飞机外部一个未上锁的舱门——电子设备舱（E&E舱），这一过程大约需要15秒，无需任何特殊工具。舱内有一个地勤人员用于测试和诊断航电设备的维护端口，该端口通过ARINC 429总线直接连接至飞行管理计算机（FMC）和驾驶舱内的多功能控制显示单元（MCDU）。

研究者自制的设备大小与一枚硬币相当（略大于美国25美分硬币），插入该端口后完全隐藏在原有的防尘盖下，日常检查中极难被发现。整个安装过程不超过60秒。

连接后，该设备采用研究者称为“Bus Driver”的技术——通过发送电流更强的信号来覆盖并替换FMC与MCDU之间传输的真实指令。由于ARINC 429协议没有加密或认证机制，该设备能够拦截、修改和注入消息而不被察觉。该设备还内置Wi-Fi模块，攻击者可通过飞机的机上Wi-Fi网络远程控制它。

设备可执行的具体操纵

“Bus Driver”设备可使攻击者获得对飞机航电系统的多种控制能力：

• 篡改自动驾驶航点：设备可以对飞行计划中的航点进行微小、渐进式的修改。随着时间的推移，这些隐蔽的修改能逐渐使飞机偏离预定航线，且不会触发飞行员警报。
• 更改起飞变量：设备可以修改FMC用于计算起飞性能的关键输入数据，例如飞机重量和外部气温。如果FMC记录到比实际更低的重量或更高的温度，计算出的推力可能不足以让飞机安全起飞。
• 伪造飞行员显示界面：设备同时破坏驾驶舱仪表上显示的数据，从而隐藏上述修改。飞行员看到的是虚假但看似合理的数值，使得攻击难以被发现。

潜在后果

研究者警告，这些能力可能导致严重后果：

• 起飞时因篡改的重量/温度数据导致冲出跑道。
• 飞机被劫持至外国或受限空域。
• 在最坏情况下可能导致灾难性坠毁。

波音的回应与时间线

波音表示“对飞机上现有的多重防护层（包括系统设计和运行环境）有信心，这些防护足以大幅限制实际攻击的可行性与风险”。然而，研究者指出，波音早在约2020年（六年前）就已知晓该研究的部分内容，但迄今未披露任何针对该漏洞的具体技术修复方案。

建议的缓解措施

研究者提出了短期物理修复和长期工程解决方案：

短期物理修复

• 用环氧树脂填充外部维护端口以阻止物理接触。
• 直接从飞机上移除该连接器。

长期软件/硬件修复

• 实施基于软件的检测机制，识别航电总线上的异常信号。
• 为ARINC 429通信增加加密认证，防止消息伪造。

尽管演示的攻击严重性很高，但研究者强调他们自己仍会乘坐波音737飞行。他们并不要求停飞相关机型，而是呼吁行业进行长期规划，以解决此类物理接触式航电攻击带来的安全挑战。

攻击原理：物理访问与植入

攻击者首先打开飞机外部一个未上锁的舱门——电子设备舱（E&E舱），这一过程大约需要15秒，无需任何特殊工具。舱内有一个地勤人员用于测试和诊断航电设备的维护端口，该端口通过ARINC 429总线直接连接至飞行管理计算机（FMC）和驾驶舱内的多功能控制显示单元（MCDU）。

研究者自制的设备大小与一枚硬币相当（略大于美国25美分硬币），插入该端口后完全隐藏在原有的防尘盖下，日常检查中极难被发现。整个安装过程不超过60秒。

连接后，该设备采用研究者称为“Bus Driver”的技术——通过发送电流更强的信号来覆盖并替换FMC与MCDU之间传输的真实指令。由于ARINC 429协议没有加密或认证机制，该设备能够拦截、修改和注入消息而不被察觉。该设备还内置Wi-Fi模块，攻击者可通过飞机的机上Wi-Fi网络远程控制它。

设备可执行的具体操纵

“Bus Driver”设备可使攻击者获得对飞机航电系统的多种控制能力：

• 篡改自动驾驶航点：设备可以对飞行计划中的航点进行微小、渐进式的修改。随着时间的推移，这些隐蔽的修改能逐渐使飞机偏离预定航线，且不会触发飞行员警报。
• 更改起飞变量：设备可以修改FMC用于计算起飞性能的关键输入数据，例如飞机重量和外部气温。如果FMC记录到比实际更低的重量或更高的温度，计算出的推力可能不足以让飞机安全起飞。
• 伪造飞行员显示界面：设备同时破坏驾驶舱仪表上显示的数据，从而隐藏上述修改。飞行员看到的是虚假但看似合理的数值，使得攻击难以被发现。

潜在后果

研究者警告，这些能力可能导致严重后果：

• 起飞时因篡改的重量/温度数据导致冲出跑道。
• 飞机被劫持至外国或受限空域。
• 在最坏情况下可能导致灾难性坠毁。

波音的回应与时间线

波音表示“对飞机上现有的多重防护层（包括系统设计和运行环境）有信心，这些防护足以大幅限制实际攻击的可行性与风险”。然而，研究者指出，波音早在约2020年（六年前）就已知晓该研究的部分内容，但迄今未披露任何针对该漏洞的具体技术修复方案。

建议的缓解措施

研究者提出了短期物理修复和长期工程解决方案：

短期物理修复

• 用环氧树脂填充外部维护端口以阻止物理接触。
• 直接从飞机上移除该连接器。

长期软件/硬件修复

• 实施基于软件的检测机制，识别航电总线上的异常信号。
• 为ARINC 429通信增加加密认证，防止消息伪造。

尽管演示的攻击严重性很高，但研究者强调他们自己仍会乘坐波音737飞行。他们并不要求停飞相关机型，而是呼吁行业进行长期规划，以解决此类物理接触式航电攻击带来的安全挑战。