「匯流排驅動者」（Bus Driver）攻擊如何運作

這個裝置需要實際插入飛機電子與設備艙內的維修埠，該艙部位於機鼻下方，可從地面透過一個未上鎖的艙門進入。研究人員估計，從打開艙門到連接裝置，整個過程不到60秒 。

該維修埠負責在飛行管理電腦（FMC）與駕駛艙內的多功能控制顯示單元（MCDU）之間，透過兩條ARINC 429匯流排傳輸數據。ARINC 429是一種始於1977年的有線通訊標準，本身缺乏訊息驗證或加密機制 。

這個植入裝置扮演「匯流排驅動者」的角色，它能在匯流排上驅動比合法電腦更強的電流，從而覆蓋所有傳輸訊號，並注入其偽造的指令。它甚至能壓制飛行員顯示螢幕上的變更提示，讓飛行員渾然不覺 。

此裝置能篡改的項目

• 自動駕駛航點與飛行路徑：植入裝置能在飛行途中重新設定飛機航線，包括將其引導至不同國家的領空，或僅改變幾度的導航方向 。
• 起飛變數：它能修改飛機重量、平衡、重心以及外部氣溫等數據，這些都是計算安全起飛速度的關鍵參數。錯誤的數值可能導致飛機衝出跑道或失控 。
• 飛行員顯示螢幕：該裝置可以偽造顯示給飛行員的結果，使他們看不到任何異常跡象，進而可能誘騙飛行員做出危險的決定 。

波音公司的回應

研究人員最早於2020年將此漏洞通報給波音公司，並隨後在波音的測試設施中驗證了他們的發現 。波音公司確認已對其零件的設計與介面進行了審查，並向《WIRED》雜誌表示：「飛機上的多層保護措施，包括系統設計與操作環境，提供了足夠的緩解措施，能大幅限制真實世界攻擊的可行性與風險。」 但研究人員表示，波音並未告知他們有任何技術修復。他們推測，考量到商用飛機重新設計的頻率極低，波音可能數年內都不會實施更新 。

研究人員建議的緩解措施

• 物理加固：最簡單的修復方法是用環氧樹脂封死該維修埠，或直接將其移除 。
• 加強作業安全：研究人員主張應加強飛機在地面時的進出管制，因為此攻擊需要短暫的物理接觸 。
• 長期系統重新設計：由於ARINC 429匯流排缺乏驗證機制，研究人員建議未來的航電匯流排應加入訊息驗證等安全功能，以防止偽造攻擊 。

研究人員強調，雖然此攻擊非常嚴重，並顯示了航空網路安全中的一個重大盲點，但這並不構成停飛飛機或引發公眾恐慌的理由——所有作者都表示他們「經常搭乘波音737飛機，並預計會繼續這麼做」。

「匯流排驅動者」（Bus Driver）攻擊如何運作

這個裝置需要實際插入飛機電子與設備艙內的維修埠，該艙部位於機鼻下方，可從地面透過一個未上鎖的艙門進入。研究人員估計，從打開艙門到連接裝置，整個過程不到60秒 。

該維修埠負責在飛行管理電腦（FMC）與駕駛艙內的多功能控制顯示單元（MCDU）之間，透過兩條ARINC 429匯流排傳輸數據。ARINC 429是一種始於1977年的有線通訊標準，本身缺乏訊息驗證或加密機制 。

這個植入裝置扮演「匯流排驅動者」的角色，它能在匯流排上驅動比合法電腦更強的電流，從而覆蓋所有傳輸訊號，並注入其偽造的指令。它甚至能壓制飛行員顯示螢幕上的變更提示，讓飛行員渾然不覺 。

此裝置能篡改的項目

• 自動駕駛航點與飛行路徑：植入裝置能在飛行途中重新設定飛機航線，包括將其引導至不同國家的領空，或僅改變幾度的導航方向 。
• 起飛變數：它能修改飛機重量、平衡、重心以及外部氣溫等數據，這些都是計算安全起飛速度的關鍵參數。錯誤的數值可能導致飛機衝出跑道或失控 。
• 飛行員顯示螢幕：該裝置可以偽造顯示給飛行員的結果，使他們看不到任何異常跡象，進而可能誘騙飛行員做出危險的決定 。

波音公司的回應

研究人員最早於2020年將此漏洞通報給波音公司，並隨後在波音的測試設施中驗證了他們的發現 。波音公司確認已對其零件的設計與介面進行了審查，並向《WIRED》雜誌表示：「飛機上的多層保護措施，包括系統設計與操作環境，提供了足夠的緩解措施，能大幅限制真實世界攻擊的可行性與風險。」 但研究人員表示，波音並未告知他們有任何技術修復。他們推測，考量到商用飛機重新設計的頻率極低，波音可能數年內都不會實施更新 。

研究人員建議的緩解措施

• 物理加固：最簡單的修復方法是用環氧樹脂封死該維修埠，或直接將其移除 。
• 加強作業安全：研究人員主張應加強飛機在地面時的進出管制，因為此攻擊需要短暫的物理接觸 。
• 長期系統重新設計：由於ARINC 429匯流排缺乏驗證機制，研究人員建議未來的航電匯流排應加入訊息驗證等安全功能，以防止偽造攻擊 。

研究人員強調，雖然此攻擊非常嚴重，並顯示了航空網路安全中的一個重大盲點，但這並不構成停飛飛機或引發公眾恐慌的理由——所有作者都表示他們「經常搭乘波音737飛機，並預計會繼續這麼做」。