Ο αυτόματος πιλότος του Boeing 737 μπορεί να παραβιαστεί με μια συσκευή στο μέγεθος νομίσματος

Το αεροσκάφος μπορεί να δεχθεί επίθεση όχι μέσω του διαδικτύου και όχι μέσω του υπολογιστή του πιλότου. Ερευνητές εντόπισαν έναν πολύ πιο ungewöhnιστο τρόπο: μια μικροσκοπική ηλεκτρονική συσκευή, εγκατεστημένη physically στο αεροσκάφος, μπορεί να παρεμβαίνει στην ανταλλαγή δεδομένων μεταξύ των αεροπορικών συστημάτων. Σε ορισμένα σενάρια, αυτό επιτρέπει την αλλαγή εντολών προς τον αυτόματο πιλότο και, ταυτόχρονα, την παραποίηση των πληροφοριών που εμφανίζονται στο πλήρωμα.

Την έρευνα παρουσίασε ομάδα ειδικών από το Πανεπιστήμιο της Καλιφόρνιας στο Σαν Ντιέγκο και το Oberlin College. Η εργασία αποτέλεσε αποτέλεσμα μελέτης διάρκειας άνω των δέκα ετών σχετικά με την ασφάλεια των αεροπορικών ηλεκτρονικών συστημάτων. Για τα πειράματα, οι ερευνητές κατασκεύασαν ειδική διάταξη από πραγματικά εξαρτήματα αεροηλεκτρονικών συστημάτων του Boeing 737, τα οποία αγόρασαν από τη δευτερογενή αγορά.

Το πιο επικίνδυνο στοιχείο εδώ δεν είναι το μέγεθος της συσκευής

Με την πρώτη ματιά, η ιστορία μοιάζει βγαλμένη από επιστημονική φαντασία: μια συσκευή περίπου στο μέγεθος νομίσματος συνδέεται με το αεροσκάφος και στη συνέχεια αποκτά τη δυνατότητα να παρεμβαίνει στη λειτουργία των ηλεκτρονικών συστημάτων του.

Ωστόσο, η αρχή της επίθεσης είναι αρκετά πεζή. Οι ερευνητές διαπίστωσαν ότι ορισμένοι εσωτερικοί δίαυλοι ανταλλαγής δεδομένων του 737 διαθέτουν φυσικές θύρες που προορίζονται για συντήρηση και διαγνωστικούς ελέγχους. Μία από αυτές τις διεπαφές συνδέεται με συστήματα που συμμετέχουν στη λειτουργία του Flight Management Computer — του υπολογιστικού συστήματος που είναι υπεύθυνο, μεταξύ άλλων, για τη διαχείριση της διαδρομής, — και με την οθόνη ελέγχου πτήσης.

Το βασικό πρόβλημα βρίσκεται στην αρχιτεκτονική: τα εσωτερικά συστήματα του αεροσκάφους πρέπει να ανταλλάσσουν συνεχώς δεδομένα μεταξύ τους και δεν σχεδιάστηκε εξαρχής κάθε τέτοιο κανάλι με βάση το σενάριο κατά το οποίο ένας επιτιθέμενος συνδέει physically σε αυτό μια ειδικά κατασκευασμένη συσκευή.

Οι ερευνητές ονόμασαν την τεχνική που ανέπτυξαν Bus Driver. Σε γενικές γραμμές, επιτρέπει στη συσκευή όχι μόνο να παρακολουθεί τα δεδομένα στον δίαυλο, αλλά και να παρεμβαίνει στη μετάδοσή τους και να αντικαθιστά νόμιμες εντολές. Ο επιτιθέμενος δεν χρειάζεται, μάλιστα, να κόψει physically τα καλώδια ή να εγκαταστήσει μια περίπλοκη ενδιάμεση μονάδα: αρκεί να αποκτήσει πρόσβαση στην κατάλληλη διεπαφή.

Τι ακριβώς μπορεί να αλλάξει

Το πιο σοβαρό μέρος του πειράματος συνδέεται με την πλοήγηση.

Οι ερευνητές έδειξαν ότι, με τέτοια πρόσβαση, είναι δυνατό να επηρεαστούν τα δεδομένα που ανταλλάσσουν τα συστήματα τα οποία συνδέονται με τη διαχείριση της διαδρομής. Συγκεκριμένα, υπάρχει η δυνατότητα αλλαγής των καθορισμένων σημείων της διαδρομής, με αποτέλεσμα ο αυτόματος πιλότος να μπορεί δυνητικά να αρχίσει να ακολουθεί τροποποιημένες οδηγίες.

Ακόμη πιο ενδιαφέρουσα, όμως, είναι μια άλλη δυνατότητα — η παραποίηση των πληροφοριών που βλέπει το πλήρωμα.

Στο πείραμα, οι ερευνητές κατάφεραν να επηρεάσουν όχι μόνο τα δεδομένα μέσα στο αεροπορικό δίκτυο, αλλά και τις πληροφορίες που έφταναν στη διεπαφή ελέγχου. Έτσι, θεωρητικά, μπορεί να δημιουργηθεί μια κατάσταση κατά την οποία το εσωτερικό σύστημα του αεροσκάφους λαμβάνει τροποποιημένες παραμέτρους, ενώ ο πιλότος στην οθόνη του βλέπει δεδομένα που φαίνονται φυσιολογικά.

Αυτό διαφέρει θεμελιωδώς από μια συνηθισμένη βλάβη.

Σε περίπτωση βλάβης εξοπλισμού, το σύστημα κατά κανόνα προσπαθεί να ενημερώσει το πλήρωμα για το πρόβλημα. Σε μια επίθεση, όμως, ο στόχος είναι το ίδιο το σύστημα να συνεχίσει να λειτουργεί, ενώ ένα μέρος των πληροφοριών στο εσωτερικό του έχει σκόπιμα αλλοιωθεί.

Το πιο επικίνδυνο σενάριο είναι η εξαπάτηση του πιλότου

Ας φανταστούμε μια κατάσταση κατά την οποία μία από τις παραμέτρους του αεροσκάφους έχει τροποποιηθεί τεχνητά.

Αν το πλήρωμα βλέπει ένα προφανές σφάλμα, για παράδειγμα ενδείξεις που αντικρούουν η μία την άλλη, οι πιλότοι μπορούν να στραφούν στα εφεδρικά όργανα, να απενεργοποιήσουν τα αυτόματα συστήματα και να αναλάβουν οι ίδιοι τον έλεγχο.

Αν, όμως, η κακόβουλη παρέμβαση μοιάζει με κανονικά δεδομένα, ο εντοπισμός του προβλήματος γίνεται πολύ δυσκολότερος.

Οι ερευνητές εξέτασαν σενάρια τροποποίησης παραμέτρων που έχουν σημασία για τους υπολογισμούς και την πλοήγηση, μεταξύ άλλων δεδομένων σχετικά με το βάρος του αεροσκάφους και την εξωτερική θερμοκρασία. Οι εσφαλμένες τιμές θα μπορούσαν δυνητικά να επηρεάσουν τους υπολογισμούς που εκτελούν τα αεροπορικά συστήματα.

Γι’ αυτό ακριβώς η βασική απειλή εδώ δεν είναι απλώς η δυνατότητα «να αλλάξει πορεία το αεροσκάφος».

Πολύ πιο επικίνδυνη είναι η δυνατότητα να εξαναγκαστεί ο αυτοματισμός να λαμβάνει λανθασμένες αποφάσεις, δημιουργώντας ταυτόχρονα στο πλήρωμα την εντύπωση ότι όλα λειτουργούν κανονικά.

Με την παρουσία Wi-Fi εμφανίζεται ένα ακόμη επίπεδο κινδύνου

Η ίδια η συσκευή πρέπει να εγκατασταθεί physically στο αεροσκάφος. Αυτός είναι ο σημαντικότερος περιορισμός.

Οι ερευνητές δεν παρουσίασαν ένα σενάριο στο οποίο ένας άγνωστος επιτιθέμενος απλώς κάθεται στο σπίτι του και συνδέεται μέσω διαδικτύου σε ένα τυχαίο Boeing 737.

Αρχικά απαιτείται φυσική πρόσβαση στο αεροσκάφος και εγκατάσταση του εμφυτεύματος. Γι’ αυτό η επίθεση αφορά κυρίως την κατηγορία απειλών από άτομο που έχει πρόσβαση στο αεροσκάφος όταν αυτό βρίσκεται στο έδαφος: εργαζόμενο τεχνικής υπηρεσίας, προσωπικό συντήρησης ή κάποιον άλλο που μπορεί να βρεθεί κοντά στο αεροσκάφος την κατάλληλη στιγμή.

Μετά την εγκατάσταση της συσκευής, όμως, η κατάσταση αλλάζει.

Το πρωτότυπο των ερευνητών διαθέτει ασύρματη διεπαφή. Επομένως, σε ένα συγκεκριμένο σενάριο, μπορεί να χρησιμοποιήσει το ενσωματωμένο δίκτυο Wi-Fi για να επικοινωνεί με έναν εξωτερικό χειριστή. Αυτό σημαίνει ότι υπάρχει δυνητικά η δυνατότητα απομακρυσμένης αλληλεπίδρασης με μια συσκευή που έχει ήδη εγκατασταθεί, κατά τη διάρκεια της πτήσης.

Ακριβώς αυτό το στοιχείο καθιστά την έρευνα ιδιαίτερα ανησυχητική: για την αρχική διείσδυση απαιτείται φυσική πρόσβαση, όμως ο περαιτέρω έλεγχος του εμφυτεύματος μπορεί δυνητικά να πραγματοποιείται από απόσταση.

Παράλληλα, είναι σημαντικό να μην υπερβάλλουμε ως προς το αποτέλεσμα. Οι ερευνητές δεν απέδειξαν ότι οποιοσδήποτε επιβάτης θα μπορούσε να συνδεθεί στο Wi-Fi του αεροσκάφους και να αποκτήσει τον έλεγχο ενός Boeing. Ένα τέτοιο σενάριο απαιτεί την προηγούμενη εγκατάσταση ειδικού εξοπλισμού και την αξιοποίηση ενός συγκεκριμένου αρχιτεκτονικού χαρακτηριστικού του αεροσκάφους.

Γιατί οι πιλότοι δεν μένουν εντελώς ανήμποροι

Παρά τον εντυπωσιακό τίτλο, η έρευνα δεν σημαίνει ότι το Boeing 737 μετατράπηκε σε «ιπτάμενο υπολογιστή χωρίς προστασία».

Το πλήρωμα εξακολουθεί να διαθέτει τρόπους εντοπισμού και αντιμετώπισης τέτοιων παρεμβάσεων. Ειδικότερα, ο χειροκίνητος έλεγχος του αεροσκάφους επιτρέπει την απεξάρτηση από τον αυτόματο πιλότο, ενώ μέρος των πληροφοριών είναι διαθέσιμο μέσω ανεξάρτητων συστημάτων και οργάνων.

Οι ίδιοι οι ερευνητές επισημαίνουν ότι ένα προσεκτικό πλήρωμα, σε πολλά από τα σενάρια που εξέτασαν, μπορεί να εντοπίσει τις ασυμφωνίες και να ανακτήσει τον έλεγχο. Το πρόβλημα εμφανίζεται όταν οι αλλαγές είναι αρκετά μικρές ή προσεκτικά επιλεγμένες, ώστε να μην προκαλούν προφανή ανησυχία.

Με άλλα λόγια, δεν πρόκειται για «ένα κουμπί που καταρρίπτει αμέσως το αεροπλάνο», αλλά για μια πολύ πιο σύνθετη απειλή — κρυφή παρέμβαση στο αξιόπιστο πληροφοριακό περιβάλλον του πληρώματος.

Η Boeing γνώριζε για την έρευνα εδώ και αρκετά χρόνια

Ένα ιδιαίτερα σημαντικό στοιχείο είναι ότι δεν πρόκειται για μια ευπάθεια που ανακαλύφθηκε ξαφνικά χθες και για την οποία ο κατασκευαστής ενημερώθηκε από τα μέσα ενημέρωσης.

Οι ερευνητές ενημέρωσαν την Boeing για τα αποτελέσματά τους ήδη από το 2020 και συνέχισαν να συνεργάζονται με την εταιρεία καθώς εξελισσόταν η έρευνα. Παρουσίασαν επίσης στοιχεία της επίθεσης σε εργαστηριακό περιβάλλον της Boeing. Η εταιρεία πραγματοποίησε δικό της έλεγχο στον σχεδιασμό, τα εξαρτήματα και τις διεπαφές του αεροσκάφους σε σχέση με τα δεδομένα που έλαβε.

Επιπλέον, οι ερευνητές δεν δημοσιοποίησαν ορισμένες τεχνικές λεπτομέρειες που θα μπορούσαν να διευκολύνουν την άμεση αναπαραγωγή της επίθεσης.

Πώς ήταν δυνατό να μην έχει εντοπιστεί νωρίτερα;

Η απάντηση βρίσκεται σε μια θεμελιώδη αρχή της ασφάλειας των παλαιότερων αεροπορικών ηλεκτρονικών συστημάτων.

Ένα σύγχρονο αεροσκάφος δεν είναι ένας μόνο υπολογιστής. Είναι ένα τεράστιο κατανεμημένο σύστημα που αποτελείται από πολλούς εξειδικευμένους υπολογιστές, αισθητήρες, οθόνες και διαύλους ανταλλαγής δεδομένων.

Μια τέτοια αρχιτεκτονική δημιουργήθηκε πρωτίστως με γνώμονα την αξιοπιστία, την ανοχή σε βλάβες και την προβλεψιμότητα, όχι τη σύγχρονη αντίληψη για την κυβερνοασφάλεια, σύμφωνα με την οποία κάθε συσκευή και κάθε μήνυμα πρέπει να περνά από κρυπτογραφική αυθεντικοποίηση.

Αν ένα σύστημα θεωρεί επί δεκαετίες ότι ο εξοπλισμός που συνδέεται physically στον εσωτερικό δίαυλο είναι αξιόπιστος, η εμφάνιση μιας μικροσκοπικής συσκευής που μπορεί να μιμηθεί έναν νόμιμο συμμετέχοντα στο δίκτυο αλλάζει πλήρως το μοντέλο απειλών.

Αυτό ακριβώς θεωρούν οι ερευνητές ως το βασικό συμπέρασμα της εργασίας τους.

Τι προτείνουν να γίνει

Η απλούστερη λύση είναι να αφαιρεθεί η δυνητικά επικίνδυνη διεπαφή ή να μπλοκαριστεί physically.

Μια πιο θεμελιώδης προσέγγιση προϋποθέτει αλλαγή της ίδιας της αρχιτεκτονικής των αεροπορικών ηλεκτρονικών συστημάτων: ενίσχυση της ηλεκτρικής απομόνωσης μεταξύ των συστημάτων, εντοπισμό μη φυσιολογικών σημάτων και, μακροπρόθεσμα, κρυπτογραφική αυθεντικοποίηση των εντολών μέσα στα ενσωματωμένα δίκτυα.

Αυτό είναι πολύ πιο δύσκολο από το να κλείσει απλώς μία υποδοχή: ο αεροπορικός εξοπλισμός περνά από διαδικασία πιστοποίησης και έχει σχεδιαστεί για λειτουργία επί δεκαετίες. Επομένως, κάθε αλλαγή στα ηλεκτρονικά συστήματα του αεροσκάφους απαιτεί σοβαρή μηχανική και κανονιστική εργασία.

Το βασικό συμπέρασμα

Η ιστορία με το «νόμισμα που παραβιάζει το Boeing» ακούγεται σαν ακόμη ένα κυβερνοπάνκ σενάριο, όμως η έρευνα αναδεικνύει ένα απολύτως πραγματικό μηχανικό πρόβλημα.

Δεν είναι απαραίτητο να συνδεθεί ένα αεροσκάφος στο διαδίκτυο για να δεχθούν επίθεση τα υπολογιστικά του συστήματα. Μερικές φορές αρκούν λίγα δευτερόλεπτα φυσικής πρόσβασης στη σωστά επιλεγμένη διεπαφή.

Και αυτό είναι το σημαντικότερο αποτέλεσμα της έρευνας του UC San Diego και του Oberlin College. Η μελλοντική απειλή για την αεροπορία μπορεί να προέρχεται όχι μόνο από έναν απομακρυσμένο χάκερ, αλλά και από μια μικροσκοπική συσκευή που κανείς δεν θα προσέξει μετά τη συντήρηση.

Παράλληλα, οι επιβάτες δεν θα πρέπει να εκλάβουν την έρευνα ως απόδειξη ότι τα ταξίδια με Boeing 737 έγιναν unsafe: η επίθεση που επιδείχθηκε απαιτεί φυσική πρόσβαση, ειδικό εξοπλισμό και βαθιά κατανόηση της συγκεκριμένης αρχιτεκτονικής του αεροσκάφους. Επιπλέον, οι ερευνητές αποκάλυψαν εκ των προτέρων το πρόβλημα στον κατασκευαστή και η Boeing πραγματοποίησε δικό της έλεγχο.

Ωστόσο, η ίδια η ιδέα αλλάζει τους κανόνες του παιχνιδιού: στην εποχή των μικροσκοπικών ηλεκτρονικών, ακόμη και ένα physically απομονωμένο αεροπορικό σύστημα πρέπει να αντιμετωπίζεται ως δυνητικός στόχος κυβερνοεπίθεσης.