Boeing 737 autopilotu var uzlauzt ar monētas izmēra ierīci

Lidmašīnai var uzbrukt nevis caur internetu vai pilota borta datoru. Pētnieki atraduši daudz neparastāku ceļu: neliela elektroniska ierīce, kas fiziski uzstādīta lidmašīnā, var iejaukties datu apmaiņā starp aviācijas sistēmām. Noteiktos scenārijos tas ļauj mainīt autopilotam nosūtītās komandas un vienlaikus viltot apkalpei parādīto informāciju.

Pētījumu prezentēja Kalifornijas Universitātes Sandjego un Oberlin College speciālistu komanda. Darbs bija rezultāts vairāk nekā desmit gadus ilgušai aviācijas elektronikas drošības izpētei. Eksperimentiem pētnieki izveidoja īpašu stendu no reāliem Boeing 737 avionikas komponentiem, kas iegādāti otrreizējā tirgū.

Visbīstamākais šeit nav ierīces izmērs

No pirmā acu uzmetiena šis stāsts izklausās pēc fantastikas: monētas izmēra ierīce tiek pievienota lidmašīnai un pēc tam iegūst iespēju iejaukties tās elektronisko sistēmu darbībā.

Taču uzbrukuma princips ir diezgan piezemēts. Pētnieki atklāja, ka noteiktām 737 iekšējām datu apmaiņas kopnēm ir fiziski porti, kas paredzēti apkopei un diagnostikai. Viena no šīm saskarnēm ir saistīta ar sistēmām, kas piedalās Flight Management Computer darbībā — tā ir skaitļošanas sistēma, kas cita starpā atbild par maršruta vadību, — un lidojuma vadības displeju.

Galvenā problēma slēpjas arhitektūrā: lidmašīnas iekšējām sistēmām nepārtraukti jāapmainās ar datiem, un ne katrs šāds kanāls sākotnēji tika izstrādāts, ņemot vērā scenāriju, kurā uzbrucējs tam fiziski pievieno īpaši izveidotu ierīci.

Pētnieki savu izstrādāto paņēmienu nosauca par Bus Driver. Kopumā tas ļauj ierīcei ne tikai noklausīties datus kopnē, bet arī iejaukties to pārraidē un aizstāt likumīgās komandas. Turklāt uzbrucējam nav obligāti fiziski jāpārgriež vadi vai jāuzstāda sarežģīts starpposma modulis: pietiek iegūt piekļuvi piemērotai saskarnei.

Ko tieši var mainīt

Visnopietnākā eksperimenta daļa bija saistīta ar navigāciju.

Pētnieki parādīja, ka šādas piekļuves gadījumā iespējams ietekmēt datus, ar kuriem apmainās maršruta vadībā iesaistītās sistēmas. Konkrēti, iespējams mainīt iestatītos maršruta punktus, kā rezultātā autopilots potenciāli var sākt sekot izmainītām norādēm.

Taču vēl interesantāka ir cita iespēja — viltot informāciju, ko redz apkalpe.

Eksperimentā pētnieki spēja ietekmēt ne tikai datus aviācijas tīkla iekšienē, bet arī informāciju, kas nonāk vadības saskarnē. Tādējādi teorētiski iespējams radīt situāciju, kurā lidmašīnas iekšējā sistēma saņem mainītus parametrus, bet pilots savā displejā redz datus, kas izskatās normāli.

Tas principiāli atšķiras no parastas kļūmes.

Ja sabojājas aprīkojums, sistēma parasti mēģina informēt apkalpi par problēmu. Uzbrukuma gadījumā mērķis ir panākt, lai pati sistēma turpinātu darboties, bet daļa informācijas tajā būtu apzināti izkropļota.

Bīstamākais scenārijs — pilota maldināšana

Iedomāsimies situāciju, kurā kāds no lidmašīnas parametriem ir mākslīgi mainīts.

Ja apkalpe redz acīmredzamu kļūdu, piemēram, savstarpēji pretrunīgus rādījumus, piloti var pāriet uz rezerves instrumentiem, izslēgt automātiskās sistēmas un pārņemt vadību.

Taču, ja ļaunprātīgā ietekme izskatās pēc parastiem datiem, problēmu atklāt ir ievērojami grūtāk.

Pētnieki aplūkoja scenārijus, kuros tiek mainīti aprēķiniem un navigācijai nozīmīgi parametri, tostarp dati par lidmašīnas masu un ārējo temperatūru. Nepareizas vērtības potenciāli var ietekmēt aviācijas sistēmu veiktos aprēķinus.

Tieši tāpēc galvenais drauds šeit nav tikai iespēja „pagriezt lidmašīnu”.

Daudz bīstamāka ir iespēja piespiest automātiku pieņemt nepareizus lēmumus, vienlaikus radot apkalpei iespaidu, ka viss darbojas kā parasti.

Wi-Fi gadījumā parādās vēl viens riska līmenis

Pati ierīce ir fiziski jāuzstāda lidmašīnā. Tas ir būtisks ierobežojums.

Pētnieki neparādīja scenāriju, kurā nezināms uzbrucējs vienkārši sēž mājās un caur internetu pieslēdzas nejauši izvēlētam Boeing 737.

Vispirms nepieciešams iegūt fizisku piekļuvi lidmašīnai un uzstādīt implantu. Tāpēc šis uzbrukums galvenokārt attiecas uz draudiem no cilvēka, kuram ir piekļuve gaisa kuģim uz zemes: tehniskā dienesta darbinieka, apkopes personāla vai cita cilvēka, kurš īstajā brīdī var atrasties lidmašīnas tuvumā.

Tomēr pēc ierīces uzstādīšanas situācija mainās.

Pētnieku prototips ir aprīkots ar bezvadu saskarni. Tāpēc noteiktā scenārijā tas var izmantot borta Wi-Fi tīklu saziņai ar ārēju operatoru. Tas nozīmē potenciālu iespēju attālināti mijiedarboties ar jau uzstādīto ierīci lidojuma laikā.

Tieši šī daļa padara pētījumu īpaši satraucošu: sākotnējai iekļūšanai nepieciešama fiziska piekļuve, taču turpmāka implanta vadība potenciāli var notikt attālināti.

Tajā pašā laikā ir svarīgi nepārspīlēt rezultātu. Pētnieki nepierādīja, ka jebkurš pasažieris varēs pieslēgties lidmašīnas Wi-Fi un iegūt kontroli pār Boeing. Šādam scenārijam nepieciešama iepriekšēja īpaša aprīkojuma uzstādīšana un konkrētas lidmašīnas arhitektūras īpatnības izmantošana.

Kāpēc piloti tomēr nekļūst bezspēcīgi

Neraugoties uz iespaidīgo virsrakstu, pētījums nenozīmē, ka Boeing 737 ir pārvērties par „lidojošu datoru bez aizsardzības”.

Apkalpei joprojām ir iespējas atklāt un kompensēt šādu ietekmi. Jo īpaši lidmašīnas manuālā vadība ļauj atslēgt atkarību no autopilota, bet daļa informācijas ir pieejama, izmantojot neatkarīgas sistēmas un instrumentus.

Paši pētnieki norāda, ka uzmanīga apkalpe daudzos viņu aplūkotajos scenārijos spēj pamanīt neatbilstības un atgūt kontroli. Problēma rodas tad, kad izmaiņas ir pietiekami nelielas vai rūpīgi piemeklētas, lai neradītu acīmredzamu satraukumu.

Tātad runa nav par „pogu, kas nekavējoties nogāž lidmašīnu”, bet gan par daudz sarežģītāku apdraudējumu — slēptu iejaukšanos apkalpes uzticamajā informācijas vidē.

Boeing par pētījumu zināja jau vairākus gadus

Īpaši svarīgi ir tas, ka šī nav vakar pēkšņi atklāta ievainojamība, par kuru ražotājs uzzināja no plašsaziņas līdzekļiem.

Pētnieki par saviem rezultātiem informēja Boeing jau 2020. gadā un turpināja sadarboties ar uzņēmumu, pētījumam attīstoties. Viņi arī demonstrēja uzbrukuma elementus Boeing laboratorijas vidē. Uzņēmums, ņemot vērā iegūtos datus, veica patstāvīgu lidmašīnas konstrukcijas, komponentu un saskarņu pārbaudi.

Turklāt pētnieki publiski neatklāja dažas tehniskas detaļas, kas varētu atvieglot tiešu uzbrukuma atkārtošanu.

Kā vispār varēja to nepamanīt?

Atbilde meklējama vecās aviācijas elektronikas drošības pamatprincipā.

Mūsdienu lidmašīna nav viens dators. Tā ir milzīga sadalīta sistēma, ko veido daudzi specializēti skaitļotāji, sensori, displeji un datu apmaiņas kanāli.

Šāda arhitektūra galvenokārt tika veidota, ņemot vērā uzticamību, atteiču izturību un paredzamību, nevis mūsdienu izpratni par kiberdrošību, kurā katrai ierīcei un katram ziņojumam būtu jāiziet kriptogrāfiska autentifikācija.

Ja sistēma gadu desmitiem pieņem, ka fiziski iekšējai kopnei pievienots aprīkojums ir uzticams, miniatūras ierīces parādīšanās, kas spēj atdarināt likumīgu tīkla dalībnieku, pilnībā maina draudu modeli.

Tieši to pētnieki uzskata par sava darba galveno secinājumu.

Ko iesaka darīt

Vienkāršākais risinājums ir likvidēt potenciāli bīstamo saskarni vai fiziski to bloķēt.

Pamatīgāka pieeja paredz pašas aviācijas elektronikas arhitektūras maiņu: pastiprināt elektrisko izolāciju starp sistēmām, atklāt anomālus signālus un nākotnē izmantot komandu kriptogrāfisku autentifikāciju borta tīklos.

Tas ir daudz sarežģītāk nekā vienkārši aizvērt vienu savienotāju: aviācijas aprīkojums tiek sertificēts un paredzēts ekspluatācijai gadu desmitiem. Tāpēc jebkurām izmaiņām borta elektronikā nepieciešams nopietns inženierijas un regulatīvais darbs.

Galvenais secinājums

Stāsts par „monētu, kas uzlauž Boeing”, izklausās pēc kārtējā kiberpanka sižeta, taču pētījums demonstrē pilnīgi reālu inženiertehnisku problēmu.

Lidmašīna nav obligāti jāpieslēdz internetam, lai uzbruktu tās datorsistēmām. Dažkārt pietiek ar dažām sekundēm fiziskas piekļuves pareizi izvēlētai saskarnei.

Un tieši tas ir svarīgākais UC San Diego un Oberlin College pētījuma rezultāts. Nākotnes draudus aviācijai var radīt ne tikai attālināts hakeris, bet arī neliela ierīce, ko pēc tehniskās apkopes neviens nepamanīs.

Tajā pašā laikā pasažieriem nevajadzētu uztvert šo pētījumu kā pierādījumu tam, ka lidot ar Boeing 737 kļuvis nedroši: demonstrētajam uzbrukumam nepieciešama fiziska piekļuve, īpašs aprīkojums un dziļa izpratne par konkrēto lidmašīnas arhitektūru. Turklāt pētnieki par problēmu jau iepriekš informēja ražotāju, bet Boeing veica patstāvīgu pārbaudi.

Tomēr pati ideja maina spēles noteikumus: miniatūras elektronikas laikmetā pat fiziski izolēta aviācijas sistēma jāuzskata par potenciālu kiberuzbrukuma mērķi.