Автопилот Boeing 737 можно взломать устройством размером с монету

Самолёт можно атаковать не через интернет и не через бортовой компьютер пилота. Исследователи нашли гораздо более необычный путь: крошечное электронное устройство, установленное физически на борту, способно вмешиваться в обмен данными между авиационными системами. В определённых сценариях это позволяет менять команды автопилоту и одновременно подделывать отображаемую экипажу информацию.

Исследование представила команда специалистов из Калифорнийского университета в Сан-Диего и Oberlin College. Работа стала результатом более чем десятилетнего изучения безопасности авиационной электроники. Для экспериментов исследователи собрали специальный стенд из реальных компонентов авионики Boeing 737, приобретённых на вторичном рынке.

Самое опасное здесь — не размер устройства

На первый взгляд история выглядит как фантастика: устройство размером примерно с монету подключается к самолёту, а затем получает возможность вмешиваться в работу его электронных систем.

Но принцип атаки довольно приземлённый. Исследователи обнаружили, что определённые внутренние шины обмена данными 737 имеют физические порты, предназначенные для обслуживания и диагностики. Один из таких интерфейсов связан с системами, участвующими в работе Flight Management Computer — вычислительной системы, которая отвечает в том числе за управление маршрутом, — и дисплеем управления полётом.

Ключевая проблема заключается в архитектуре: внутренние системы самолёта должны постоянно обмениваться данными между собой, и далеко не каждый такой канал изначально проектировался с учётом сценария, в котором злоумышленник физически подключает к нему специально созданное устройство.

Исследователи назвали разработанную ими технику Bus Driver. В общих чертах она позволяет устройству не просто слушать данные на шине, а вмешиваться в их передачу и подменять легитимные команды. При этом злоумышленнику не обязательно физически перерезать провода или устанавливать сложный промежуточный модуль: достаточно получить доступ к подходящему интерфейсу.

Что именно можно изменить

Самая серьёзная часть эксперимента связана с навигацией.

Исследователи показали, что при наличии такого доступа можно воздействовать на данные, которыми обмениваются системы, связанные с управлением маршрутом. В частности, речь идёт о возможности изменить заданные точки маршрута, из-за чего автопилот потенциально может начать следовать изменённым указаниям.

Но ещё интереснее другая возможность — подмена информации, которую видит экипаж.

В эксперименте исследователи смогли воздействовать не только на данные внутри авиационной сети, но и на информацию, поступающую на интерфейс управления. Таким образом, теоретически можно создать ситуацию, когда внутренняя система самолёта получает изменённые параметры, а пилот на своём дисплее видит данные, которые выглядят нормальными.

Это принципиально отличается от обычной неисправности.

При отказе оборудования система, как правило, пытается сообщить экипажу о проблеме. При атаке же цель заключается в том, чтобы сама система продолжала работать, но часть информации внутри неё была намеренно искажена.

Самый опасный сценарий — обман пилота

Представим ситуацию, когда один из параметров самолёта искусственно изменён.

Если экипаж видит очевидную ошибку, например противоречащие друг другу показания, пилоты могут перейти на резервные приборы, отключить автоматические системы и взять управление на себя.

Но если вредоносное воздействие выглядит как обычные данные, обнаружить проблему значительно сложнее.

Исследователи рассматривали сценарии с изменением параметров, имеющих значение для расчётов и навигации, включая данные о массе самолёта и внешней температуре. Некорректные значения потенциально способны повлиять на расчёты, выполняемые авиационными системами.

Именно поэтому главная угроза здесь — не просто возможность «повернуть самолёт».

Гораздо опаснее возможность заставить автоматику принимать неправильные решения, одновременно создавая у экипажа впечатление, что всё работает штатно.

А при наличии Wi-Fi появляется ещё один уровень риска

Само устройство должно быть физически установлено на самолёте. Это важнейшее ограничение.

Исследователи не показали сценарий, при котором неизвестный злоумышленник просто сидит дома и через интернет подключается к случайному Boeing 737.

Сначала требуется получить физический доступ к самолёту и установить имплант. Именно поэтому атака относится прежде всего к категории угроз со стороны человека, который имеет доступ к воздушному судну на земле: сотрудника технической службы, обслуживающего персонала или другого человека, способного оказаться рядом с самолётом в подходящий момент.

Однако после установки устройства ситуация меняется.

Прототип исследователей оснащён беспроводным интерфейсом. Поэтому в определённом сценарии он способен использовать бортовую сеть Wi-Fi для связи с внешним оператором. Это означает потенциальную возможность дистанционно взаимодействовать с уже установленным устройством во время полёта.

Именно эта часть делает исследование особенно тревожным: физический доступ необходим для первоначального проникновения, но дальнейшее управление имплантом потенциально может осуществляться удалённо.

При этом важно не преувеличивать результат. Исследователи не доказали, что любой пассажир сможет подключиться к Wi-Fi самолёта и получить управление Boeing. Такой сценарий требует предварительной установки специального оборудования и использования конкретной архитектурной особенности самолёта.

Почему пилоты всё же не становятся беспомощными

Несмотря на впечатляющий заголовок, исследование не означает, что Boeing 737 превратился в «летающий компьютер без защиты».

У экипажа остаются способы обнаружить и компенсировать подобные воздействия. В частности, ручное управление самолётом позволяет отключить зависимость от автопилота, а часть информации доступна через независимые системы и приборы.

Сами исследователи отмечают, что внимательный экипаж во многих рассмотренных ими сценариях способен заметить несоответствия и восстановить контроль. Проблема возникает тогда, когда изменения достаточно малы или тщательно подобраны, чтобы не вызвать очевидной тревоги.

То есть речь идёт не о «кнопке, которая мгновенно сбивает самолёт», а о гораздо более сложной угрозе — скрытом вмешательстве в доверенную информационную среду экипажа.

Boeing знала об исследовании несколько лет

Особенно важный момент: это не внезапно обнаруженная вчера уязвимость, о которой производитель узнал из СМИ.

Исследователи сообщили Boeing о своих результатах ещё в 2020 году и продолжали взаимодействовать с компанией по мере развития исследования. Они также демонстрировали элементы атаки в лабораторной среде Boeing. Компания провела собственную проверку конструкции, компонентов и интерфейсов самолёта в связи с полученными данными.

Кроме того, исследователи не раскрыли публично некоторые технические детали, которые могли бы облегчить непосредственное воспроизведение атаки.

Как это вообще могли пропустить?

Ответ лежит в фундаментальном принципе безопасности старой авиационной электроники.

Современный самолёт — это не один компьютер. Это огромная распределённая система из множества специализированных вычислителей, датчиков, дисплеев и каналов обмена данными.

Такая архитектура создавалась прежде всего с учётом надёжности, отказоустойчивости и предсказуемости, а не современного представления о кибербезопасности, где каждое устройство и каждое сообщение должны проходить криптографическую аутентификацию.

Если система десятилетиями предполагает, что физически подключённое к внутренней шине оборудование является доверенным, появление миниатюрного устройства, способного имитировать легитимный участник сети, полностью меняет модель угроз.

Именно это исследователи считают главным выводом своей работы.

Что предлагают делать

Самое простое решение — убрать потенциально опасный интерфейс или физически заблокировать его.

Более фундаментальный подход предполагает изменение самой архитектуры авиационной электроники: усиление электрической изоляции между системами, обнаружение аномальных сигналов и, в перспективе, криптографическую аутентификацию команд внутри бортовых сетей.

Это гораздо сложнее, чем закрыть один разъём: авиационное оборудование проходит сертификацию и рассчитано на десятилетия эксплуатации. Поэтому любое изменение бортовой электроники требует серьёзной инженерной и регуляторной работы.

Главный вывод

История с «монетой, которая взламывает Boeing» звучит как очередной киберпанк-сюжет, но исследование демонстрирует вполне реальную инженерную проблему.

Самолёт необязательно подключать к интернету, чтобы атаковать его компьютерные системы. Иногда достаточно нескольких секунд физического доступа к правильно выбранному интерфейсу.

И именно это является наиболее важным результатом исследования UC San Diego и Oberlin College. Угроза будущего для авиации может исходить не только от удалённого хакера, но и от крошечного устройства, которое никто не заметит после технического обслуживания.

При этом пассажирам не стоит воспринимать исследование как доказательство того, что летать на Boeing 737 стало небезопасно: продемонстрированная атака требует физического доступа, специального оборудования и глубокого понимания конкретной архитектуры самолёта. Более того, исследователи заранее раскрыли проблему производителю, а Boeing провела собственную проверку.

Но сама идея меняет правила игры: в эпоху миниатюрной электроники даже физически изолированная авиационная система должна рассматриваться как потенциальная киберцель.