Boeing 737’nin otopilotu bozuk para büyüklüğündeki bir cihazla hacklenebilir

Uçağa internet üzerinden veya pilotun uçuş bilgisayarı aracılığıyla saldırmak gerekmiyor. Araştırmacılar çok daha alışılmadık bir yol buldu: Uçağın içine fiziksel olarak yerleştirilen küçük bir elektronik cihaz, havacılık sistemleri arasındaki veri alışverişine müdahale edebiliyor. Bazı senaryolarda bu, otopilota gönderilen komutların değiştirilmesine ve aynı anda mürettebata gösterilen bilgilerin sahte verilerle değiştirilmesine olanak tanıyor.

Araştırma, California Üniversitesi San Diego ve Oberlin College’dan uzmanlardan oluşan bir ekip tarafından sunuldu. Çalışma, havacılık elektroniğinin güvenliği üzerine on yılı aşkın süredir yürütülen incelemelerin sonucu oldu. Araştırmacılar deneyler için ikinci el piyasasından satın alınan gerçek Boeing 737 aviyonik bileşenlerinden özel bir test düzeneği oluşturdu.

Buradaki en tehlikeli şey cihazın boyutu değil

İlk bakışta hikâye bilim kurgu gibi görünüyor: Yaklaşık bir bozuk para büyüklüğündeki cihaz uçağa bağlanıyor ve ardından elektronik sistemlerinin çalışmasına müdahale edebiliyor.

Ancak saldırının ilkesi oldukça sıradan. Araştırmacılar, 737’nin belirli dahili veri yollarında bakım ve teşhis amacıyla kullanılan fiziksel bağlantı noktaları bulunduğunu keşfetti. Bu arayüzlerden biri, rotanın yönetiminden de sorumlu olan Flight Management Computer adlı hesaplama sistemiyle ve uçuş kontrol ekranıyla bağlantılı sistemlerle ilişkili.

Temel sorun mimaride yatıyor: Uçağın dahili sistemleri sürekli olarak birbirleriyle veri alışverişinde bulunmak zorunda ve bu kanalların her biri, saldırganın fiziksel olarak kendisi tarafından oluşturulmuş özel bir cihazı sisteme bağlayabileceği senaryosu dikkate alınarak tasarlanmadı.

Araştırmacılar geliştirdikleri tekniğe Bus Driver adını verdi. Genel hatlarıyla bu teknik, cihazın veri yolundaki verileri yalnızca dinlemesini değil, iletimlerine müdahale ederek meşru komutları değiştirmesini sağlıyor. Saldırganın kabloları fiziksel olarak kesmesi veya karmaşık bir ara modül kurması gerekmiyor: Uygun bir arayüze erişim sağlaması yeterli.

Precisely neler değiştirilebilir

Deneyin en ciddi bölümü navigasyonla ilgili.

Araştırmacılar, böyle bir erişim sağlandığında rota yönetimiyle bağlantılı sistemlerin birbirleriyle paylaştığı verilerin etkilenebileceğini gösterdi. Özellikle belirlenmiş rota noktalarının değiştirilmesi mümkün; bu da otopilotun potansiyel olarak değiştirilmiş talimatları izlemeye başlamasına yol açabilir.

Ancak daha da ilginç olan başka bir ihtimal var: Mürettebatın gördüğü bilgilerin değiştirilmesi.

Deney sırasında araştırmacılar yalnızca havacılık ağı içindeki verileri değil, kontrol arayüzüne ulaşan bilgileri de etkileyebildi. Böylece teorik olarak uçağın dahili sistemi değiştirilmiş parametreleri alırken pilotun ekranında normal görünen verileri gördüğü bir durum oluşturulabilir.

Bu, sıradan bir arızadan temelde farklıdır.

Ekipman arızalandığında sistem genellikle mürettebata bir sorun olduğunu bildirmeye çalışır. Saldırıda ise amaç, sistemin çalışmaya devam etmesini, ancak içindeki bilgilerin bir bölümünün kasıtlı olarak bozulmasını sağlamaktır.

En tehlikeli senaryo pilotu aldatmak

Uçağın parametrelerinden birinin yapay olarak değiştirildiği bir durum düşünelim.

Mürettebat, birbirini tutmayan göstergeler gibi bariz bir hata görürse pilotlar yedek göstergelere geçebilir, otomatik sistemleri devre dışı bırakabilir ve kontrolü kendileri üstlenebilir.

Ancak zararlı müdahale sıradan veriler gibi görünüyorsa sorunu tespit etmek çok daha zorlaşır.

Araştırmacılar, uçağın ağırlığı ve dış sıcaklığına ilişkin veriler de dâhil olmak üzere, hesaplamalar ve navigasyon açısından önem taşıyan parametrelerin değiştirilmesine yönelik senaryoları inceledi. Hatalı değerler, havacılık sistemlerinin gerçekleştirdiği hesaplamaları potansiyel olarak etkileyebilir.

Bu nedenle buradaki ana tehdit yalnızca uçağı «döndürme» ihtimali değil.

Çok daha tehlikeli olan, otomasyonu yanlış kararlar almaya zorlamak ve aynı anda mürettebata her şeyin normal çalıştığı izlenimini vermek.

Wi-Fi varsa bir risk katmanı daha ortaya çıkıyor

Cihazın kendisinin uçağa fiziksel olarak yerleştirilmesi gerekiyor. Bu, en önemli sınırlama.

Araştırmacılar, bilinmeyen bir saldırganın evinde oturup internet üzerinden rastgele bir Boeing 737’ye bağlandığı bir senaryo göstermedi.

Öncelikle uçağa fiziksel erişim sağlanması ve implantın yerleştirilmesi gerekiyor. Bu nedenle saldırı, her şeyden önce yerde uçağa erişimi olan bir kişinin oluşturduğu tehdit kategorisine giriyor: teknik servis çalışanı, bakım personeli veya uygun bir anda uçağın yakınında bulunabilecek başka biri.

Ancak cihaz yerleştirildikten sonra durum değişiyor.

Araştırmacıların prototipi kablosuz bir arayüzle donatılmış. Bu nedenle belirli bir senaryoda dışarıdaki bir operatörle iletişim kurmak için uçağın Wi-Fi ağını kullanabilir. Bu da uçuş sırasında daha önce yerleştirilmiş cihazla uzaktan etkileşim kurulması ihtimali anlamına geliyor.

Araştırmayı özellikle endişe verici kılan da bu bölüm: İlk sızma için fiziksel erişim gerekiyor, ancak implantın sonraki kontrolü potansiyel olarak uzaktan gerçekleştirilebiliyor.

Yine de sonucu abartmamak önemli. Araştırmacılar herhangi bir yolcunun uçağın Wi-Fi ağına bağlanarak Boeing’in kontrolünü ele geçirebileceğini kanıtlamadı. Böyle bir senaryo, özel ekipmanın önceden yerleştirilmesini ve uçağın mimarisindeki belirli bir özelliğin kullanılmasını gerektiriyor.

Pilotlar neden yine de çaresiz kalmıyor

Etkileyici başlığa rağmen araştırma, Boeing 737’nin «korumasız uçan bir bilgisayara» dönüştüğü anlamına gelmiyor.

Mürettebatın bu tür müdahaleleri tespit etmek ve etkilerini telafi etmek için hâlâ yöntemleri bulunuyor. Özellikle uçağın manuel olarak kontrol edilmesi, otopilota olan bağımlılığın ortadan kaldırılmasını sağlıyor; ayrıca bilgilerin bir bölümü bağımsız sistemler ve göstergeler üzerinden erişilebilir durumda.

Araştırmacılar, dikkatli bir mürettebatın inceledikleri senaryoların çoğunda tutarsızlıkları fark ederek kontrolü yeniden sağlayabileceğini belirtiyor. Sorun, değişiklikler açık bir alarm yaratmayacak kadar küçük veya dikkatle seçilmiş olduğunda ortaya çıkıyor.

Yani söz konusu olan «uçağı anında düşüren bir düğme» değil; mürettebatın güvendiği bilgi ortamına gizli müdahale şeklindeki çok daha karmaşık bir tehdit.

Boeing araştırmadan yıllar önce haberdar oldu

Özellikle önemli bir nokta şu: Bu, üreticinin medyadan öğrendiği ve dün aniden ortaya çıkan bir güvenlik açığı değil.

Araştırmacılar sonuçlarını Boeing’e daha 2020 yılında bildirdi ve araştırma ilerledikçe şirketle iletişimlerini sürdürdü. Ayrıca saldırının bazı unsurlarını Boeing’in laboratuvar ortamında gösterdiler. Şirket, elde edilen veriler doğrultusunda uçağın tasarımını, bileşenlerini ve arayüzlerini kendi incelemesinden geçirdi.

Bunun yanı sıra araştırmacılar, saldırının doğrudan yeniden gerçekleştirilmesini kolaylaştırabilecek bazı teknik ayrıntıları kamuoyuna açıklamadı.

Bu nasıl gözden kaçabildi?

Yanıt, eski havacılık elektroniğinin temel güvenlik ilkesinde yatıyor.

Modern bir uçak tek bir bilgisayardan ibaret değil. Çok sayıda özel amaçlı bilgisayar, sensör, ekran ve veri alışverişi kanalından oluşan devasa, dağıtık bir sistem.

Bu mimari öncelikle güvenilirlik, arızaya dayanıklılık ve öngörülebilirlik dikkate alınarak oluşturuldu; her cihazın ve her mesajın kriptografik kimlik doğrulamasından geçmesi gerektiği yönündeki modern siber güvenlik anlayışı esas alınmadı.

Bir sistem, dahili veri yoluna fiziksel olarak bağlanan ekipmanın güvenilir olduğunu onlarca yıl boyunca varsayarsa, ağın meşru bir katılımcısını taklit edebilen minyatür bir cihazın ortaya çıkması tehdit modelini tamamen değiştirir.

Araştırmacılar çalışmalarının temel sonucunun bu olduğunu düşünüyor.

Ne yapılması öneriliyor

En basit çözüm, potansiyel olarak tehlikeli arayüzü kaldırmak veya fiziksel olarak engellemek.

Daha temel bir yaklaşım ise havacılık elektroniğinin mimarisinin kendisini değiştirmeyi gerektiriyor: Sistemler arasındaki elektriksel izolasyonun güçlendirilmesi, anormal sinyallerin tespit edilmesi ve gelecekte uçak içi ağlardaki komutların kriptografik olarak doğrulanması.

Bu, tek bir bağlantı noktasını kapatmaktan çok daha zor: Havacılık ekipmanları sertifikasyondan geçiyor ve onlarca yıl kullanılmak üzere tasarlanıyor. Bu nedenle uçak elektroniğinde yapılacak her değişiklik ciddi mühendislik ve düzenleyici çalışma gerektiriyor.

Temel sonuç

«Boeing’i hackleyen bozuk para» hikâyesi bir başka siberpunk senaryosu gibi duyuluyor, ancak araştırma tamamen gerçek bir mühendislik sorununu ortaya koyuyor.

Bir uçağın bilgisayar sistemlerine saldırmak için onu internete bağlamak gerekmiyor. Bazen doğru seçilmiş bir arayüze birkaç saniyelik fiziksel erişim yeterli.

UC San Diego ve Oberlin College araştırmasının en önemli sonucu da bu. Havacılık için geleceğin tehdidi yalnızca uzaktaki bir hacker’dan değil, bakım sonrasında kimsenin fark etmeyeceği küçük bir cihazdan da gelebilir.

Bununla birlikte yolcular araştırmayı Boeing 737 ile uçmanın güvensiz hâle geldiğinin kanıtı olarak görmemeli: Gösterilen saldırı fiziksel erişim, özel ekipman ve uçağın belirli mimarisinin derinlemesine anlaşılmasını gerektiriyor. Dahası araştırmacılar sorunu önceden üreticiye bildirdi ve Boeing kendi incelemesini gerçekleştirdi.

Ancak bu fikir oyunun kurallarını değiştiriyor: Minyatür elektronik çağında, fiziksel olarak izole edilmiş bir havacılık sistemi bile potansiyel bir siber hedef olarak değerlendirilmelidir.