Автопілот Boeing 737 можна зламати пристроєм розміром із монету

Літак можна атакувати не через інтернет і не через бортовий комп’ютер пілота. Дослідники знайшли набагато незвичніший шлях: крихітний електронний пристрій, фізично встановлений на борту, здатен втручатися в обмін даними між авіаційними системами. У певних сценаріях це дає змогу змінювати команди автопілоту й одночасно підробляти інформацію, яку бачить екіпаж.

Дослідження представила команда фахівців із Каліфорнійського університету в Сан-Дієго та Oberlin College. Робота стала результатом понад десятирічного вивчення безпеки авіаційної електроніки. Для експериментів дослідники зібрали спеціальний стенд із реальних компонентів авіоніки Boeing 737, придбаних на вторинному ринку.

Найнебезпечніше тут — не розмір пристрою

На перший погляд історія виглядає як фантастика: пристрій розміром приблизно з монету під’єднується до літака, а потім отримує можливість втручатися в роботу його електронних систем.

Але принцип атаки доволі приземлений. Дослідники виявили, що певні внутрішні шини обміну даними 737 мають фізичні порти, призначені для обслуговування та діагностики. Один із таких інтерфейсів пов’язаний із системами, що беруть участь у роботі Flight Management Computer — обчислювальної системи, яка відповідає, зокрема, за керування маршрутом, — і дисплеєм керування польотом.

Ключова проблема полягає в архітектурі: внутрішні системи літака мають постійно обмінюватися даними між собою, і далеко не кожен такий канал спочатку проєктували з урахуванням сценарію, у якому зловмисник фізично під’єднує до нього спеціально створений пристрій.

Дослідники назвали розроблену ними техніку Bus Driver. Загалом вона дає пристрою змогу не просто прослуховувати дані на шині, а втручатися в їхню передачу та підміняти легітимні команди. Водночас зловмиснику не обов’язково фізично перерізати дроти або встановлювати складний проміжний модуль: достатньо отримати доступ до відповідного інтерфейсу.

Що саме можна змінити

Найсерйозніша частина експерименту пов’язана з навігацією.

Дослідники показали, що за наявності такого доступу можна впливати на дані, якими обмінюються системи, пов’язані з керуванням маршрутом. Зокрема, йдеться про можливість змінити задані точки маршруту, через що автопілот потенційно може почати виконувати змінені вказівки.

Але ще цікавіша інша можливість — підміна інформації, яку бачить екіпаж.

Під час експерименту дослідники змогли впливати не лише на дані всередині авіаційної мережі, а й на інформацію, що надходить до інтерфейсу керування. Таким чином, теоретично можна створити ситуацію, коли внутрішня система літака отримує змінені параметри, а пілот на своєму дисплеї бачить дані, які виглядають нормальними.

Це принципово відрізняється від звичайної несправності.

У разі відмови обладнання система, як правило, намагається повідомити екіпаж про проблему. У разі атаки ж мета полягає в тому, щоб сама система продовжувала працювати, але частина інформації всередині неї була навмисно викривлена.

Найнебезпечніший сценарій — обман пілота

Уявімо ситуацію, коли один із параметрів літака штучно змінено.

Якщо екіпаж бачить очевидну помилку, наприклад суперечливі показання, пілоти можуть перейти на резервні прилади, вимкнути автоматичні системи й узяти керування на себе.

Але якщо шкідливий вплив виглядає як звичайні дані, виявити проблему значно складніше.

Дослідники розглядали сценарії зі зміною параметрів, важливих для розрахунків і навігації, зокрема даних про масу літака та зовнішню температуру. Некоректні значення потенційно здатні вплинути на розрахунки, які виконують авіаційні системи.

Саме тому головна загроза тут — не просто можливість «повернути літак».

Набагато небезпечніша можливість змусити автоматику ухвалювати неправильні рішення, водночас створюючи в екіпажу враження, що все працює штатно.

А за наявності Wi-Fi з’являється ще один рівень ризику

Сам пристрій має бути фізично встановлений на літаку. Це найважливіше обмеження.

Дослідники не продемонстрували сценарій, за якого невідомий зловмисник просто сидить удома й через інтернет під’єднується до випадкового Boeing 737.

Спочатку потрібно отримати фізичний доступ до літака та встановити імплант. Саме тому атака передусім належить до категорії загроз з боку людини, яка має доступ до повітряного судна на землі: працівника технічної служби, обслуговувального персоналу або іншої особи, здатної опинитися поруч із літаком у потрібний момент.

Однак після встановлення пристрою ситуація змінюється.

Прототип дослідників оснащений бездротовим інтерфейсом. Тому в певному сценарії він здатен використовувати бортову мережу Wi-Fi для зв’язку із зовнішнім оператором. Це означає потенційну можливість дистанційно взаємодіяти з уже встановленим пристроєм під час польоту.

Саме ця частина робить дослідження особливо тривожним: фізичний доступ необхідний для початкового проникнення, але подальше керування імплантом потенційно може здійснюватися віддалено.

Водночас важливо не перебільшувати результат. Дослідники не довели, що будь-який пасажир зможе під’єднатися до Wi-Fi літака й отримати керування Boeing. Такий сценарій потребує попереднього встановлення спеціального обладнання та використання конкретної архітектурної особливості літака.

Чому пілоти все ж не стають безпорадними

Попри вражаючий заголовок, дослідження не означає, що Boeing 737 перетворився на «літаючий комп’ютер без захисту».

У екіпажу залишаються способи виявити й компенсувати подібний вплив. Зокрема, ручне керування літаком дає змогу відмовитися від залежності від автопілоту, а частина інформації доступна через незалежні системи та прилади.

Самі дослідники зазначають, що уважний екіпаж у багатьох розглянутих ними сценаріях здатен помітити невідповідності й відновити контроль. Проблема виникає тоді, коли зміни достатньо малі або ретельно підібрані, щоб не викликати очевидної тривоги.

Тобто йдеться не про «кнопку, яка миттєво збиває літак», а про набагато складнішу загрозу — приховане втручання в довірене інформаційне середовище екіпажу.

Boeing знала про дослідження кілька років

Особливо важливий момент: це не вразливість, яку раптово виявили вчора і про яку виробник дізнався зі ЗМІ.

Дослідники повідомили Boeing про свої результати ще у 2020 році й продовжували взаємодіяти з компанією в міру розвитку дослідження. Вони також демонстрували елементи атаки в лабораторному середовищі Boeing. Компанія провела власну перевірку конструкції, компонентів та інтерфейсів літака у зв’язку з отриманими даними.

Крім того, дослідники не розкрили публічно деякі технічні деталі, які могли б полегшити безпосереднє відтворення атаки.

Як це взагалі могли пропустити?

Відповідь лежить у фундаментальному принципі безпеки старої авіаційної електроніки.

Сучасний літак — це не один комп’ютер. Це величезна розподілена система з безлічі спеціалізованих обчислювачів, датчиків, дисплеїв і каналів обміну даними.

Таку архітектуру створювали передусім з урахуванням надійності, відмовостійкості та передбачуваності, а не сучасного уявлення про кібербезпеку, за якого кожен пристрій і кожне повідомлення мають проходити криптографічну автентифікацію.

Якщо система десятиліттями передбачає, що фізично під’єднане до внутрішньої шини обладнання є довіреним, поява мініатюрного пристрою, здатного імітувати легітимного учасника мережі, повністю змінює модель загроз.

Саме це дослідники вважають головним висновком своєї роботи.

Що пропонують робити

Найпростіше рішення — прибрати потенційно небезпечний інтерфейс або фізично заблокувати його.

Більш фундаментальний підхід передбачає зміну самої архітектури авіаційної електроніки: посилення електричної ізоляції між системами, виявлення аномальних сигналів і, у перспективі, криптографічну автентифікацію команд усередині бортових мереж.

Це набагато складніше, ніж один раз закрити роз’єм: авіаційне обладнання проходить сертифікацію й розраховане на десятиліття експлуатації. Тому будь-яка зміна бортової електроніки потребує серйозної інженерної та регуляторної роботи.

Головний висновок

Історія з «монетою, яка зламує Boeing», звучить як черговий кіберпанк-сюжет, але дослідження демонструє цілком реальну інженерну проблему.

Літак необов’язково під’єднувати до інтернету, щоб атакувати його комп’ютерні системи. Іноді достатньо кількох секунд фізичного доступу до правильно обраного інтерфейсу.

І саме це є найважливішим результатом дослідження UC San Diego та Oberlin College. Загроза майбутнього для авіації може виходити не лише від віддаленого хакера, а й від крихітного пристрою, якого ніхто не помітить після технічного обслуговування.

Водночас пасажирам не варто сприймати дослідження як доказ того, що літати на Boeing 737 стало небезпечно: продемонстрована атака потребує фізичного доступу, спеціального обладнання та глибокого розуміння конкретної архітектури літака. Ба більше, дослідники заздалегідь розкрили проблему виробнику, а Boeing провела власну перевірку.

Але сама ідея змінює правила гри: в епоху мініатюрної електроніки навіть фізично ізольована авіаційна система має розглядатися як потенційна кіберціль.