Американские специалисты по кибербезопасности обнаружили потенциально опасный способ вмешательства в обмен данными между отдельными бортовыми системами Boeing 737. Для эксперимента исследователи собрали устройство размером примерно с монету, которое подключается к диагностическому разъёму самолёта и позволяет перехватывать, изменять и подменять информацию, передаваемую между компьютером управления полётом FMC и интерфейсом MCDU, через который экипаж взаимодействует с ним.

Уязвимость выглядит серьёзно, однако речь не идёт о возможности мгновенно «угнать самолёт через Wi-Fi». Для первоначальной установки оборудования необходим физический доступ к техническому отсеку, а критически важные функции авиалайнера защищены резервированием, независимыми проверками и процедурами экипажа. Тем не менее эксперимент продемонстрировал важную проблему старой авиационной архитектуры: сервисный интерфейс, изначально предназначенный для диагностики, способен превратиться в точку для скрытого вмешательства в данные, если злоумышленник получит к нему доступ.

Слабым местом оказался диагностический разъём

Исследователи изучали электронную архитектуру Boeing 737 и обратили внимание на один из сервисных портов в отсеке электронного оборудования самолёта. Он находится в районе передней части фюзеляжа неподалёку от передней стойки шасси.

Разъём предназначен для технического обслуживания, диагностики и проверки оборудования. При этом он связан с каналом передачи данных, используемым для взаимодействия важных элементов авионики.

В частности, речь идёт о Flight Management Computer — компьютере системы управления полётом — и Multifunction Control and Display Unit. Последний представляет собой интерфейс, через который экипаж вводит и получает информацию, связанную с маршрутом, характеристиками самолёта и другими параметрами.

Исследователей насторожило то, что сервисный интерфейс практически не защищён на физическом уровне. Разъём закрывается крышкой, основная задача которой заключается в защите контактов от загрязнения, а не в предотвращении несанкционированного подключения.

Миниатюрное устройство становится посредником между системами

Для проверки возможной атаки специалисты разработали небольшой аппаратный модуль, который можно подключить непосредственно к обнаруженному сервисному интерфейсу.

После установки устройство способно работать как посредник в канале связи. Оно получает проходящие данные, анализирует их и при необходимости изменяет перед отправкой получателю.

Таким образом исследователи смогли продемонстрировать несколько вариантов вмешательства: перехват сообщений, внесение собственных данных, изменение существующих значений и полную подмену отдельных команд.

Опасность такого подхода заключается ещё и в том, что оборудование после физической установки теоретически может продолжать работать без непосредственного присутствия человека рядом с техническим отсеком.

После установки устройство может получить удалённое управление

Авторы исследования также рассмотрели возможность подключения миниатюрного модуля к доступной на борту сетевой инфраструктуре.

При соответствующей конфигурации это позволяет превратить локально установленное оборудование в удалённо управляемый инструмент. Иными словами, злоумышленнику всё равно пришлось бы сначала получить физический доступ к самолёту и установить устройство, однако после этого постоянное присутствие рядом с авиалайнером уже не обязательно.

Именно это обстоятельство заметно повышает потенциальный риск подобных атак. Маленький аппаратный имплант значительно сложнее обнаружить, чем полноценное постороннее оборудование, особенно если технический персонал не знает, что именно необходимо искать.

При этом важно разделять такую схему и популярный сценарий «взлома самолёта через пассажирский Wi-Fi». Сам по себе доступ пассажира к беспроводной сети не означает получения доступа к авионике: в описанном эксперименте ключевым условием является заранее установленное физическое устройство.

Исследователи смогли подменять важные параметры

Одним из наиболее серьёзных сценариев стало изменение информации, используемой при подготовке самолёта к взлёту.

В качестве примеров приводятся температура наружного воздуха и масса воздушного судна. Эти параметры участвуют в расчёте взлётных характеристик, включая необходимую тягу двигателей и другие значения, которые экипаж использует перед началом разбега.

Если компьютер получает неправильные исходные данные, результаты вычислений также могут оказаться ошибочными. Теоретически это способно привести к ситуации, когда выбранная тяга окажется недостаточной для ожидаемых условий взлёта.

Подобные ошибки сами по себе давно известны авиационной отрасли и не обязательно связаны с кибератаками: неправильные данные могут появиться из-за человеческого фактора, технической неисправности или ошибочного ввода.

Именно поэтому современные процедуры предусматривают дополнительные проверки и независимые расчёты, не позволяющие полагаться исключительно на один источник информации.

Можно попытаться незаметно изменить маршрут

Другой рассмотренный исследователями сценарий касается плана полёта. Получив возможность вмешиваться в обмен информацией между системами, атакующий потенциально способен изменять отдельные параметры маршрута.

Наиболее опасным считается не резкое и очевидное изменение курса, которое экипаж быстро заметит, а небольшие корректировки. Теоретически их можно подобрать таким образом, чтобы самолёт постепенно отклонялся от запланированной траектории.

Однако и здесь существуют дополнительные уровни защиты. Пилоты контролируют положение воздушного судна не только через один дисплей или компьютер. Кроме того, перемещение авиалайнера отслеживается диспетчерскими службами.

Существенное отклонение от разрешённого маршрута или высоты практически неизбежно привлечёт внимание как экипажа, так и диспетчеров.

Это не означает полного контроля над Boeing 737

Фраза «взлом систем самолёта» в данном случае может создать несколько преувеличенное представление о возможностях обнаруженной атаки.

Исследователи действительно показали возможность вмешательства в информацию между отдельными компонентами авионики, однако из этого не следует, что небольшое устройство автоматически предоставляет полный контроль над самолётом.

Авиационные системы проектируются с резервированием именно потому, что отдельные компьютеры, датчики и каналы связи могут выйти из строя или начать передавать ошибочные сведения.

Некоторые вычисления выполняются независимо несколькими системами, а экипаж обучен распознавать противоречивые показания и действовать при отказах оборудования. Поэтому компрометация одного канала не должна автоматически приводить к потере управления самолётом.

Исследование скорее демонстрирует возможность создать для экипажа опасную ситуацию с недостоверными данными, чем сценарий дистанционного перехвата управления авиалайнером.

Главная проблема — физический доступ к самолёту

У описанного способа атаки существует серьёзное ограничение: злоумышленнику необходимо подобраться непосредственно к техническому оборудованию Boeing 737.

Обычный пассажир во время полёта сделать этого не может. Потенциальный атакующий должен иметь доступ к соответствующей зоне самолёта во время технического обслуживания, стоянки или других наземных операций.

Таким образом, реальная модель угроз в первую очередь касается сотрудников и подрядчиков с доступом к воздушному судну, компрометации технического персонала или нарушения контроля на охраняемой территории.

Тем не менее исследователи считают, что полагаться исключительно на ограничение физического доступа недостаточно. Самолёты эксплуатируются десятилетиями, проходят обслуживание в разных аэропортах и технических центрах и за время эксплуатации оказываются в руках большого количества специалистов.

Старые интерфейсы создавались в другую эпоху

Обнаруженная проблема хорошо показывает фундаментальное различие между традиционной авиационной электроникой и современными подключёнными системами.

Многие архитектурные решения Boeing 737 появились в период, когда вероятность установки в самолёт крошечного компьютера с беспроводной связью практически не рассматривалась. Если человек получил физический доступ к сервисному разъёму, предполагалось, что он является авторизованным специалистом и использует порт по назначению.

Сегодня миниатюрная электроника стоит недорого и способна выполнять функции, для которых раньше потребовалось бы значительно более крупное оборудование. Поэтому физически доступный диагностический интерфейс становится потенциальной точкой атаки даже без обнаружения классической программной уязвимости.

Простого и дешёвого исправления может не быть

Авторы исследования предложили несколько способов уменьшения риска. Самый очевидный вариант — обеспечить физическую защиту сервисного разъёма, чтобы подключить к нему постороннее устройство без вскрытия пломбы или другого заметного вмешательства было невозможно.

Более фундаментальный подход заключается в усилении изоляции различных сегментов бортовой электроники и внедрении криптографической проверки передаваемых сообщений. В таком случае простого физического подключения к линии было бы недостаточно для успешной подмены данных.

Однако модернизация авиационной электроники намного сложнее обновления обычного компьютера. Любые существенные изменения должны проходить длительные испытания и сертификацию, а переоборудование большого количества уже эксплуатируемых самолётов может потребовать значительных расходов.

Поэтому исследование интересно не столько найденным «гаджетом для взлома Boeing», сколько обнаруженным противоречием между авиационными системами, рассчитанными на десятилетия эксплуатации, и современными угрозами. Маленький компьютер сегодня способен выполнять функции, которые создатели старых сервисных интерфейсов едва ли могли учитывать при проектировании самолёта.