Dit muntvormige apparaat kan een Boeing 737 hacken

Hoewel de digitale componenten van veel kritieke systemen—zoals auto's, medische apparaten en zelfs waterzuiveringsinstallaties en elektriciteitsnetten—gevoelig zijn gebleken voor cybersabotage, zijn de computersystemen van vliegtuigen tot nu toe uniek ontoegankelijk gebleven voor hackers. Een groep academische onderzoekers heeft echter jarenlang een andere, geraffineerde benadering van luchtvaartcyberbeveiliging getest. Zij suggereren dat een vliegtuig gehackt zou kunnen worden op dezelfde manier als spionnen en saboteurs andere waardevolle offline computers aanvallen: door heimelijk fysieke toegang te verkrijgen en een apparaat in te pluggen dat is ontworpen om onopgemerkt kwaadaardige code uit te voeren.

Tijdens de Usenix-conferentie over cybersecurity presenteren onderzoekers van de University of California San Diego (UCSD) en Oberlin College een hackingtechniek waarmee de autopiloot van een Boeing 737 kan worden overgenomen om de navigatie om te leiden. Daarnaast kan de techniek belangrijke waarden in de start- en brandstofberekeningen van het vliegtuig ongemerkt wijzigen, terwijl de resultaten op het scherm van de piloot worden vervalst. Volgens de onderzoekers kunnen deze subtiele wijzigingen leiden tot alles: van het overschrijden van de landingsbaan bij het opstijgen tot het afwijken naar het luchtruim van een ander land of zelfs catastrofale crashes.

Om deze hack uit te voeren, hebben ze een prototype gebouwd dat ongeveer zo groot is als een munt, is voorzien van wifi en minder dan 100 dollar kost. In minder dan een minuut kan dit hardware-implantaat worden geplaatst in een poort die toegankelijk is via een luik aan de buitenkant van het vliegtuig—een poort die routinematig binnen handbereik is van onderhoudspersoneel of andere luchthaven- en airlinemedewerkers tussen vluchten door. Eenmaal geplaatst kan het apparaat elektrische signalen verzenden over een van de interne netwerken van de 737 om commando's te vervalsen naar gevoelige computersystemen die de autopiloot aansturen en de piloot voorzien van variabelen, zoals het totale gewicht van het vliegtuig en de buitentemperatuur. Deze gegevens spelen een cruciale rol bij de startberekeningen van een 737.

Door de haalbaarheid van deze techniek aan te tonen—een proces dat meer dan tien jaar duurde en waarbij voor tienduizenden dollars aan vliegtuigonderdelen werd gekocht voor tests—hopen de onderzoekers aan te tonen dat dit soort hacking via fysieke toegang een praktisch gevaar vormt in de handen van goed gefinancierde saboteurs en een aanzienlijk blinde vlek is in de beveiliging van vliegtuigen. Vergeleken met de traditionele dreiging van het plaatsen van een bom op een vliegtuig, stellen zij dat deze aanpak een aanvaller meer controle, stealth en ontkenbaarheid biedt.

"Als je 60 seconden toegang zou hebben tot een vliegtuig, wat zou je dan kunnen doen?" vraagt Stefan Savage, een van de professoren in de informatica aan de UCSD die het project leidde. "Nou, het blijkt dat er een poort is die extern toegankelijk is. Je kunt er in ongeveer 15 seconden bij zonder speciaal gereedschap. En je kunt er een elektronisch onderdeel in schuiven dat iets groter is dan een munt, waarmee je in feite de autopiloot kunt vertellen wat hij moet doen en kunt liegen tegen de piloot over wijzigingen in het vluchtplan."

De onderzoekers maken niet openbaar welke poort ze op de 737 hebben getarget, noch delen ze alle details over hoe hun hackingapparaat in staat is om commando's naar de computers van het vliegtuig te vervalsen. Ze hebben nauw samengewerkt met Boeing om hun bevindingen te delen; ze hebben delen van hun onderzoek al meer dan zes jaar geleden aan het bedrijf gemeld en hebben hun aanval zelfs getest en gedemonstreerd in een testlab van Boeing.

Toen WIRED contact opnam met Boeing over het werk van de onderzoekers, reageerde het bedrijf in een verklaring dat het naar aanleiding van de bevindingen een eigen review had uitgevoerd van de ontwerpen, installaties en interfaces van zijn componenten. Boeing speelde het praktische risico van de techniek echter down. "Onze technische experts zijn er van overtuigd dat de aanwezige beschermingslagen op het vliegtuig, inclusief binnen het systeemontwerp en de operationele omgeving, voldoende mitigatie bieden om de haalbaarheid en het risico van aanvallen in de echte wereld aanzienlijk te beperken," aldus de verklaring.

De onderzoekers zeggen op hun beurt dat Boeing hen niet heeft geïnformeerd over een technische oplossing voor de ontdekte kwetsbaarheden. Ze speculeren dat het bedrijf mogelijk jarenlang geen update voor hun systemen zal implementeren, gezien hoe zelden commerciële vliegtuigen worden herontworpen.

Het gebrek aan een onmiddellijke beveiligingsupdate zou geen reden moeten zijn voor paniek of het aan de grond houden van vliegtuigen, schrijven ze in hun paper. "Alle auteurs van dit artikel reizen routinematig in Boeing 737-toestellen en verwachten dat te blijven doen," staat er in de inleiding.

Savage betoogt echter dat het onderzoek de noodzaak heeft aangetoond voor veranderingen op de lange termijn in zowel de cybersecurity van vliegtuigcomponenten als, wellicht directer, de operationele beveiligingsmaatregelen die bepalen wie toegang heeft tot een vliegtuig terwijl het op de grond staat. Hun eenvoudigste suggestie voor een oplossing: vul de poort met epoxy of verwijder deze volledig.

"Dit is iets waar de luchtvaartindustrie zich op wil voorbereiden om zich ertegen te verdederen," zegt Savage. "Ik zou hier niet te makkelijk over denken."

Een vliegtuig bouwen en vervolgens slopen

De interesse van dit team in het hacken van een vliegtuig ontstond bijna anderhalf decennium geleden, toen sommigen van hen de eerste succesvolle technieken demonstreerden om via internet de computersystemen van een auto te hacken, inclusief de besturing en de remmen. Hun proof-of-concept-aanvallen, met name die waarbij gebruik werd gemaakt van het OnStar-systeem van een Chevy Impala, luidden een tijdperk in van onderzoek naar automotive hacking. Dit leidde uiteindelijk tot een fundamentele verandering in de cybersecuritypraktijken van autofabrikanten, inclusief het lanceren van bug bounty-programma's en het inhuren van carhackers om kwetsbaarheden op te sporen.

Na dat werk suggereerde een teamlid, destijds onderzoekswetenschapper aan de UCSD, Kirill Levchenko, dat ze het vervolgens eens met vliegtuigen zouden proberen. Maar in tegenstelling tot een Chevy Impala lag een Boeing 737 ver boven hun budget. "Ik wees erop dat we niet zomaar een vliegtuig kunnen kopen en in de voortuin kunnen zetten, maar hij liet zich niet ontmoedigen," zegt Savage.

In de jaren die volgden begon het team computercomponenten van dat commerciële vliegtuig te kopen telkens wanneer ze die te koop vonden, waarbij ze tienduizenden dollars uitgaven om de apparatuur op de tweedehandsmarkt te verwerven. Tegen 2019 hadden ze wat ze "Triton" noemden geassembleerd: een "avionics test bed" dat in feite bestond uit met elkaar verbonden computeronderdelen van een 737.

Rond diezelfde tijd werkte UCSD-professor Aaron Schulman aan een ander onderzoeksproject over creditcard-skimmingapparaten die hackers fysiek plaatsten op betaalterminals bij benzinestations om betalingsinformatie te stelen. "We realiseerden ons dat het een reële dreiging is dat iemand een apparaat in een bus plugt om gegevens uit te lezen en mogelijk zelfs de controle over te nemen," zegt Schulman. Met "bus" bedoelt hij een intern netwerk dat componenten van een digitaal apparaat met elkaar verbindt. Schulman begon zich af te vragen of een soortgelijke fysieke aanval ook zou werken op de interne bus van een vliegtuig. "We dachten: 'Wacht eens even, we moeten alles opnieuw overdenken'."

Met dit idee in het achterhoofd zocht een van Schulmans student-onderzoekers, Sam Crow, door honderden pagina's aan bedradingsschema's van Boeing. Hij ontdekte dat één specifieke poort—die doorgaans alleen beschermd wordt door een luik zonder slot—verbonden was met een bepaalde 737-bus die data transporteert voor twee cruciale computercomponenten: de Flight Management Computer en de Multipurpose Control Display Unit. Kort daarna ontdekte Crow met behulp van de testopstelling dat wanneer hij verbinding maakte met die bus en elektrische signalen verzond met een hogere stroomsterkte dan de legitieme signalen, hij die commando's kon overschrijven met zijn eigen. Deze techniek noemden de onderzoekers later "Bus Driver".

Hiermee had hij een toegankelijk startpunt op het netwerk gevonden van waaruit hij elektrische commando's kon verzenden en kon knoeien met het vluchtplan en kritieke delen van de interface van de piloot. Zoals Savage het verwoordt: "Het was alsof hij de uitlaatpoort van de Death Star had gevonden."

Een kleine verstekeling met wifi aan boord

In het voorjaar van 2020 waarschuwden de onderzoekers Boeing voor hun bevindingen en kregen een verrassend geïnteresseerde reactie. Ze zouden de komende jaren updates over hun bevindingen met het bedrijf blijven delen.

Crow verfijnde het hackingapparaat snel tot hij een versie had die klein genoeg was om in de onbeschermde poort van de 737 te passen, onder een stofkap die de poort gewoonlijk bedekte, waardoor het apparaat volledig uit het zicht bleef. Het kleine apparaat bevatte een chip die hun aanvalscode kon uitvoeren, evenals een wifi-radio. Die radio zou in theorie het hackingapparaat in staat stellen om via het wifi-netwerk aan boord van het vliegtuig verbinding te maken met internet en een signaal te sturen naar de beheerder. Hierdoor kan de aanvaller het apparaat en de verzonden commando's op afstand besturen.

Tijdens de coronapandemie stuurde Schulman de avionica-apparatuur van het team naar de woning van Crow in de Bay Area, waar hij verderwerkte in zijn slaapkamer. Al snel verbeterde hij het vermogen van het apparaat om ongemerkt commando's naar de gevoelige systemen van het vliegtuig te onderscheppen, te wijzigen en te vervalsen. Het apparaat kon bijvoorbeeld verbinding maken met de Flight Management Computer en de waypoints wijzigen die in de autopiloot waren geprogrammeerd, waardoor de koers van het vliegtuig werd aangepast, of variabelen zoals het gewicht of de buitentemperatuur wijzigen. Door tegelijkertijd elektronisch in te grijpen in de Multipurpose Control Display Unit, kon het apparaat voorkomen dat deze wijzigingen op het scherm van de piloot verschenen.

Als een piloot wordt misleid om te denken dat de buitenlucht kouder was—of dat de lading van passagiers en vracht lichter was dan in werkelijkheid—zou de 737 mogelijk niet de nodige snelheid voor de start bereiken voordat de landingsbaan op is. Door het vluchtplan te manipuleren, kan de autopiloot worden gedwongen de koers te wijzigen, waardoor het vliegtuig het luchtruim van een ander land binnenvaart, waar het zou kunnen worden overgenomen door de luchtmacht van dat land. Een plotselinge navigatiewijziging zou een vliegtuig potentieel tegen een berg kunnen laten crashen, terwijl een langzame wijziging een transoceanische vlucht in de verkeerde richting kan sturen tot de brandstof boven de oceaan op is. "Het kan iets subtiels zijn; je bent in de Stille Oceaan, je ziet overal blauw, en dit leidt je 3 graden van de koers af, waardoor je plotseling in het midden van nergens bent," zegt Schulman.

De onderzoekers merken op dat een oplettende piloot in staat zou zijn om zich te herstellen van bijna al de aanvallen die ze hebben bedacht: het handmatig overnemen van het vliegtuig overschrijft de autopiloot, en zelfs als de Multipurpose Control Display Unit gehackt zou worden, zouden de correcte waarden op een ander scherm in de cockpit verschijnen. Maar zelfs in dit scenario zegt Schulman dat de piloot "zou zien dat dit niet overeenkomt, maar geen idee zou hebben waarom, wat erg verwarrend zou zijn en hen waarschijnlijk naar een onzekere conclusie zou leiden over wat ze nu moeten doen." In een minder optimistisch scenario—of als de hacker een subtielere wijziging implementeert—zegt Schulman dat een piloot het mogelijk pas merkt als het te laat is.

In hun paper schetsen de onderzoekers een reeks oplossingen voor de ontdekte kwetsbaarheid, beginnend bij het volledig verwijderen van de connector in de kwetsbare poort, of het dichtplakken ervan met epoxy. Voor de langere termijn suggereren ze dat de systemen van vliegtuigen kunnen worden bijgewerkt met softwarebeveiliging die de "Bus Driver"-techniek detecteert, of dat systemen beter elektrisch geïsoleerd worden (zoals in sommige militaire vliegtuigen), of dat er cryptografische authenticatie wordt toegevoegd om het vervalsen van signalen tussen de systemen van het vliegtuig te voorkomen.

De oproep voor dit soort updates—niet alleen voor Boeing, maar voor de hele luchtvaartindustrie—is verre van alarmistisch, gezien de praktische haalbaarheid van de aanval, zegt Beau Woods, een cybersecurityconsultant die als adviseur heeft gefunctioneerd voor de Cybersecurity and Infrastructure Security Agency (CISA) en als lid van de Industry Cyber Technical Council van Boeing. "Het is volledig mogelijk dat iemand van het personeel naar een vliegtuig gaat terwijl het op de grond staat voor onderhoud en dit soort apparatuur plaatst," zegt Woods, die het werk van de onderzoekers vóór publicatie heeft gelezen. De paper, zo stelt hij, "lijkt op solide empirisch bewijs over realistische scenario's voor tegenstanders met hoge capaciteiten."

De techniek van de onderzoekers laat volgens hem zien hoe het "dreigingsmodel" voor elk zeer gevoelig systeem moet veranderen naarmate de technologie van potentiële aanvallers vordert. In dit geval: het feit dat het mogelijk is geworden om een volledige hardware-opstelling, die verbinding kan maken met de wifi van het vliegtuig en commando's naar de systemen kan doorsturen, op een klein schijfje te plaatsen dat verborgen is in de stofkap van een onopvallende plug.

"Nu het onderzoek is gepubliceerd, kan worden begrepen en erkend dat de realiteit is veranderd," zegt Woods. "Dreigingsmodellen uit de 20e eeuw overleven zelden het contact met de tools en technieken van de 21e eeuw."