¿Se puede hackear un Boeing 777?

Actualmente, la respuesta a esta pregunta es, en principio, no para aviones comerciales , al menos no de forma remota. Hay dos partes en esto:

Desde la perspectiva del sistema:

• Los sistemas de las aeronaves probablemente podrían ser 'hackeados', suponiendo que, por ejemplo, pudiera arruinar la computadora de vuelo cambiando los chips en el vientre, pero no hay forma de que realmente pueda lograr esto sin que los pilotos noten que el curso está muy lejos de la brújula. por ejemplo, para que lo descubran y lo apaguen. Muchos sistemas no están conectados de una manera que les permita causar daño a otros. Los sistemas también son bastante dedicados: si se supone que debe volar el avión, eso es lo que hace, si se supone que debe navegar, eso es lo que hace.

• Los sistemas de las aeronaves generalmente tienen una conexión limitada, si es que tienen alguna, con el mundo exterior. Hay algunos sistemas que tienen la capacidad de conectarse a tierra, y esto generalmente se limita a mensajes de texto simples. La mayoría de los componentes electrónicos del 777 son de la introducción del tipo en 1994. Creo que una analogía decente es intentar hackear un teléfono celular antiguo de forma remota.

Y desde un punto de vista práctico:

• Los aviones son generalmente muy rígidos cuando se trata de cambios; a menudo se aprueban en una determinada configuración, y luego se mantienen, por lo que hay poca necesidad de cambiar cosas y, por lo tanto, no es posible. Esto se aplica al piloto automático y los controles de vuelo: una vez que está allí, permanece allí.

• Como algunas personas han señalado, estos sistemas son propietarios y de código cerrado, por lo que es difícil programarlos si eres un extraño, pero en teoría podría ser posible.

El hecho de que ningún avión, incluso el Airbus con uso intensivo de computadoras, haya sido realmente pirateado en alguna medida, la idea de que todo el avión sería tomado y volado a alguna parte es imposible.

En cuanto al enlace de la pregunta original :

“La FAA ha determinado que la técnica de piratería descrita durante una reciente conferencia de seguridad informática no plantea un problema de seguridad de vuelo porque no funciona en hardware de vuelo certificado”, dijo.

“La técnica descrita no puede activar o controlar el sistema de piloto automático de la aeronave utilizando el FMS ni evitar que un piloto anule el piloto automático”, dijo Dorr.

“Por lo tanto, un pirata informático no puede obtener 'el control total de un avión', como afirma el consultor de tecnología”, dijo Dorr.

De manera similar, creo que escuché una historia sobre un Bombardier Dash 8 que tuvo un virus informático una vez, pero creo que nunca pasó del sistema de navegación, la parte que requiere más procesamiento. Desafortunadamente, no puedo encontrar una fuente para esto.

Hay ciertos sistemas de comunicación que teóricamente podrían ser pirateados. CPDLC se usa para comunicarse digitalmente entre pilotos y controladores, por lo que si fuera pirateado, alguien podría enviar instrucciones al piloto que parecerían provenir de un controlador, y los pilotos no notarían la diferencia.

Los planes de vuelo también se pueden cargar en el sistema de gestión de vuelos en algunos casos y se pueden usar para programar una ruta diferente.

Sin embargo, una cosa a tener en cuenta es que los pilotos todavía están íntimamente involucrados. Ellos ven y aprueban todos los cambios. Los cambios menores pueden pasar desapercibidos, pero si se les indica que vuelen en una dirección completamente diferente o a un destino diferente, probablemente comenzarán a hacer preguntas. Si fueran enviados directamente hacia una montaña u otro avión, probablemente lo notarían u otros sistemas de seguridad intervendrían para advertirles.

Incluso en el "peor de los casos" en el que alguien pudiera reprogramar el piloto automático (no creo que esto sea posible en este momento), el piloto siempre puede apagarlo y volar manualmente.

En resumen, esto no es realmente algo de qué preocuparse.

Todo es posible. Por ejemplo, la NSA podría haber obligado a un fabricante a incluir alguna puerta trasera en el sistema para su uso.

"Hackear" tiene una variedad de definiciones, desde leer datos privados de un sistema no crítico hasta interrumpir o confundir un modo de aviónica, tomar el control del avión y bloquear a los pilotos. Esto complica la discusión sobre la probabilidad de que los aviones sean "pirateados".

En general, el consenso reciente parece ser que bajo algunas definiciones de "hackeo", esto ciertamente es posible , incluso sin conocimiento interno. Hay algunos informes de hacks exitosos, aunque dado que los detalles son confidenciales, es difícil saber qué lograron los investigadores o su método de ataque. Tanto los investigadores como los fabricantes de aviones parecen estar de acuerdo en que tomar el control de un avión durante más de unos segundos sería extremadamente difícil, pero no imposible, y eso es incluso con conocimiento interno o acceso prolongado al avión.

La guía de política actual de la FAA se puede encontrar en PS-AIR-21.16-02 . Escuché que la FAA eventualmente reconocerá DO-326 como un medio de cumplimiento.

Voy a proporcionar información sobre las medidas de seguridad e integridad que son estándar en la industria y que dificultan la piratería de la aviónica. En particular, la piratería de aviónica es un tipo de piratería de dispositivos integrados críticos para la seguridad, no una piratería de servidores o computadoras personales. Los dispositivos integrados críticos para la seguridad tienen una superficie de ataque mucho más pequeña y muchos más métodos de mitigación, como se describe a continuación.

Modelo de amenazas y diferencias con las computadoras

Las amenazas a las que se enfrenta en los aviones son muy diferentes a las de los servidores y los portátiles. Especialmente para los sistemas más críticos como pantallas y pilotos automáticos, los tipos de datos son estrictos, los mensajes están programados, el tiempo de procesamiento es limitado y rara vez se usan cadenas. Para lograr la mayoría de los ataques tradicionales, tendría que romper estos protocolos. Esto es similar a otros tipos de programación integrada donde el software es tan inflexible que la superficie de ataque es pequeña.

Algunas cosas que definitivamente ayudan a los atacantes aquí incluyen el acceso físico al proceso de actualización del software, poder trabajar con el avión durante varios días, conocimiento interno, equipo de RF simple o la capacidad de secuestrar las comunicaciones satelitales al avión. Si su atacante tiene algunos de esos, la amenaza es mucho más grave.

Disponibilidad

¿Es posible alterar la disponibilidad de los sistemas de aeronaves? Sí, si puedes manipular las señales correctas. Podría, por ejemplo, hacer que la computadora de control de vuelo piense que un sensor se ha estropeado. Podría arrojar muchos sensores con señales de radio lo suficientemente potentes. Una vez, un error en el software de visualización del 787 NG hizo que todas las pantallas se apagaran. Además, la mayoría de las computadoras de vuelo usan procesadores listos para usar con muchos comportamientos extraños, y especialmente si un exploit le permite ejecutar un código de ensamblaje arbitrario, podría explotar algunos de estos para desconectar el sistema de aviónica.

Sin embargo, la disponibilidad no es una preocupación tan grande como la integridad de la aviónica. A la mayoría de la gente le preocupa mucho que un pirata informático tome el control total del avión, sin obligar al piloto a volar a mano.

Fraccionamiento

Las diferentes funciones, especialmente las que se encuentran en diferentes niveles de seguridad, están por reglamento aisladas entre sí. Aunque históricamente los aviones han tenido hardware dedicado para cada componente, hoy en día gran parte de este software se ejecuta en computadoras LRU compartidas (esto se denomina arquitectura IMA). Pero a pesar de compartir hardware, los procesos de software están estrictamente aislados entre sí y durante la certificación se demuestra que ninguna falla del procesador, condiciones de error, desbordamientos, etc. podrían transferirse de un proceso a otro, especialmente un proceso de nivel superior. Sí, las señales pasan entre particiones, pero cualquier señal que pase de un nivel de seguridad más bajo a un nivel más alto se justifica individualmente para garantizar que no cause problemas de seguridad.

Para que un exploit tenga un efecto catastrófico, tendría que sortearlos 1) trabajando directamente con hardware y procesos de nivel A 2) encontrando una suposición deficiente sobre el impacto de una señal de nivel inferior. Estas suposiciones pobres existen, pero son raras.

Consulte DO-297 y DO-178C para obtener más información sobre esta partición.

Pruebas

Muchos hacks en computadoras personales ocurren debido a pruebas inadecuadas que permiten excepciones y fallas en el sistema. El software de nivel A se prueba de manera mucho más exhaustiva que la mayoría de las aplicaciones o el software para PC. Cada línea se prueba para la cobertura de MC-DC (no exhaustiva, pero cada decisión debe ejercerse como Verdadero y Falso). La cobertura estructural también se evalúa para garantizar que no se produzcan interacciones no deseadas. Si ocurren fallas, el RTOS está diseñado para encargarse de estas fallas de manera predecible y confiable.

Actualizaciones de software

Ok, digamos que no puede encontrar una manera de ejecutar código arbitrario, ¿puede estropear el proceso de actualización del software? Esto inicialmente parece viable, especialmente dada la nueva tendencia de actualizar el firmware de aviónica a través de redes. Hay varios problemas aqui.

• La mayoría de los aviones no están conectados directamente a Internet para obtener actualizaciones de aviónica. Entonces, tendría que obtener acceso a la red local para obtener actualizaciones y luego también obtener acceso a los aviones que usan esta red.
• La mayoría de las actualizaciones de software utilizan una verificación de integridad de alta fidelidad, para lo cual necesitaría una colisión hash increíblemente difícil. Algunos procesos de actualización no tienen controles de alta fidelidad, pero si este es el caso, deben calificar a las autoridades de que su proceso de actualización es estable y a prueba de errores. Hay fallas que podrían explotarse, como mostró el problema encontrado durante el accidente del A400M en Sevilla. Entonces, la única opción sería falsificar el CRC también para la actualización y/o encontrar un exploit en un proceso de carga calificado.
• Las actualizaciones basadas en la red también realizan un seguimiento de los números de versión y pueden realizar un seguimiento de las comprobaciones de integridad del software. Por lo tanto, no puede forzar exactamente una actualización de la versión 13 a una v. 13.1 pirateada sin que alguien se dé cuenta.
• Actualmente , los ataques a la cadena de suministro son cada vez más frecuentes. Si bien estoy seguro de que un ataque a la cadena de suministro podría ser factible, las regulaciones como la calificación de herramientas DO-330 y el control de configuración DO-178 han protegido contra cambios involuntarios durante las compilaciones de software durante años. Las versiones de código probadas y revisadas se controlan cuidadosamente y se comparan con las versiones finales, los entornos de creación de software se bloquean y califican, y las listas de bibliotecas incluidas se documentan y aprueban. Tendría que encontrar un punto ciego en estos procesos para atacar la cadena de suministro de software.
• Las actualizaciones de software (no las actualizaciones de la base de datos de navegación) se realizan con poca frecuencia, tal vez una vez cada tres años, lo que mitiga en gran medida la oportunidad de piratear una carga de software. Los enclavamientos están en su lugar para evitar que se vuelva a cargar el software cuando no se desee. Esta poca frecuencia también conduce a un mayor escrutinio de todo el proceso.

Para obtener más análisis de las medidas de seguridad para evitar que se carguen software o bases de datos corruptos, le sugiero que consulte los estándares para este proceso: DO-200A, Capítulo 5 de la Orden 8110.49 de la FAA y AC 20-153 de la FAA.

Desconexión Manual y Automática

Por lo general, el piloto automático y otro software son administrados por otro sistema que tiene enclavamientos y lógica de desconexión. Estos tienen estándares de seguridad y pruebas escritas para garantizar que funcionen de manera confiable, incluido el requisito de un método sin software para desactivar el piloto automático. Esto hace que sea muy complicado encontrar un exploit aquí sin, por ejemplo, poder ejecutar código arbitrario.

Incluso si este software de desconexión no funciona, los pilotos tienen disyuntores y pueden desactivar todo el sistema de aviónica y luego volar el avión a mano. Vea la respuesta de BigHomie para una discusión sobre qué tan factible es piratear esto (respuesta: no mucho).

En teoría, esto debería funcionar, pero en ciertas situaciones el avión podría ponerse en una situación insegura antes de que el piloto pudiera recuperar el control. Como demostraron los incidentes del 737 Max, puede ser difícil recuperarse de un cabeceo repentino cuando está cerca del suelo, incluso si puede desactivar manualmente el piloto automático o desactivar manualmente el sistema de compensación.

Nota: no soy un experto en aviónica o seguridad de dispositivos integrados. La piratería tiende a ser pensar fuera de la caja, así que avíseme si algo que asumo aquí es inexacto o si me olvido de algo.

Cualquier computadora puede ser hackeada. No estoy diciendo que tenga el conocimiento para hacerlo, o que sepa mucho sobre aviones para decirte cómo hacerlo. Sin embargo, si alguien con los conocimientos necesarios tuviera el tiempo, la motivación y el acceso adecuados a un avión, definitivamente podría hacerlo. Si está preguntando si se puede tomar el control de un avión desde el suelo en pleno vuelo, sin ninguna modificación previa, no puedo responder porque no sé lo suficiente sobre el sistema.

Teóricamente, discutir cómo piratear un avión en pleno vuelo, con o sin modificaciones previas, probablemente me marcaría y colocaría en una lista en algún lugar, por lo que me niego a entrar en detalles al respecto.

Sin embargo, uno debe pensar en qué protocolos inalámbricos se utilizan para que un avión se comunique con el suelo, qué subsistemas informáticos pueden acceder a ese enlace físico y si esos subsistemas pueden controlar el avión o acceder a otros subsistemas que pueden controlar el avión.

'Bloquear un piloto' probablemente implique desactivar un interruptor manual en algún lugar, difícil de hacer a través de una computadora, pero se puede hacer si se pasó suficiente amperaje a través del interruptor para quemarlo, o si se manipuló de antemano (modificación previa).

Si estamos hablando de cómo, este es un episodio de Numb3rs con un tema similar, sin embargo, no estaría muy lejos de lo que debería suceder en la vida real.