Un dispositivo grande come una moneta ha alterato in un test il piano di volo di un Boeing 737

Un gruppo di ricercatori e professori dell’Università della California a San Diego e dell’Oberlin College ha dimostrato che un piccolo circuito elettronico può sostituirsi alle comunicazioni tra il computer che gestisce il piano di volo di un Boeing 737 e il terminale con tastiera e schermo usato da chi siede nella cabina dell’aereo.

Il lavoro, presentato il 13 agosto al 35° USENIX Security Symposium di Baltimora, ha permesso di cambiare i punti della rotta e alcuni dati usati per calcolare il decollo, mostrando al comandante informazioni apparentemente normali.

La prova completa è stata eseguita su banco prova formato da autentici apparati avionici del 737, non su un aereo in servizio, in volo.

Il test e il suo limite

Lo studio di Sam Crow, Stephen Checkoway, Patrick Mercier, Pat Pannuto, Stefan Savage e Aaron Schulman riguarda i Boeing 737 Next Generation e MAX.

I ricercatori hanno acquistato sul mercato dell’usato un Flight Management Computer (FMC), ovvero il computer di bordo che gestisce la navigazione e ottimizza automaticamente la rotta, i consumi e le prestazioni di un aereo durante il volo.

Dopo averlo cablato seguendo gli schemi del costruttore, i ricercatori hanno eseguito l’attacco dall’inizio alla fine. Nel dicembre 2023 Boeing ha inoltre consentito una prova nel proprio laboratorio e il prototipo è riuscito, anche in quell’occasione, a interporsi e a controllarne lo scambio di dati.

Il prototipo non muove direttamente timoni, alettoni o motori. Inserisce invece comandi nel computer che conserva la rotta e calcola le velocità, la spinta dei motori, la posizione dei flap e la distanza di pista necessarie per il decollo.

Quando il comandante inserisce il pilota automatico, altri apparati usano quelle indicazioni per guidare l’aereo. Nello stesso tempo il dispositivo modifica ciò che appare sullo schermo del comandante, così da nascondere le variazioni.

La dimostrazione prova quindi il controllo del dialogo tra due apparati essenziali, ma non equivale a un dirottamento compiuto su un aereo.

Critical Communication World

Privacy e sicurezza: come funzionano le tecnologie dedicate a forze dell’ordine e soccorritori

di Giuditta Mosca 07 Luglio 2022

La presa raggiungibile da terra

Il punto d’ingresso del dispositivo si trova nel vano degli apparati elettrici ed elettronici sotto la parte anteriore della fusoliera. Nel paper si legge che lo sportello è raggiungibile da terra e non è chiuso a chiave e, nondimeno, nella cabina di pilotaggio si accende una spia solo per il tempo in cui l’accesso rimane aperto e, stimano i ricercatori, il dispositivo può essere posizionato a bordo dell’aereo in circa 60 secondi.

Il circuito miniaturizzato entra quasi interamente nel corpo della presa e può essere coperto dal normale cappuccio antipolvere. Secondo la ricostruzione è poco più grande di una moneta da 25 centesimi di dollaro e può essere assemblato spendendo meno di 100 dollari (87 euro circa).

Il prototipo comprende il Wi-Fi ma, giacché i ricercatori non hanno verificato che dal vano in cui è collocato possa agganciarsi alla rete a disposizione dei passeggeri, il controllo remoto del dispositivo durante il volo è da ritenere una mera ipotesi.

Come vengono sostituiti i segnali

Il computer che gestisce la rotta e il terminale con tastiera e schermo usato dal comandante comunicano attraverso due collegamenti separati. Sul primo viaggiano verso il computer i tasti premuti dal comandante, mentre sul secondo tornano le informazioni che devono apparire sullo schermo. Questi collegamenti usano ARINC 429, una tecnologia progettata negli anni Settanta che non permette all’apparecchio ricevente di verificare da quale dispositivo provenga un comando.

Di fatto, il dispositivo costruito dai ricercatori si inserisce in una presa di manutenzione collegata a entrambi i canali. Da una parte invia al computer dati come se fosse il comandante a usare la tastiera e può così cambiare la rotta o i valori impiegati per preparare il decollo. Dall’altra parte sostituisce le informazioni che il computer manda allo schermo. Ne risulta, quindi, che il computer registra i nuovi dati, mentre il comandante continua a vedere quelli precedenti e può non accorgersi della modifica.

Per sostituire le informazioni, il dispositivo trasmette un segnale elettrico più forte di quello prodotto dall’apparato originale. Ciò significa che non interrompe il collegamento ma copre il segnale legittimo con il proprio e, nello stesso momento, riesce a leggere ciò che l’apparato originale stava tentando di comunicare, decidendo quali informazioni lasciare passare e quali cambiare.

Le possibili mitigazioni

L’interferenza creata lascia tracce misurabili, perché modifica la tensione e la corrente nei collegamenti. Dei sensori appositi installati sull’aereo potrebbero riconoscerla ma, ancora prima, tra le contromisure proposte figura l’aggiunta di barriere elettriche fra la presa e gli apparati e l’introduzione di un controllo che faccia accettare soltanto i messaggi provenienti da componenti autorizzati.

La rimozione o la chiusura ermetica delle prese di manutenzione dell’aereo più esposte ha delle controindicazioni di ordine pratico. Infatti, renderebbe più lenta e costosa la manutenzione di apparati e cablaggi.

I rischi per i viaggiatori

Le conseguenze per la sicurezza degli aerei riguardano principalmente la capacità di manipolare le funzioni critiche del computer di bordo che gestisce il volo.

Un malintenzionato potrebbe cambiare la rotta dell'aereo inserendo nuovi punti di navigazione e confermando autonomamente il comando, rendendo il velivolo capace di virare verso una direzione non prevista all'insaputa dei piloti.

Un altro rischio risiede nella manipolazione dei dati sul peso e sul bilanciamento, che sono essenziali per calcolare correttamente la velocità e la spinta necessarie al decollo.

Se alterati, questi valori possono impedire che l’aereo eroghi la potenza sufficiente per alzarsi da terra.

Inoltre, l'attacco può abbassare artificialmente la temperatura esterna registrata dai sistemi, riducendo ulteriormente i margini di sicurezza per la spinta dei motori.

Per i viaggiatori, queste azioni si traducono nel rischio di incidenti durante le fasi critiche del volo o in scenari non distruttivi ma comunque pericolosi, come la deviazione forzata dell'aereo verso un altro paese per scopi politici o l'arresto di passeggeri specifici.

Gli autori dello studio precisano di non considerare l'attacco una minaccia imminente per i passeggeri e ribadiscono che lo scopo della ricerca è quello di avvisare l'intera comunità aeronautica affinché queste vulnerabilità possano essere corrette prima che diventino un pericolo reale. Nell’introduzione i professori del progetto scrivono: “tutti gli autori della pubblicazione viaggiano regolarmente su aerei Boeing 737 e prevedono di continuare a farlo”.

Sicurezza

Hackerare un satellite è più facile di quanto si creda. E non è una buona notizia

di Giuditta Mosca 01 Giugno 2022

La posizione di Boeing

I ricercatori hanno informato Boeing nell’aprile 2020 e hanno continuato il confronto per anni. L’azienda ha dichiarato a Wired di avere esaminato progettazione, installazione e interfacce e sostiene che le protezioni dell’aereo e dell’ambiente operativo limitino in modo significativo la praticabilità e il rischio di attacchi reali. La questione aperta non riguarda il dispositivo in sé che, durante i test, ha dimostrato di funzionare, riguarda invece le reali contromisure già adottate e installate da Boeing sugli aerei che produce.