aerei
Alcuni ricercatori di sicurezza hanno trovato il modo di violare un Boeing 737 con un dispositivo non più grande di una moneta. Il 737 è uno degli aerei di linea più utilizzati al mondo, quindi è possibile che tu ci abbia volato almeno una volta.
L’attacco richiede l’installazione di un piccolo dispositivo in una porta accessibile tramite un portello all’esterno dell’aereo. Secondo i ricercatori, questa porta è regolarmente alla portata non solo del personale addetto alla manutenzione, ma anche di altro personale aeroportuale e delle compagnie aeree. Inoltre, l’installazione del dispositivo richiede meno di 60 secondi. Vediamo quindi cos’è effettivamente questo piccolo e misterioso dispositivo, che cosa può fare e se è ancora sicuro volare su un Boeing 737.
Perché manomettere un aereo è più difficile che manomettere un’auto
La maggior parte di noi si è abituata all’idea che i propri computer e telefoni possano essere violati. È forse l’argomento più comune in questo blog. Tuttavia, abbiamo anche descritto attacchi contro bersagli meno comuni: automobili, robot rasaerba, mescolatori di carte automatizzati, biciclette e persino materassi. Nel mondo di oggi, tutti questi e molti altri dispositivi contengono minuscoli (o non così minuscoli) computer.
Gli aeroplani non fanno eccezione. Un moderno aereo di linea è stracolmo di computer, alcuni dei quali gestiscono funzioni critiche: dal calcolo dei parametri di decollo al controllo del volo stesso. Tuttavia, c’è una differenza fondamentale: i produttori di aerei di linea, a differenza dei produttori della maggior parte dei dispositivi smart home, prendono molto sul serio la sicurezza, il che rende molto più difficile raggiungere questi sistemi dall’esterno.
Forse è proprio per questo che l’idea di manomettere un aereo reale tenta da anni i ricercatori di sicurezza più curiosi. Un team dell’Università della California di San Diego e dell’Oberlin College (i ricercatori che alla fine ce l’hanno fatta) ha trascorso più di un decennio alle prese con il problema. Come accennato in precedenza, la sfida principale nella manomissione di un aereo è che i suoi sistemi critici non sono connessi a Internet. Per questo motivo, lo studio dei vettori di attacco legati agli aerei non è stato considerato particolarmente promettente all’interno della comunità di ricerca sulla cybersecurity: raggiungere in remoto sistemi isolati è estremamente difficile e le probabilità che l’autore dell’attacco ottenga l’accesso fisico erano considerate molto basse.
Altri due progetti di successo hanno contribuito a cambiare questa ipotesi per Kirill Levchenko e Aaron Schulman, ricercatori della UC San Diego: una violazione della Chevrolet Impala e una ricerca sugli skimmer per carte di pagamento. L’hacking dell’auto ha portato il team ad acquistare componenti per computer Boeing 737 di seconda mano e a costruire il proprio banco di prova. La ricerca sugli skimmer ha dato loro l’idea di un piccolo dispositivo fisico in grado di collegarsi direttamente ai sistemi interni dell’aereo.
Dopo aver studiato gli schemi elettrici del Boeing 737, i ricercatori hanno trovato una porta accessibile dall’esterno dell’aereo, protetta solo da un portello non chiuso a chiave. Tale porta si collega a un canale dati denominato bus ARINC 429, che collega il computer di gestione del volo (FMC) dell’aereo alla relativa unità multifunzione di controllo e visualizzazione (MCDU).
La porta si trova nel vano dell’elettronica sotto la cabina di pilotaggio. Dall’esterno dell’aereo, è coperta solo da un portello non chiuso a chiave. Fonte
Un “bus driver” ai comandi
Sul banco di prova, i ricercatori hanno verificato cosa sarebbe accaduto se si fossero collegati al bus ARINC 429 attraverso questa porta e avessero inviato segnali elettrici più potenti di quelli che si scambiano normalmente i componenti del Boeing. Si è scoperto che in questo modo potevano sostituire i comandi legittimi con i propri. Da lì, non restava che costruire un dispositivo abbastanza piccolo da inserirsi nella porta che avevano trovato.
Passo dopo passo, il team ha creato un dispositivo sufficientemente compatto da poter essere inserito nella porta non protetta. La versione finita è costata meno di 100 dollari e sembra essere stata costruita in gran parte con componenti standard: un piccolo microcontroller, componenti elettronici per la comunicazione con il bus e un modulo Wi-Fi. Quest’ultimo componente potrebbe potenzialmente consentire al dispositivo di connettersi alla rete Wi-Fi pubblica di bordo dell’aereo, dando accesso via Internet all’autore dell’attacco e permettendogli di controllare il dispositivo in remoto. Inoltre, l’installazione nella porta richiede meno di un minuto.
Il dispositivo costruito dai ricercatori per connettersi ai sistemi del Boeing 737. Accanto c’è una moneta per dare un’idea delle dimensioni. Fonte
I ricercatori hanno soprannominato il loro attacco “Bus Driver”, apparentemente un gioco di parole: “bus” si riferisce sia a un veicolo passeggeri che al canale dati che permette ai componenti di un sistema di comunicare tra loro. L’attacco consente a qualcuno di inserirsi in quel canale e sostituire i comandi inviati, controllando di fatto il bus.
Cosa può effettivamente fare il dispositivo di hacking improvvisato sul Boeing 737
Una porta non protetta, un dispositivo delle dimensioni di una moneta, l’accesso al bus: tutto bene, ma cosa sono effettivamente riusciti a ottenere i ricercatori? Che tipo di danni può causare questo minuscolo impianto? A quanto pare, parecchio, con conseguenze potenzialmente fatali. Acquisendo la capacità di manomettere il flusso di dati tra il computer di gestione del volo e l’unità di controllo e visualizzazione, i ricercatori hanno scoperto di poter interferire con diversi aspetti critici del funzionamento dell’aereo.
I ricercatori che testano Bus Driver sull’hardware di avionica di un Boeing 737 reale. L’interfaccia di attacco è in esecuzione sullo schermo dell’unità MCDU. Fonte
Innanzitutto, l’impianto può alterare i dati utilizzati per calcolare i parametri di decollo e atterraggio. Ad esempio, può modificare il peso a zero carburante registrato dell’aereo, compromettendo il calcolo delle velocità necessarie per un decollo sicuro.
Il dispositivo può anche manipolare il valore di temperatura presunta utilizzato dai piloti per determinare quanta spinta del motore è necessaria al decollo. Alimentare il sistema con dati errati potrebbe, in determinate condizioni, fare sì che l’aereo abbia una spinta insufficiente per decollare in sicurezza, rischiando perfino di uscire di pista. Calcoli errati durante l’atterraggio comportano rischi altrettanto gravi.
L’impianto può anche modificare la rotta seguita dal pilota automatico. In un volo lungo, una deviazione di pochi gradi (abbastanza lieve da passare inosservata) potrebbe essere sufficiente per far deviare gravemente l’aereo dalla rotta, fino a esaurire il carburante da qualche parte in mare aperto.
Inoltre, l’autore dell’attacco potrebbe utilizzare il dispositivo per dirigere l’aereo nello spazio aereo di un paese che non fa parte della sua traiettoria di volo approvata. Questo tipo di deviazione può avere conseguenze fatali: la storia dell’aviazione civile ha visto più di un caso in cui un aereo di linea è stato abbattuto per errore dai militari dopo essersi smarrito in uno spazio aereo riservato.
Naturalmente, le probabilità che una deviazione del genere passi inosservata sia ai piloti che al controllo del traffico aereo sono molto basse, ma i disastri tendono a verificarsi proprio quando si verificano diversi errori umani.
Una volta installato, l’impianto è quasi invisibile all’interno della porta ed è molto difficile da individuare, a meno che non si sappia dove cercarlo Fonte
Infine, il dispositivo non solo consente di modificare i parametri di volo, ma permette anche di nascondere tali modifiche ai piloti. Ad esempio, l’autore dell’attacco potrebbe caricare una nuova rotta nel computer di volo alterando contemporaneamente ciò che viene visualizzato sul display dell’unità MCDU, in modo che i piloti continuino a vedere la rotta originale.
Detto questo, i ricercatori osservano che nella maggior parte dei casi un equipaggio attento noterebbe la discrepanza. I dati corretti vengono comunque visualizzati negli altri display della cabina di pilotaggio e il passaggio al controllo manuale consente ai piloti di disinserire il pilota automatico e riprendere il controllo dell’aereo.
Quindi, dovremmo tutti passare ai treni?
Per concludere, cercherò di rassicurare chi soffre da tempo di aerofobia (e chiunque abbia appena iniziato a esserne affetto dopo la lettura di questo articolo). Gli stessi ricercatori affermano che, nonostante tutto ciò che hanno appreso, volano ancora sui Boeing 737. Inoltre, per evitare di causare problemi reali, hanno deliberatamente omesso di indicare quale porta abbiano utilizzato nei loro esperimenti.
I ricercatori hanno inoltre contattato Boeing nel 2020 per condividere le loro scoperte. Boeing ha preso sul serio le informazioni e ha lavorato per affrontare il problema.
In particolare, i ricercatori hanno suggerito a Boeing di rimuovere la porta vulnerabile o di sigillarla con resina epossidica per escludere fisicamente la possibilità che qualcuno colleghi un dispositivo non autorizzato. Esistono anche opzioni più complesse, come riprogettare le protezioni elettriche del bus interno in modo che un dispositivo non autorizzato non possa sostituire i segnali reali, e aggiungere sistemi in grado di rilevare questo tipo di attacco.
A lungo termine, i ricercatori raccomandano a Boeing, oltre agli altri produttori di aeromobili, di adottare l’autenticazione crittografica per i messaggi scambiati tra i componenti dell’avionica.
Non è di dominio pubblico se Boeing abbia seguito questo suggerimento specifico o elaborato le proprie soluzioni. Quando i giornalisti di Wired hanno chiesto alla società informazioni in merito, la risposta è stata piuttosto vaga:
“I nostri esperti tecnici sono fiduciosi che i livelli di protezione presenti sull’aereo, anche all’interno della progettazione del sistema e dell’ambiente operativo, forniscano un’attenuazione sufficiente per limitare significativamente la fattibilità e il rischio di attacchi nel mondo reale.”
Quindi no, a quanto pare non è ancora necessario rinunciare ai voli sul Boeing 737. Detto questo, ho molto rispetto per i treni, quindi non cercherò di dissuaderti dal viaggiare in treno o dall’utilizzare altri mezzi di trasporto. In realtà ho già scritto dell’hacking ferroviario su questo blog, anche se in quel caso l’obiettivo era costruttivo, non distruttivo.
Automobili, rasaerba, mescolatori di carte, biciclette, materassi intelligenti: non è nemmeno un elenco completo dei dispositivi che gli hacker sono riusciti a manomettere. Cos’altro è stato violato? Scoprilo negli altri nostri post:
Consigli