Kann eine Boeing 777 gehackt werden?

Die Antwort auf diese Frage lautet derzeit für Verkehrsflugzeuge grundsätzlich nein , zumindest nicht annähernd. Dazu gibt es zwei Teile:

Aus Systemsicht:

• Flugzeugsysteme könnten wahrscheinlich "gehackt" werden - vorausgesetzt, Sie könnten beispielsweise den Flugcomputer durch Austauschen der Chips im Bauch vermasseln -, aber es gibt keine Möglichkeit, dies wirklich durchzuziehen, ohne dass die Piloten bemerken, dass der Kurs weit vom Kompass entfernt ist zum Beispiel, damit sie es herausfinden und abschalten würden. Viele Systeme sind nicht so miteinander verbunden, dass sie anderen Schaden zufügen können. Systeme sind auch ziemlich engagiert – wenn es das Flugzeug fliegen soll, tut es das, wenn es navigieren soll, tut es das.

• Systeme in Flugzeugen haben im Allgemeinen, wenn überhaupt, eine begrenzte Verbindung zur Außenwelt. Es gibt einige Systeme, die sich mit dem Boden verbinden können, und dies ist im Allgemeinen auf einfache Textnachrichten beschränkt. Der größte Teil der Elektronik des 777 stammt von der Einführung des Typs im Jahr 1994. Eine anständige Analogie ist meiner Meinung nach der Versuch, ein frühes Mobiltelefon aus der Ferne zu hacken.

Und aus praktischer Sicht:

• Flugzeuge sind im Allgemeinen sehr steif, wenn es um Änderungen geht – sie werden oft in einer bestimmten Konfiguration genehmigt, und das bleibt dann hängen, sodass es wenig Notwendigkeit gibt, Dinge zu ändern, und daher ist es nicht möglich. Dies gilt für den Autopiloten und die Flugsteuerung – wenn es einmal da ist, bleibt es dort.

• Wie einige Leute darauf hingewiesen haben, sind diese Systeme proprietär und Closed Source, was es schwierig macht, sie zu programmieren, wenn Sie ein Außenstehender sind, aber theoretisch könnte es möglich sein.

Die Tatsache, dass kein Flugzeug, nicht einmal der computerintensive Airbus, wirklich in irgendeiner Weise gehackt wurde, die Vorstellung, dass das gesamte Flugzeug übernommen und irgendwohin geflogen würde, ist unmöglich.

Was den ursprünglichen Fragelink betrifft :

„Die FAA hat festgestellt, dass die Hacking-Technik, die kürzlich auf einer Computersicherheitskonferenz beschrieben wurde, keine Bedenken hinsichtlich der Flugsicherheit aufwirft, da sie nicht auf zertifizierter Flughardware funktioniert“, sagte er.

„Die beschriebene Technik kann das Autopilotsystem des Flugzeugs nicht aktivieren oder steuern, indem es das FMS verwendet, oder verhindern, dass ein Pilot den Autopiloten außer Kraft setzt“, sagte Dorr.

„Deshalb kann ein Hacker nicht ‚die volle Kontrolle über ein Flugzeug' erlangen, wie der Technologieberater behauptet“, sagte Dorr.

In ähnlicher Weise habe ich, glaube ich, eine Geschichte über einen Bombardier Dash 8 gehört, der einmal einen Computervirus bekommen hat, aber ich glaube, er kam nie über das Navigationssystem hinaus, den rechenintensivsten Teil. Leider finde ich dazu keine Quelle.

Es gibt bestimmte Kommunikationssysteme, die theoretisch gehackt werden könnten. CPDLC wird verwendet, um digital zwischen Piloten und Fluglotsen zu kommunizieren. Wenn es also gehackt würde, könnte jemand Anweisungen an den Piloten senden, die aussehen würden, als kämen sie von einem Fluglotsen, und die Piloten würden den Unterschied nicht erkennen.

Flugpläne können in einigen Fällen auch in das Flight Management System hochgeladen werden und könnten verwendet werden, um eine andere Route zu programmieren.

Eine Sache, die man jedoch im Hinterkopf behalten sollte, ist, dass die Piloten immer noch eng involviert sind. Sie sehen und genehmigen alle Änderungen. Geringfügige Änderungen könnten unbemerkt bleiben, aber wenn sie angewiesen würden, in eine völlig andere Richtung oder zu einem anderen Ziel zu fliegen, würden sie wahrscheinlich anfangen, Fragen zu stellen. Wenn sie direkt auf einen Berg oder ein anderes Flugzeug geschickt würden, würden sie es wahrscheinlich bemerken oder andere Sicherheitssysteme würden eingreifen, um sie zu warnen.

Selbst in einem "Worst-Case"-Szenario, in dem jemand den Autopiloten neu programmieren könnte (ich glaube nicht, dass dies im Moment überhaupt möglich ist), kann der Pilot ihn immer einfach ausschalten und manuell fliegen.

Kurz gesagt, das ist nicht wirklich etwas, worüber man sich Sorgen machen muss.

Alles ist möglich. Beispielsweise hätte die NSA einen Hersteller zwingen können, eine Hintertür in das System für ihre Verwendung aufzunehmen.

"Hack" hat eine Vielzahl von Definitionen, vom Auslesen privater Daten aus einem unkritischen System über das Unterbrechen oder Verwirren eines Avionikmodus bis hin zur Übernahme der Kontrolle über das Flugzeug und dem Aussperren von Piloten. Dies erschwert die Diskussion darüber, wie wahrscheinlich es ist, dass Flugzeuge „gehackt“ werden.

Im Allgemeinen scheint der jüngste Konsens zu sein, dass dies unter einigen Definitionen von "Hack" durchaus möglich ist , auch ohne Insiderwissen. Es gibt einige Berichte über erfolgreiche Hacks, aber da die Details vertraulich sind, ist es schwer zu sagen, was die Forscher erreicht haben oder welche Angriffsmethode sie verwenden. Sowohl Forscher als auch Flugzeughersteller scheinen sich einig zu sein, dass es extrem schwierig, aber nicht unmöglich wäre, die Kontrolle über ein Flugzeug für mehr als ein paar Sekunden zu übernehmen, und das selbst mit Insiderwissen oder längerem Zugriff auf das Flugzeug.

Aktuelle Richtlinien der FAA sind in PS-AIR-21.16-02 zu finden . Ich habe gehört, dass die FAA schließlich DO-326 als Mittel zur Einhaltung anerkennen wird.

Ich werde einige Informationen zu Sicherheits- und Integritätsmaßnahmen bereitstellen, die in der Branche Standard sind und das Hacken von Avionik erschweren. Insbesondere ist das Hacken von Avionik eine Art sicherheitskritisches Hacken von eingebetteten Geräten, nicht das Hacken von Servern oder PCs. Sicherheitskritische eingebettete Geräte haben eine viel kleinere Angriffsfläche und viele weitere Minderungsmethoden, wie unten beschrieben.

Bedrohungsmodell und Unterschiede zu Computern

Die Bedrohungen, denen Sie in Flugzeugen ausgesetzt sind, unterscheiden sich stark von denen auf Servern und Laptops. Besonders für die kritischsten Systeme wie Displays und Autopiloten sind die Datentypen streng, das Messaging ist geplant, die Verarbeitungszeit ist begrenzt und Strings werden selten verwendet. Um die meisten herkömmlichen Angriffe durchzuführen, müssten Sie diese Protokolle brechen. Dies ähnelt anderen Arten der eingebetteten Programmierung, bei denen die Software so unflexibel ist, dass die Angriffsfläche klein ist.

Einige Dinge, die Angreifern hier definitiv helfen, sind der physische Zugriff auf den Softwareaktualisierungsprozess, die Möglichkeit, mehrere Tage mit dem Flugzeug zu arbeiten, Insiderwissen, einfache HF-Ausrüstung oder die Fähigkeit, Satellitenkommunikation zum Flugzeug zu kapern. Wenn Ihr Angreifer einige davon hat, ist die Bedrohung viel ernster.

Verfügbarkeit

Kann man an der Verfügbarkeit von Flugzeugsystemen herumspielen? Ja, wenn man die richtigen Signale manipulieren kann. Sie könnten beispielsweise den Flugsteuerungscomputer glauben machen, dass ein Sensor defekt ist. Sie könnten viele Sensoren mit ausreichend starken Funksignalen abwerfen. Ein Fehler in der 787 NG -Display-Software führte einmal dazu, dass alle Displays schwarz wurden. Außerdem verwenden die meisten Flugcomputer handelsübliche Prozessoren mit vielen seltsamen Verhaltensweisen, und insbesondere wenn Sie mit einem Exploit beliebigen Assemblercode ausführen können, könnten Sie einige davon ausnutzen, um das Avioniksystem offline zu schalten.

Die Verfügbarkeit ist jedoch nicht so wichtig wie die Integrität der Avionik. Die meisten Leute sind wirklich besorgt darüber, dass ein Hacker die vollständige Kontrolle über das Flugzeug übernimmt und den Piloten nicht zwingt, von Hand zu fliegen.

Partitionierung

Unterschiedliche Funktionen, insbesondere solche auf unterschiedlichen Sicherheitsniveaus, sind per Vorschrift voneinander isoliert. Obwohl Flugzeuge in der Vergangenheit dedizierte Hardware für jede Komponente hatten, wird heutzutage ein Großteil dieser Software auf gemeinsam genutzten LRU-Computern ausgeführt (dies wird als IMA-Architektur bezeichnet). Aber trotz gemeinsamer Hardware sind die Softwareprozesse streng voneinander isoliert und es wird bei der Zertifizierung nachgewiesen, dass keine Prozessorfehler, Fehlerzustände, Überläufe usw. von einem Prozess auf einen anderen übertragen werden können, insbesondere nicht auf einen übergeordneten Prozess. Ja, Signale werden zwischen Partitionen übertragen, aber alle Signale, die von einer niedrigeren Sicherheitsstufe auf eine höhere Stufe übertragen werden, sind individuell gerechtfertigt, um sicherzustellen, dass sie keine Sicherheitsprobleme verursachen.

Damit ein Exploit katastrophale Auswirkungen haben kann, müsste er diese umgehen, indem er entweder 1) direkt mit Level-A-Hardware und -Prozessen arbeitet oder 2) eine schlechte Annahme über die Auswirkungen eines Signals auf niedrigerer Ebene findet. Diese schlechten Annahmen existieren, aber sie sind selten.

Siehe DO-297 und DO-178C für weitere Informationen zu dieser Partitionierung.

Testen

Viele Hacks in Personal Computern passieren aufgrund unzureichender Tests, die Ausnahmen und Fehler in das System zulassen. Level-A-Software wird weit umfassender getestet als die meisten Apps oder PC-Software. Jede Leitung wird auf MC-DC-Abdeckung getestet (nicht erschöpfend, aber jede Entscheidung muss sowohl als wahr als auch als falsch gewertet werden). Die strukturelle Abdeckung wird ebenfalls bewertet, um sicherzustellen, dass keine unbeabsichtigten Interaktionen auftreten. Wenn Fehler auftreten, ist das RTOS so konzipiert, dass es sich vorhersagbar und zuverlässig um diese Fehler kümmert.

Software-Updates

Angenommen, Sie finden keine Möglichkeit, beliebigen Code auszuführen. Können Sie den Softwareaktualisierungsprozess durcheinander bringen? Dies scheint zunächst praktikabel, insbesondere angesichts der neuen Tendenz, Avionik-Firmware über Netzwerke zu aktualisieren. Hier gibt es mehrere Probleme.

• Die meisten Flugzeuge sind für Avionik-Updates nicht direkt mit dem Internet verbunden. Sie müssten also für Updates auf das lokale Netzwerk zugreifen und dann auch auf die Flugzeuge zugreifen, die dieses Netzwerk verwenden.
• Die meisten Software-Updates verwenden eine High-Fidelity-Integritätsprüfung, für die Sie eine unglaublich schwierige Hash-Kollision benötigen würden. Einige Update-Prozesse haben keine High-Fidelity-Prüfungen, aber wenn dies der Fall ist, müssen sie sich gegenüber Behörden qualifizieren, dass ihr Update-Prozess stabil und fehlersicher ist. Es gibt Schwachstellen, die ausgenutzt werden könnten, wie das beim Absturz der A400M in Sevilla festgestellte Problem zeigte. Bleibt also nur die Möglichkeit, den CRC für das Update mit zu fälschen und/oder in einem qualifizierten Ladevorgang einen Exploit zu finden.
• Netzwerkbasierte Aktualisierungen verfolgen auch die Versionsnummern und können die Integritätsprüfungen für die Software verfolgen. Man kann also nicht gerade ein Update von Version 13 auf eine gehackte v. 13.1 erzwingen, ohne dass es jemand merkt.
• Derzeit werden Supply-Chain-Angriffe immer häufiger. Obwohl ich sicher bin, dass ein Angriff auf die Lieferkette möglich ist, schützen Vorschriften wie die DO-330-Toolqualifizierung und die DO-178-Konfigurationskontrolle bereits seit Jahren vor unbeabsichtigten Änderungen während der Softwareentwicklung. Getestete und überprüfte Codeversionen werden sorgfältig kontrolliert und mit den endgültigen Versionen verglichen, Softwareentwicklungsumgebungen werden gesperrt und qualifiziert, und Listen der enthaltenen Bibliotheken werden dokumentiert und genehmigt. Sie müssten einen blinden Fleck in diesen Prozessen finden, um die Softwarelieferkette anzugreifen.
• Software-Updates (keine Navigationsdatenbank-Updates) werden selten durchgeführt, vielleicht einmal alle drei Jahre, wenn das so ist, wodurch die Möglichkeit, eine Softwarelast zu hacken, erheblich verringert wird. Sperren sind vorhanden, um das Neuladen der Software zu verhindern, wenn dies nicht erwünscht ist. Diese Seltenheit führt auch zu einer genaueren Prüfung des gesamten Prozesses.

Für eine weitere Analyse der Sicherheitsmaßnahmen, um das Hochladen beschädigter Software oder Datenbanken zu verhindern, empfehle ich Ihnen, die Standards für diesen Prozess zu konsultieren: DO-200A, Kapitel 5 der FAA-Verordnung 8110.49, und FAA AC 20-153.

Manuelle und automatische Trennung

Normalerweise werden der Autopilot und andere Software von einem anderen System verwaltet, das über Verriegelungs- und Deaktivierungslogik verfügt. Diese verfügen über Sicherheitsstandards und Tests, die geschrieben wurden, um sicherzustellen, dass sie zuverlässig funktionieren, einschließlich einer Anforderung für eine softwarefreie Methode zum Deaktivieren des Autopiloten. Das macht es sehr schwierig, hier einen Exploit zu finden, ohne beispielsweise schon beliebigen Code ausführen zu können.

Selbst wenn diese Deaktivierungssoftware nicht funktioniert, haben die Piloten Schutzschalter und können das gesamte Avioniksystem deaktivieren und das Flugzeug dann von Hand fliegen. Siehe die Antwort von BigHomie für eine Diskussion darüber, wie machbar es ist, dies zu hacken (Antwort: nicht sehr).

Theoretisch sollte das funktionieren, aber in bestimmten Situationen könnte das Flugzeug in eine unsichere Situation gebracht werden, bevor der Pilot die Kontrolle wiedererlangen konnte. Wie die Vorfälle mit der 737 Max gezeigt haben, kann es schwierig sein, sich von einem plötzlichen Absenken in Bodennähe zu erholen, selbst wenn Sie den Autopiloten oder das Trimmsystem manuell deaktivieren können.

Hinweis: Ich bin kein Experte für Avionik oder eingebettete Gerätesicherheit. Beim Hacken geht es in der Regel darum, über den Tellerrand hinauszublicken, also lassen Sie es mich wissen, wenn etwas, was ich hier annehme, ungenau ist oder wenn ich etwas übersehe.

Jeder Computer kann gehackt werden. Ich sage nicht, dass ich das Wissen dazu habe oder sogar viel über Flugzeuge weiß, um Ihnen zu sagen, wie. Wenn jedoch jemand mit dem erforderlichen Wissen die richtige Zeit, Motivation und Zugang zu einem Flugzeug hätte, könnte es definitiv getan werden. Wenn Sie fragen, ob ein Flugzeug mitten im Flug ohne vorherige Modifikation vom Boden übernommen werden kann, kann ich das nicht beantworten, weil ich nicht genug über das System weiß.

Theoretisch zu diskutieren , wie man ein Flugzeug mitten im Flug hackt, mit oder ohne vorherige Modifikationen, würde mich wahrscheinlich markieren und irgendwo auf eine Liste setzen, also lehne ich es ab, darauf näher einzugehen.

Man muss jedoch darüber nachdenken, welche drahtlosen Protokolle für ein Flugzeug verwendet werden, um mit dem Boden zu kommunizieren, welche Computersubsysteme auf diese physische Verbindung zugreifen können und ob diese Subsysteme das Flugzeug steuern oder auf andere Subsysteme zugreifen können, die das Flugzeug steuern können.

Das „Aussperren eines Piloten“ beinhaltet wahrscheinlich das Deaktivieren eines manuellen Schalters irgendwo, was über den Computer schwierig zu tun ist, aber möglich ist, wenn genügend Stromstärke durch den Schalter geleitet wurde, um ihn zu sprengen, oder wenn er vorher manipuliert wurde (vorherige Modifikation).

Wenn wir darüber sprechen, wie es geht, ist dies eine Episode von Numb3rs mit einem ähnlichen Thema, aber es wäre nicht weit von dem entfernt, was im wirklichen Leben stattfinden müsste.