L’accès physique à un avion n’a généralement pas été considéré comme un risque de cybersécurité – mais il devrait l’être, selon une équipe d’informaticiens de l’Université de Californie à San Diego. Dans un article présenté le 13 août au symposium USENIX Security à Baltimore (Maryland), Sam Crow, ancien doctorant de l’UC San Diego, a montré qu’un accès physique à un avion – même de courte durée – permettrait à un attaquant équipé d’un dispositif matériel sur mesure de prendre le contrôle des communications entre deux ordinateurs de bord essentiels.
Le dispositif doit être branché sur un port situé dans le ventre de l’avion – une opération qui, selon les chercheurs, prendrait moins de 60 secondes. Cela nécessiterait d’accéder à l’appareil soit lorsqu’il est stationné à une porte d’embarquement, soit lorsqu’il se trouve dans un hangar d’aéroport pendant une maintenance de routine. L’accès à ces zones est contrôlé avec soin, mais pas toujours avec succès, notent les informaticiens dans le nouvel article.
Les chercheurs ont démontré avec succès l’attaque sur un banc d’essai composé de véritables pièces du Boeing 737 et de son logiciel. L’attaque de preuve de concept a permis aux chercheurs de modifier la trajectoire de vol de l’avion et d’altérer des données susceptibles de rendre les conditions de décollage dangereuses. Ils prennent toutefois soin de préciser que l’attaque exige au préalable un important travail de planification et d’ingénierie. L’équipe de recherche a communiqué étroitement avec Boeing, a divulgué la vulnérabilité en 2020, puis a testé et validé ses conclusions dans le propre laboratoire de Boeing.
À noter : le Boeing 737 est l’un des avions les plus utilisés dans l’aviation commerciale, avec 8 000 appareils en service aujourd’hui. Il représente environ 25 % de la flotte actuelle de Delta, 38 % de celle d’American, 53 % de celle d’United et la totalité de la flotte de Southwest Airlines. Cependant, bien que l’implémentation de l’équipe soit conçue spécifiquement pour le Boeing 737, les chercheurs estiment que leurs conclusions s’appliquent plus généralement à l’industrie aéronautique.
« Notre objectif avec cette recherche est d’alerter la communauté aéronautique sur cette classe de risques, afin qu’ils soient atténués de manière appropriée bien avant de devenir dangereux. Tous les auteurs de cet article voyagent régulièrement à bord de Boeing 737 et comptent bien continuer à le faire », a déclaré Aaron Schulman, informaticien et expert en cybersécurité à l’UC San Diego, l’un des auteurs principaux de ces travaux.
L’équipe de recherche, dirigée par Schulman et Stefan Savage, tous deux professeurs au département d’informatique et d’ingénierie de l’UC San Diego, a présenté le 13 août au symposium USENIX Security ses travaux évalués par les pairs décrivant la vulnérabilité et l’attaque.
Comment fonctionne l’attaque ?
Les chercheurs ont découvert un port de maintenance inutilisé situé dans la baie électronique et d’équipements de l’avion, qui abrite les systèmes électroniques essentiels. Cette baie se trouve juste sous le nez de l’appareil, est accessible depuis le sol et n’est pas verrouillée. Ce port de maintenance donne accès aux données transmises entre deux ordinateurs de bord critiques.
Le premier est l’ordinateur de gestion de vol, qui contrôle la trajectoire de l’avion ainsi que la trajectoire d’approche avant l’atterrissage et fournit également des informations critiques au décollage. Le second est l’ordinateur qui affiche ces informations de trajectoire, ainsi que d’autres données de vol essentielles, pour les pilotes dans le cockpit. Les informations et instructions échangées entre ces deux ordinateurs transitent par des systèmes de communication câblés appelés bus – en l’occurrence, deux bus ARINC 429, inventés en 1977.
Les bus, comme l’ARINC 429, transmettent les données via un courant circulant dans deux fils et un ensemble de résistances. Comme ce système date de plusieurs décennies, il ne dispose pas de fonctions de sécurité des données, telles que l’authentification des messages.
Les chercheurs ont conçu, construit et programmé un petit dispositif matériel qui agit comme une tierce partie prenant le contrôle de ces bus. Pour ce faire, il injecte un courant plus important afin de pouvoir remplacer toute transmission légitime par la sienne. Cette approche permet au dispositif de transmettre discrètement de nouvelles instructions à l’ordinateur de gestion de vol tout en supprimant les indications indiquant que des modifications ont été apportées.
Grâce à leur démonstration de preuve de concept, les chercheurs ont montré que leur implant pouvait rediriger un avion en vol ou modifier les données relatives au poids, à l’équilibre et à la température, ce qui pourrait conduire à un décollage dangereux. Les pilotes pourraient annuler ces modifications, mais encore faudrait-il qu’ils détectent qu’une compromission a eu lieu.
« Nous pensons avoir démontré de manière convaincante qu’un accès physique limité dans le temps (par exemple 60 secondes) représente un objectif réaliste pour un attaquant motivé et que les conséquences d’un accès aussi court peuvent être importantes (et donc dignes d’attention) », écrivent les chercheurs.
Conception et mise en œuvre d’une attaque par implant physique sur le Boeing 737. Sam Crow, Pat Pannuto, Stefan Savage et Aaron Schulman, Département d’informatique et d’ingénierie, Université de Californie à San Diego, Jacobs School of Engineering. Patrick Mercier, Département de génie électrique et informatique, Université de Californie à San Diego, Jacobs School of Engineering
Stephen Checkoway, Oberlin College
