航空機に対する最大のサイバー脅威は地上から来る

Jul 09, 2023

乗客の Wi-Fi デバイスは、機内アビオニクスよりもハッカーに民間旅客機へのアクセスを提供します

民間旅客機はサイバーセキュリティ侵害に対してどの程度脆弱ですか? それは、IT システムのどの部分について話しているのかによって異なります。 航空機を動かすアビオニクス機器は、防弾ではありませんが、ハッキングに対して非常に耐性があります。 しかし、乗客をウェブに接続する機内インターネット アクセス システムは、地上のネットワークと同様にハッカーに対して脆弱です。

Rapid7の主任セキュリティコンサルタントであるパトリック・カイリー氏は、アビオニクスには「航空機のパイロットや運航乗務員が使用する計器、遠隔測定、通信システム」すべてが含まれると述べている。 これらのユニットがコンピュータ制御されている最新の航空機では、これらのユニットがネットワーク化され地上に接続され、定期的なシステム監視レポートが提供されます。 これにより、航空会社は問題が発生するとすぐに検出し、フライトスケジュールへの影響を最小限に抑えながら効果的に対処できるようになります。

機内インターネット アクセス システムと比較して、ネットワーク接続されたアビオニクスはハッキングが困難です。 これは、そのアーキテクチャ (アビオニクス ネットワークは Web に接続されていない)、実行する機能が限られている、および一般に閉じられた動作環境によるものです。 Kiley 自身が 2019 年の Rapid7 研究論文「アビオニクス システムにおける CAN バス ネットワークの整合性の調査」で述べているように、ハッキングは依然として可能です。

「現代の航空機は、電子ネットワークを使用してさまざまなセンサーからの信号を変換し、このデータをネットワーク上に配置して、適切な計器で解釈してパイロットに表示します」とカイリー氏は書いています。 一部の航空機では、この物理ネットワーク (「車両バス」) が「コントローラー エリア ネットワーク」(CAN) と呼ばれる共通の通信規格と結合されると、航空機の中枢神経の一部として機能する「CAN バス」が作成されます。システム。

「2つの市販のアビオニクスシステムについて徹底的な調査を行った結果、Rapid7は、小型航空機の配線にある程度の物理的アクセスがあれば、悪意のある個人がこれらのシステムに偽のデータを送信することが可能であることを実証した」とカイリー氏は書いている。 「そのような攻撃者は、誤った測定値を注入してパイロットに伝えるために、アビオニクス CAN バスにデバイスを接続したり、接続されている既存のデバイスを盗用したりする可能性があります。」 このような誤った測定値には、不正確なエンジン テレメトリ測定値が含まれる可能性があります。 不正確なコンパスと姿勢データ。 また、高度、対気速度、迎角 (AoA) 情報が正しくありません。

「これらの計器の測定値に依存するパイロットは、誤ったデータと正当な測定値の違いを見分けることができないため、緊急着陸や影響を受けた航空機の壊滅的な制御不能につながる可能性がある」とカイリー氏は書いている。 そうは言っても、「この攻撃には物理的アクセスが必要であり、航空分野では高度に規制され、管理されているということを強調したい」と述べた。

「アビオニクス システムは、純粋にアーキテクチャの性質上、遠隔から攻撃できる表面積が限られています。」 カイリー氏はCSOにこう語る。 「アビオニクス システムはメーカー、業界、FAA の両方による広範な審査を受けていますが、これらの審査はセキュリティのみに焦点を当てているわけではなく、安全性にも重点を置いています。」

安全性を高めるために、現代の航空機の航空電子工学システムは高度にネットワーク化されています。 しかし、この傾向はサイバーセキュリティ強化のニーズに追いついていないとタレスグループはブログ投稿で警告している。 同報告書は、「航空業界は過去10年間、デジタル化の恩恵を享受してきたが、これにより、これまで対処されたことのなかった社会的および技術的脆弱性など、新たなリスクも引き起こされている」と述べた。

しかし、地対空ブロードバンド サービス プロバイダーである SmartSky Networks の航空輸送管理およびデジタル ソリューション担当副社長であるショーン ライリー氏は、この否定的な評価に同意しません。 「アビオニクスのセキュリティ プロトコルは、実際には非常に厳格です」とライリー氏は言います。 これを回避するには、ハッカーが ARINC 429 バス (基本的には航空機のメイン データ バス) の基礎を理解している必要があり、加えて、アビオニクスの上部にあるソフトウェア層の実際の内部にあるものについての内部知識も必要です。に」と彼は説明する。 「それは、一日の終わりにただ行って掴めるものではありません。」