Für 100 Dollar – Kontrolle über den Boeing 737: Wissenschaftler demonstrieren Autopilot-Hack über den Serviceport

Eine Gruppe von Sicherheitsexperten hat eine Methode vorgestellt, mit der sich die Kontrolle über den Autopiloten eines Passagierflugzeugs Boeing 737 mit einem Gerät im Wert von weniger als 100 Dollar übernehmen lässt. Der als „Bus Driver“ bezeichnete Hardware-Angriff ermöglicht es einem Angreifer, in die Arbeit des Bordcomputers einzugreifen und die Daten zu verfälschen, die die Besatzung sieht. Bemerkenswert ist, dass für die Umsetzung des Szenarios kein Eindringen in geschützte Avionik-Systeme erforderlich ist – es genügt der physische Zugang zu einem Serviceport, der sich unter einer nicht verschlossenen äußeren Luke des Flugzeugs befindet.

So funktioniert der Bus-Driver-Angriff

Die Entwickler haben einen Miniatur-Stecker mit Wi-Fi-Modul erstellt, der an den Serviceport an Bord angeschlossen wird. Im Kern der Bus-Driver-Technik liegt die Verstärkung des elektrischen Signals in der Datenbus-Leitung, die den Bordcomputer Flight Management Computer (FMC) mit dem Steuerdisplay Multipurpose Control Display Unit (MCDU) verbindet. Der Datenbus ist ein Kommunikationskanal, ein Bündel von Leitern oder virtuellen Linien, das zur Übertragung von Informationen zwischen den Komponenten eines elektronischen Systems dient. Durch das Senden von Impulsen mit einem Strom, der die vorgeschriebenen Parameter überschreitet, stört das Gerät die legitimen Befehle und ersetzt sie durch Hacker-Befehle. Die Besatzung sieht auf den Bildschirmen dabei falsche Parameter, die den tatsächlichen Flugzustand nicht widerspiegeln.

Gefährliche Szenarien, die dem Angreifer offenstehen

Die Installation des Steckers eröffnet eine Reihe kritischer Möglichkeiten. Erstens kann der Hacker die Flugpunkte im Autopiloten aus der Ferne korrigieren, das Flugzeug von der vorgeschriebenen Kurslinie ablenken, es in den Luftraum dritter Staaten führen oder in eine Zone bringen, in der die Maschine Gefahr läuft, ihren Treibstoffvorrat aufzubrauchen. Zweitens führt die Verfälschung der Außentemperatur oder des Gesamtgewichts des Flugzeugs zu einer fehlerhaften Berechnung der Beschleunigung beim Start, was zu einer Ausfahrt über das Ende der Start- und Landebahn hinaus führen kann. Drittens blockieren Manipulationen am Datenbus die Anzeige falscher Parameter auf dem Hauptbildschirm des Piloten und erzeugen in kritischen Situationen Desorientierung. Zwar kann ein erfahrener Pilot die Kontrolle im manuellen Modus übernehmen, doch unbedeutende Korrekturen – beispielsweise eine Kursänderung um einige Grad über dem Ozean – können unbemerkt bleiben, bis die Situation zu einer Notlage wird.

Widersprüchliche Angaben

Hier entsteht ein erheblicher Unterschied in den Bewertungen. Boeing, das – den Angaben der Forscher zufolge – bereits vor sechs Jahren über die Schwachstelle informiert wurde, erklärte, dass die bestehenden Schutzstufen unter realen Bedingungen die Durchführbarkeit solcher Angriffe erheblich einschränken. Das Unternehmen wertete die Dimension der Bedrohung faktisch herab und berief sich auf architektonische Barrieren. Dennoch hat der Hersteller, trotz des erhaltenen Hinweises, weder eine operative technische Änderung noch ein Servicebulletin zur Beseitigung des beschriebenen Angriffsvektors veröffentlicht. Die Wissenschaftler betonen ihrerseits, dass der entdeckte Szenario eine Überarbeitung der für das 21. Jahrhundert relevanten Bedrohungsmodelle erfordert, und weisen darauf hin, dass eine formale „Einschränkung der Durchführbarkeit“ nicht mit einem Schutz gleichzusetzen ist. Somit behauptet die eine Seite, dass der Angriff theoretisch möglich, aber in der Praxis erschwert ist, während die andere einen funktionierenden Prototyp für ein paar Cent vorführt und das Fehlen jeglicher offizieller Reaktion seitens des Herstellers feststellt.

Was als Lösung vorgeschlagen wird

Die Forscher unterscheiden zwei Ebenen von Maßnahmen. Als einfachste operative Lösung bezeichnen sie den physischen Abbau des Serviceports oder dessen Verguss mit Epoxidharz – im Grunde die hardwareseitige Beseitigung des Zugangspunkts. Langfristig sollte die Luftfahrtbranche, so die Ansicht der Autoren, eine kryptografische Authentifizierung der Signale innerhalb der Bordnetze einführen, damit jeder nicht autorisierte Eingriff in den Datenbus für den Angreifer unsichtbar und für die Besatzung sofort registrierbar wird. Solange solche Maßnahmen nicht umgesetzt sind, bleibt die Schwachstelle für jeden offen, der über minimale Ingenieurskenntnisse und ein Gerät im Wert von weniger als einem hundertdollarigen Schein verfügt.