'Kwaadwillende kan vliegtuig op afstand hacken'

Het is mogelijk om de computersystemen aan boord van vliegtuigen voor de burgerluchtvaart op afstand te hacken, ontdekte een Spaanse beveiligingsonderzoeker. Daarvoor kan het radioverkeer tussen vliegtuigen en grondstations worden misbruikt.

De Spaanse onderzoeker en piloot Hugo Teso van beveiligingsbedrijf n.runs deed op de Hack in the Box-beveiligingsconferentie in Amsterdam uit de doeken hoe het aircraft communications addressing and reporting system kan worden misbruikt om in te breken op de computersystemen die vliegtuigen aan boord hebben. Acars wordt onder andere gebruikt voor verkeer tussen luchtverkeersleiders en ander grondpersoneel, en via het uit de jaren zeventig stammende systeem worden onder meer vluchtplannen, de huidige positie en weerberichten doorgegeven. Ondersteuning voor beveiliging of authenticatie is nooit ingebouwd op het systeem, waardoor iedereen die dat wil en daarvoor de apparatuur heeft berichten kan versturen en lezen.

Hoe onderzoeker Teso precies toegang kreeg tot het flight management system, wil hij omwille van de veiligheid niet kwijt. "Een deel van de beveiligingsproblemen, zo niet de meeste problemen, zijn nog niet opgelost", aldus Teso. Wel liet hij zien wat er mogelijk was: zo kon hij met een zelf geschreven toolkit vliegtuigen een andere kant op sturen door de autopilot te manipuleren, het toestel op de grond laten crashen of passagiers laten schrikken door bijvoorbeeld de zuurstofkapjes uit het plafond te laten vallen. Teso ontwikkelde zelfs een Android-app waarmee hij dat kon doen. Die app communiceerde uiteraard niet rechtstreeks met het vliegtuig; voor communicatie met het vliegtuig is een acars-grondstation nodig.

Teso onderzocht de beveiligingsproblemen niet in de praktijk, maar simuleerde een vliegtuig en grondstations. "We gebruikten virtuele vliegtuigen, maar code en hardware uit de praktijk", zegt Teso. Die kreeg hij tweedehands en via sites als eBay te pakken. Welke hard- en software precies kwetsbaar is, is niet duidelijk. Teso onderzocht onder meer flight management-hardware van fabrikant Rockwell.

Overigens is een vliegtuig niet per se gedoemd als het wordt geïnfecteerd. De piloten zouden de autopilot uit kunnen schakelen en op zicht verder vliegen. Het rebooten van het flight management system is echter niet voldoende: dan blijft de vliegtuigmalware gewoon aanwezig.

Volgens Teso heeft de luchtvaartindustrie te weinig nagedacht over ict-beveiliging: "Veel systemen zijn uit voorzorg drie keer aanwezig", zegt Teso. Zo kan een systeem uitvallen zonder dat het vliegtuig problemen ondervindt. "Maar dat wil niet zeggen dat ze veilig zijn." Teso en zijn bedrijf werken samen met de European Aviation Safety Agency om de problemen op te lossen. Overigens wordt er gewerkt aan een opvolging van acars, dat werkt op basis van het internetprotocol en versleuteld is. Dat systeem moet de komende twintig jaar worden uitgerold.

Reacties (50)

Dit is nieuws uit de oude doos. In januari van vorig jaar schreef ik een column met de volgende strekking:
Meneer Craig S. Wright: http://au.linkedin.com/in/craigswright was in dienst genomen door Boeing om de computer systemen van de 747 door te lichten. Zijn conclusie:
"For those who do not know, 747's are big flying Unix hosts. At the time, the engine management system on this particular airline was Solaris based. The patching was well behind and they used telnet as SSH broke the menus and the budget did not extend to fixing this. The engineers could actually access the engine management system of a 747 in route. If issues are noted, they can re-tune the engine in air."

Concreet is er het volgende aan de hand: De Boeing 747 heeft diverse systemen aan boord die gebruik maken van het TCP/IP protocol. Zo is bijvoorbeeld het video systeem door een layer 2 VLAN gescheiden van de rest van de systemen: zo ook het Engine Management Systeem dat eenvoudig bereikt kon worden door source routing. Source Routing is een techniek waarbij de zender bepaalt welke route een pakketje volgt over een netwerk. Als het pakketje de router bereikt, dan gebruikt de router het pakketje in de header en stuurt het dan naar de volgende bestemming. Als je pakketjes dan instructies meegeeft, dan kunnen deze op de plaats van bestemming uitgevoerd worden. Dat is de simpele versie. Zie ook: http://www.cisco.com/en/U...nd/reference/i1bookgt.pdf. De oplossing is simpel. Zorg ervoor dat de routing vastligt. Bij Boeing hadden ze nog nooit van TCP wrappers gehoord: ftp://ftp.porcupine.org/pub/security/tcp_wrapper.pdf.

Enniewee, het Engine Management systeem draaide (draait?) op Solaris en gebruikte telnet in plaats van SSH, omdat de EM software vastliep op de SSH verbinding. Dit kwam door een bezuiniging op het ontwerp (nee, dat is geen grap. Bron: BOEING). Het Engine Control Systeem was gescheiden van de rest van het LAN door NAT filters, die alleen het binnenkomende verkeer filterde, maar niet het uitgaande. Hierdoor was het systeem vatbaar voor shell shoveling. Shell shoveling is een techniek waarbij je met een remote sessie code uit kunt voeren op een ander systeem en de uitvoer weer op je eigen systeem terugkomt. Deze methode vereist enige kennis van de kwetsbaarheden in het systeem en je moet een script kunnen uploaden, maar de rest in kinderspel. Tools hiervoor zijn vrij beschikbaar. Populair zijn netcat: http://netcat.sourceforge.net/ en back-track: http://www.backtrack-linux.org/, fora (of is het forums?) genoeg (http://www.backtrack-linux.org/forums/showthread.php?t=23437) en je kunt dit gewoon op een regenachtige zondagmiddag leren.

Dus, wat betekent dit nu precies? Het betekent dat in theorie, mensen met minimale hacker skills en een laptop een Boeing naar beneden kunnen halen. Misschien als dit soort nieuws eens wat vaker de publiciteit raakte (thumbs up to mr. Hugo Teso) dat bijvoorbeeld de FAA de beveiliging iets strakker aanhaalt en dergelijke systemen eens goed door laat lichten, voor het geval dat script kiddies dit ook lezen en zich dingen in hun hoofd gaan halen…

[Reactie gewijzigd door mrlammers op 10 april 2013 22:16]

Dit gaat neem ik aan over een directe kabelverbinding met het EMS. Via ACARS/ADS zie ik dat nml nog niet zo 1-2-3 gebeuren...

In essentie heeft hij wel gelijk, maar praktisch gezien zie ik dit nog niet gebeuren. In het overgrote deel van de vliegtuigen zijn al deze systemen nog fysiek van elkaar gescheiden. Daarnaast is voor manupulatie van het AFCS/FGC/autopilot tot op heden nog altijd bevestiging van de piloten nodig. Het volautomatische systeem waarbij dit vanaf de grond ook mogelijk is, is namelijk nog lang niet gecertificeerd.
Wel goed voor zijn business natuurlijk om het verhaal zo op te blazen. Dat neemt echter niet weg dat beveiliging van deze systemen zeker meer aandacht verdient.

Dit is al veel langer bekend.

Lange video: http://www.youtube.com/watch?v=CXv1j3GbgLk
Korte video: http://www.youtube.com/watch?v=NSLqRXyxiBo

Ligt het aan mij of ik zit er ook een bepaalde naïviteit dan vanuit de vliegtuigbouwers? Een systeem dat al sinds de '70 jarigen meegaat.. Tjaa..

Ik praat het niet goed dat mensen hier gebruik van zullen maken. Maar op deze manier is een 9/11 misschien niet zoveel verder weg dan gedacht. Ben wel benieuwd wat de vliegtuigbouwers voor "excuus" zullen hebben.

Maar mocht het allemaal zo zijn. Lichtelijk zorgwekkend vind ik het zeker wel

Een nieuwe 9/11 is sinds 9/11 nooit weggeweest hoor. kwestie van willen.

Wat wil je dan met een nieuwste 8-core intel pc de lucht in.? ik ga niet mee als je het niet erg zal vinden want de kans op neerstorten is me ietwat te hoog.
Nieuwer is niet altijd beter al zegt men dit altijd wonderbaarlijk snel, dat nieuwe pc systemen sneller zijn is wel een feit, maar degelijker is het niet direct.
Degelijkheid zal altijd bestaan uit oudere systemen omdat ze bekend zijn in hun degelijkheid door lange gebruiksdata over uitval.

Als ik voor een bepaald doel aan een pentium-2 voldoende heb gebruik ik die liever dan een nieuwe van vandaag. Puur om de degelijkheid, haal de fan maar eens van je proc af, poef stuk, en nu bij een pentium-2, blijft gewoon draaien.

Zo gaat dat nu eenmaal in de industrie die degelijk moet zijn, maar tegenwoordig zie je wel meer en meer dat men op het randje van degelijkheid gaat werken waardoor storingen toenemen of sneller vervangen moet worden. Vroeger zat er veel en veel meer marge in spullen en dat zie je in heel veel oude dingen terug, de oerdegelijke bouw.
Had men een motor nodig voor aandrijving van 5pk dan gebruikt men er eentje van 6, vroeger zou men zeggen eentje van 10, kortom marge, maar het mag niets meer kosten tegenwoordig en dan zie je nu verschijnen we hebben 5 nodig dan maken we er eentje van 5. En hebben we dan een hete zomer en de rommel brand door, en is dan stuk, dan zegt men er moet een betere koeling komen bla bla hoop geld, die marge motor draaide ondertussen gewoon door omdat die de warmte gewoon kon hebben, net als die pentium-2.

Alles voor de centjes, en dat is pas zorgwekkend. Geen marge meer toepassen is pas naief.

Oude hardware gebruiken betekend niet dat je automatisch hogere marges hebt he, dat betekend alleen dat bekent is dat de systemen werken. En dat is het. Ze kunnen meer kosten, vaker uitvallen (maar omdat er 3 in parallel zijn (letterlijk) maakt dat niet zo erg uit) , totaal niet te onderhouden zijn en dus ook nog eens zo lek als een mandje want security was toen gewoon nog niet zo'n issue.

Ik was zelfs bij de talk van Teso en hij gaf zelf al aan dat

Security != Safety

Vliegtuigmakers roepen altijd om security, maar bedoelen daarbij vaak om safety. Met andere woorden, alles word erg veel en lang getest wat gigantische bedragen kost in de aviation industrie. In ieder geval, praktisch betekend dat nu dat ze wel safe zijn zolang er niet geintervent wordt, maar zou iemand dus wel misbruik willen maken dan is het niet secure, en daardoor dus ook totaal niet safe.

Hoe dan ook, persoonlijk weet ik eigenlijk best weinig af van dit vlak van hacken/security, maar enerzijds werd me wel duidelijk dat het flink lek is, maar gelukkig heb je dan wel weer veel specialistische kennis nodig om hier misbruik van de te kunnen maken. Jan en alleman kunnen het zeker niet en zomaar een terrorist gaat het gelukkig ook niet lukken... overheden van landen enzo is dan weer een ander verhaal ben ik bang, maar ik denk/hoop dat dat niet zo'n vaart zal lopen.

Meneer heeft al aangetoond dat via de Android de data te beïnvloeden zijn. Vooral in de blackhack-wereld komt het vaak voor dat de ervaren hackers software schrijven voor de minder-ervaren en die tegen betaling aanbieden.
Als de exploit wordt gevonden door iemand zonder goede bedoelingen, is het een kwestie van tijd voordat er software op die markt komt. Om gebruik tegen te gaan moeten alle nieuwe en oude vliegtuigen dit nieuwe, verbeterde protocol ondersteunen. Helaas komt het te vaak voor dat de commerciële wereld liever risco loopt dan gaat investeren in iets waar ze zelf nog niet de dupe van zijn geweest. Gelukkig is het in de aviation-branche vrij streng en strak, dus hopelijk wordt het nieuwe protocol verplicht gesteld en het oude protocol gewoon uit laten sterven.
Ik weet niet of dit systeem ook gebruikt wordt in privé vliegtuigjes (lijkt me wel). Ga je die verplichten om dit nieuwe protocol te implementeren? Wat als ze dat niet kunnen financieren? Is het vliegtuig dan niet meer lucht-vaardig? Hoe ga je dat controleren?

[Reactie gewijzigd door Anoniem: 511588 op 11 april 2013 13:38]

Het gaat er hier toch totaal niet om of de gebruikte apparatuur degelijk is? Het is nu blijkbaar erg gemakkelijk geworden om dit systeem uit de jaren 70 te hacken. Toen was er waarschijnlijk niet of nauwelijks het gevaar van hacken. Nu dus blijkbaar wel.

Ik ben het helemaal met je eens. Mensen willen als maar meer en beter, blijven voeden van hun ego. Zolang ze maar geld uit de ander ze portemonnee kunnen ritselen. 'Meer' is niet altijd beter, naar mijn mening het onderwerp waar we in de huidige decennia tegen aanlopen.

tja, maar het systeem uit de jaren 70 heeft zich wel bewezen, en in vliegtuigen wil je geen state of the art net op de markt (en dus niet goed getest in de praktijk) systeem, kijk nu ook maar weer naar hbet oeing debacle, de dingen vlogen eigenlijk net maar hadden toch nog veel technische problemen.

enuh, 9/11 kon alleen maar gebeuren ondat de regering het wilde, als je alle FEITEN op een rij zet dan weet je gewoon dat dit niet het werk is van een stel terroristen, en kijk eens wat voor macht het de amerikaanse regering heeft opgeleverd, nou dat is voor sommige mensen die 'paar' doden wel waard.

RC plane krijgt wel een andere betekenis zo.

Moet meteen denken aan die helicoptertjes die je met Android kan besturen. Alleen denk ik dat de leercurve hier iets hoger is (laat staan en ander doel voor een eventuele gebruiker).

Wat ik me wel afvraag en wat niet helemaal duidelijk is, er staat dat de piloten bij een eventuele infectie alsnog op zicht door kunnen vliegen. Kunnen de instrumenten dan niet beinvloed worden? Als de mondkapjes naar beneden kunnen komen, lijkt me dat er wel meer aangepast kan worden?

Het alternatief voor 'op zicht vliegen' is 'op instrumenten vliegen', dus zelfs als de instrumenten gemanipuleerd worden, kan een piloot nog steeds uit het raam kijken en zien dattie toch echt nog maar 100 meter te gaan heeft voordat zijn kist in het weiland ligt.

Jawel, als het mooi weer is. Als de nood aan de man is dat er op de instrumenten gevlogen moet worden (en dat gebeurt nog wel eens) wil je toch echt wel dat je instrumenten de correcte waardes aangeven. :-)

En daarom is er behalve glas nog steeds ouderwetse analoge techniek aan boord. Immers de systemen kunnen uitvallen of in dit geval gehackt worden, de analoge meters werken op zichzelf en dus hier niet vatbaar voor.

Niet helemaal waar.
De modernste vliegtuigen hebben digitale standby instrumenten:
Integrated Standby Flight Display

Ik heb het originele artikel niet gelezen, maar het lijkt mij heel erg sterk/onmogelijk dat de instrumenten (Primary Flight Display, Navigation Display, etc) kunnen worden beinvloed op afstand.
De FMC stuur deze namelijk niet aan. De FMC is gekoppeld aan de auto pilot.

Ik was bij de presentatie en Teso gaf zelf aan dat van zo'n gigantisch groot paneel van meters enzo die hij als achtergrond op 1 slide had gebruikt, dat er eigenlijk maar een stuk of 3 of 4 waren die analoog werkte en dus sowieso veilig waren. De rest zou het in theorie mogelijk zijn te manipuleren en de piloot moet maar net weten welke dat zijn voor het model waar hij op dat moment in vliegt. Daarnaast gaf Teso aan dat een nog groter probleem is dat er exacte checklists zijn waar piloten zich aan moeten houden. Met andere woorden, als een aanvaller die checklists bekijkt weet hij exact wat en hoe een piloot gaat reageren en kan hij zijn aanval daar dus ook op afstemmen.

Zou een analoge hoogtemeter niet tot de standaarduitrusting behoren dan?

Zoals David Mulder aangeeft: een set meters die gemanipuleerd wordt, is niet handig. Juist een analoge hoogtemeter lijkt me dan geen overbodige luxe.

Nu hopen dat Al Quaida deze methode niet gaat leren... of welke terreurgroep dan ook. Je weet niet tot wat "slimme" idioten in staat zijn.

ps. Oké, ik zal mijn aluhoedje afzetten... en van de zomer gewoon met een goedkope maatschappij naar zuid europa op vakantie gaan

Vliegtuigbouwers zijn niet gek, eerst maar eens laten zien met een echt vliegtuig ipv een flightsimulator.

... Gewaagde stelling. Simulaties zijn hier voor. Gek zijn ze niet, maar ze doen zeker concessies op punten die niet als prio gezien worden. (nu blijkt dat dit dus) Best belangrijk achteraf.
Veelal word iets uitgevonden waar de impact later pas duidelijk van word. Internet bijvoorbeeld.
We hebben het al niet meer in de hand. Tis nog net niet AI, dat dat zo maar blijft ook.
Ik zie Skynet taferelen.

[Reactie gewijzigd door TweakerCarlo op 10 april 2013 19:28]

Niets gewaagdst aan, vliegtuig kan gewoon op de grond blijven staan.

Jij zegt dat we internet niet meer in de hand hebben, ik zeg het is goed dat niemand de controle over internet heeft.

Onvoorstelbaar dat dit gewoon kan! Überhaupt dat er een systeem uit de jaren 70 wordt gebruikt. Ik denk dat er nog veel meer van dit soort problemen rondzwerven.

In de luchtvaart komen de meeste systemen uit die tijd. Dat heeft grotendeels te maken met veiligheid en de daaruit volgende zeer moeilijke certificering van nieuwe technologieën.
Het, in Delft ontwikkelde, GLARE is ook een product uit de jaren '80 maar nu pas gebruikt in de airbus 380.

wat is er mis om systemen uit de jaren 70 te gebruiken? het werkt toch perfect? why fix it if it ain't broke.. dit soort systemen is natuurlijk ook niet zo simpel te vervangen omdat ze wereldwijd gebruikt worden.

Best leuk zet je autopilot uit. Maar niet om het 1 of ander een airbus A320 is nagenoeg helemaal electronisch ( bijna allen airbussen)

Zo zat ik in een Airbus en we vertrokken maar niet op het vastgestelde tijdstip. Kan gebeuren. Twintig minuten later deed de captain een mededeling: ze kregen foutmeldingen die maar niet weggingen. Het enige dat ze nu nog konden doen en gingen doen was een shutdown van het gehele toestel en vervolgens een reboot. Dat duurde bij elkaar vijftien tot twintig minuten. En in die tijd deed niets het in het toestel. Geen verlichting, geen airco en geen WC. Niets. Compleet down.

In de tropische zon werd er het al gauw bloedheet. Na een tijdje flink doorzweten ging opeens de verlichting aan en even later de airco. De vlucht zelf is verder probleemloos verlopen. Toch bleef er iets kriebelen. Heeft u al geprobeerd het systeem te herstarten? Welke software fabrikant raadt dat toch ook weer aan bij veel problemen...

Wat als zoiets zich voordoet tijdens een vlucht?

Ik heb iets gelijkaardigs meegemaakt, al weet ik niet meer of het een Airbus was ('t was in Hong Kong ergens begin jaren '90). Boarding procedure was volledig afgerond, deur was al gesloten, toen plots alles uitviel (licht, airco, entertainment). De noodverlichting werkte wel nog. Iedereen moest toen het toestel terug verlaten, pas 2 uur later mochten we weer aan boord. 100% gerust ben je dan toch niet als je een vlucht van 11u moet aanvatten, maar er is niets ongewoon gebeurd verder.

Hopelijk wordt er achter de schermen toch hard gewerkt om dergelijke beveiligingslekken te dichten...

EDIT: typo

[Reactie gewijzigd door Soccerfan666 op 11 april 2013 10:22]

Niet heel erg verbazingwekkend. Maar ik vraag me af hoeveel van de systemen überhaupt op afstand te manipuleren zijn. Het is leuk dat een piloot de automatische piloot kan uitzetten, maar de fly-by-wire systemen kan je niet uitzetten zonder alle controle over het vliegtuig te verliezen.

Verder is het leuk dat dit op afstand kan, maar zoals al in het verleden is laten zien, zijn er ook andere manieren om controle te krijgen over een vliegtuig. Fysiek toegang tot een vliegtuig krijgen is niet zo heel moeilijk als iedereen denkt...

Sja wat moet je hier over zeggen?

Allereerst: het is goed dat hier mensen mee bezig zijn en de resultaten presenteren op zo'n conferentie, en ook dat er aan een nieuw protocol wordt gewerkt.

Maar eerlijkgezegd vind ik de nieuwswaarde erg laag: een paar keer per jaar zijn er dit soort conferenties in de regio, en stuurt Tweakers een redacteur er heen. Vervolgens komen er een stuk of 2-3 van dit soort artikelen voorbij, met titels als "Kwaadwillende kan $iets_wat_heel_veel_gebruikt_wordt hacken" of "$erg_belangrijk_protocol kwetsbaar". En dat is ook wel zo, maar waarom horen we er dan verder nooit meer wat over?

Wat ik wil zeggen: het is allemaal laboratoriumwerk. Het is belangrijk dat het gebeurt en dat deze resultaten gedeeld worden met de mensen die verantwoordelijk zijn voor dit soort zaken, maar nogmaals: ik vraag me echt af wat de nieuwswaarde is.