Hoogleraar: cyberkaping vliegtuig is onmogelijk
Het is niet mogelijk om een vliegtuig via wifi of entertainmentsystemen aan boord over te nemen, zo heeft een Amerikaanse hoogleraar tijdens de Defcon hackerconferentie in Las Vergas laten weten. Phil Polstra is hoogleraar digitale forensics aan de Bloomsburg Universiteit van Pennsylvania.
Hij heeft echter ook de nodige ervaring met vliegtuigen. Polstra is namelijk piloot, bouwt vliegtuigen, heeft aan de ontwikkeling van luchtvaartsystemen van moderne vliegtuigen gewerkt en vele duizenden uren gevlogen. Tijdens zijn lezing ging de hoogleraar in op de vraag of een cyberkaping van vliegtuigen echt kan of een fabeltje is. In het verleden zijn namelijk regelmatig uitspraken gedaan over de mogelijkheid van een cyberkaping.
De meeste mensen hebben echter niet voldoende kennis om te kijken of deze uitspraken ook wel echt kloppen en kunnen, aldus de hoogleraar. "Of je je nu veiliger of onveiliger voelt zou op feiten gebaseerd moeten zijn." Polstra gaf echter direct al antwoord op de vraagstelling van zijn presentatie. Het is niet mogelijk om de controle van de piloot over te nemen. Alle vliegtuigen beschikken namelijk over niet te hacken mechanische back-upinstrumenten.
Het is wel mogelijk om de werking van de autopiloot te beïnvloeden, maar zodra piloten dit opmerken kunnen ze die uitschakelen. Daarnaast zal alles wat een aanvaller probeert waarschijnlijk voor waarschuwingen zorgen. Verder zijn de meeste vliegtuignetwerken niet met belangrijke systemen verbonden. Het populaire ARINC (Aeronautical Radio) 664 datanetwerk dat in veel vliegtuigen wordt gebruikt is gebaseerd op ethernet. Het is echter niet verbonden met het wifi-netwerk van het vliegtuig en het is ook niet mogelijk om zomaar pakketjes te versturen.
Vluchtplan
Polstra merkte op dat een aanvaller wel het Aircraft Communications Addressing and Reporting System (ACARS) kan aanvallen. Dit systeem wordt gebruikt om berichten over het weer, vertragingen, onderhoudsinformatie en nieuwe vliegplannen tussen het vliegtuig en grondstations uit te wisselen. Een aanvaller zou een valse update voor een vliegplan kunnen versturen of een vals weeralarm kunnen afgeven. "Maar dit is geen praktische manier om een vliegtuig over te nemen", aldus Polstra.
Hij sloot af door te waarschuwen dat bijna elk protocol dat in de luchtvaart wordt gebruikt onbeveiligd is. Door de toenemende automatisering kan het blijven gebruiken van deze onbeveiligde protocollen in de toekomst mogelijk wel voor problemen gaan zorgen. Vooralsnog zijn vliegtuigen nog steeds relatief veilig, zo concludeerde de hoogleraar.
Chrome x64 en inlogpagina zijn nog steeds geen vriendjes. Kan iemand dat bevestigen?
Instrumenten! Dit is iets anders dan "bedieningselementen". De nieuwe toestellen zijn volgens mij allemaal "Fly by wire". en dan is "wire" geen staalkabeltje.
Of de besturing door een aanvaller binnen het vliegtuig overgenomen kan worden weet ik niet. Maar het zou mij niet verbazen wanneer er na 9/11 niet op zijn minst over is nagedacht het mogelijk te maken om de besturing van een vliegtuig vanaf de grond over te nemen.
Dat is vervelende aan security-denken. Je moet met een functie niet alleen op de positieve kant/benutting letten maar ook op het mogelijk misbruik. Net de rare dingen uit een andere invalshoek bekijken. Niet uitgaan van bepaalde aannames.
Dat ook nog eens zonder gek te worden/zijn met allerelei complot theorien
Is onjuist. fly-by-wire heeft geen mechanische back-ups.
Bullshit...
Je hoeft helemaal de besuting niet over te nemen.
Zolang jij de piloot foute informatie geeft die hij niet kan verifieren, gaat een piloot altijd uit van zijn allarmen uit gaat.
Geen beter bewijs dan echt bewijs..
Relax, you're quite safe here...
Bullshit...
Je hoeft helemaal de besturing niet over te nemen.
Zolang jij de piloot foute informatie geeft die hij niet kan verifiëren, gaat een piloot altijd uit van zijn alarmen uit gaat.
Geen beter bewijs dan echt bewijs..
Je kunt je wel afvragen tot in hoeverre het mogelijk is om deze systemen digitaal te manipuleren op zo'n manier dat de piloot in de problemen komt. Daar gaat de hoogleraar op in, niet of je met een stuk tape een vliegtuig onbestuurbaar kan maken. De hoogleraar stelt dat dit manipuleren niet zozeer onmogelijk is, maar dat de piloot snugger genoeg is om door te hebben wanneer de informatie niet klopt en kan overstappen op een back-up systeem.
Mijn kennis op het gebied van vliegtuigen gaat niet zo ver dat ik hier zeker kan stellen dat een vliegtuig altijd beschikt over een mechanisch back-up systeem in geval van uitvallende elektronica. Maar het zou me niets verbazen. Is het echter genoeg om een vliegtuig veilig mee op de grond te krijgen, of is het als de reddingsvesten onder de stoeltjes en gaat het meer om een gevoel van veiligheid? Ik kan dat niet beoordelen.
De VS heeft onlangs nog een oefening gedaan samen met de Israeli en Turken waarbij AWACS werden ingezet met de mogelijkheid om van afstand de bediening van een vliegtuig over te nemen (cyber hijacking heet zoiets). Saillant detail is dat deze oefening op de dag van het neerhalen van de MH17 plaats vond in de 'buurt' van de Oekraine. De techniek bestaat er al voor dus, en als de VS het kan dan kunnen anderen dat ook.
Remote controlled autopilot to prevent hijacking
http://www.engadget.com/2007/03/08/remote-controlled-autopilot-to-prevent-hijacking/
Unmanned Aircraft: Countdown to Mission Possible
http://www.boeing.com.au/News/Releases/2014/February/Unmanned-Aircraft-Countdown-to-Mission-Possible
En zo je vliegtuig over, noem eens wat, Oost-Oekraiene kunnen sturen. Of Noord Korea, Iran of een ander trigger-happy land waar men een oorlog mee wil uitlokken.
En zo zou ik nog wel even door kunnen gaan met de kanttekening dat een drone ook een vliegtuig is en deze zijn wel degelijk op afstand overgenomen! Hoogleraar die een beetje high is soms? ;)
Dikke bullshit, zolang er chips in zitten en elektronisch contact met luchthavens en satellieten onderhouden wordt kan vandaar verder gewerkt worden. hoeft niet per se utp kabeltje tussen te zitten.
hoewel de veiligheid bij vliegtuigen wel VEEL hoger ligt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
