Podczas konferencji Black Hat poruszono temat błędów w oprogramowaniu Boeinga 787, za pomocą których rzekomo możliwe jest przejęcie kontroli nad samolotem. Producent zaprzecza istnieniu zagrożenia, a Xopero Software, twórca programów do backupu i odzyskiwania danych, tłumaczy o co chodzi w konflikcie.
W trakcie jednej z konferencji Black Hat Briefings w Las Vegas, Ruben Santamarta – główny konsultant do spraw cyberbezpieczeństwa w IOActive – opowiedział o znalezionych lukach w oprogramowaniu popularnych samolotów Boeing 787. Producent samolotów niemal natychmiast określił prezentację jako “nieodpowiedzialną i mylącą’.
W samolotach tego typu pracują trzy główne sieci elektroniki. Pierwsza zarządza działaniem nieistotnych (z punktu widzenia pracy maszyny) systemów, jak urządzenia do rozrywki pasażerów. Druga sieć utrzymuje aplikacje używane przez załogę i personel techniczny. Trzecia i najważniejsza zarządza działaniem wszelkiego rodzaju czujników i urządzeń, na których bezpośrednio pracują piloci.
Błędy, które odnalazł Santamarta pozwalają na włamanie się do pierwszej sieci, stamtąd do drugiej, aby wreszcie uzyskać dostęp do trzeciej i teoretycznie przejąć kontrolę nad systemami samolotu. Rzecznicy Boeinga twierdzą z kolei, że opanowanie maszyny w ten sposób jest niemożliwe. Filtry systemowe nie pozwalają bowiem na swobodny przepływ poleceń między sieciami.
Według twierdzeń IOActive, Santamarta odnalazł oprogramowanie (ówcześnie wciąż w trakcie rozwoju) we wrześniu 2018, kiedy to producent Dreamlinera przypadkowo udostępnił swój serwer. Odnalazł w nim kilka błędów, które można wykorzystać do uruchomienia własnego kodu w systemach. Następnie skontaktował się z inżynierami Boeinga, aby sprawdzić swoje badania w kontrolowanych warunkach, bezpośrednio w systemach maszyny.
Rzecznicy amerykańskiego koncernu zaprzeczają podobnym kontaktom, twierdząc, że pierwszy raz o błędach dowiedzieli się od osoby niepowiązanej z IOActive, a o badaniach Santamarty, zaledwie kilka miesięcy wcześniej z programu konferencji Black Hat. Firma twierdzi również, że IOActive co prawda informowało o problemie, ale wyłącznie zewnętrznego twórcę oprogramowania – Honeywell. Temu z kolei zaprzecza IOActive, podtrzymując swoją wersję.
– Przejęcie kontroli nad samolotem to niezwykle groźny temat – mówi Bartosz Jurga, dyrektor sprzedaży w Xopero Software – szczególnie po atakach z września 2001, zagnięciu samolotu MalaysianAirlines czy katastrofie lotu Germanwings. Jakiekolwiek szerzenie teorii na ten temat z reguły wywołuje panikę, a jeżeli nie jest poparte twardymi dowodami, faktycznie jest nieodpowiedzialne. Tutaj należy zgodzić się z Boeingiem. Z drugiej strony producent Dreamlinera wiedział o temacie prezentacji kilka miesięcy wcześniej i mógł zaplanować swoją reakcję o wiele lepiej. Chociażby podeprzeć się analizami i rzeczowymi dowodami na jej niesłuszność.
W międzyczasie oprogramowanie zostało dopracowane. W testach przeprowadzanych przez Boeinga bezpośrednio na samolocie potwierdzono, że nie ma możliwości wykorzystania błędów do przejęcia kontroli nad systemami. Z tym zgadzają się również liczni komentatorzy i eksperci zza oceanu, którzy wątpią w możliwość przeprowadzenia podobnego ataku krytykując jednocześnie Boeinga za zachowanie po zgłoszeniu problemu.
– Boeing powinien lepiej przygotować się do tej sytuacji tym bardziej, że po katastrofie samolotu linii Ethiopian Airlines w marcu tego roku, wszystkie maszyny Boeing 737MAX zostały uziemione na długie miesiące – mówi Bartosz Jurga, dyrektor sprzedaży w Xopero Software – Ważnym problemem, który niestety umyka w całej tej sprawie, jest również niewłaściwe zabezpieczenie danych przez samego producenta. Z pewnością oprócz Santamarta, wiele niepowołanych osób dotarło do badań działu R&D [Research&Development] Boeinga.
