少なくとも一部の民間航空機は無線ハッキングに対して脆弱であると米国国土安全保障省当局者が認めた。
ニュージャージー州の空港で駐機中の航空機に、政府、産業界、学界の専門家からなるチームが侵入したと報じられています。ハッキングの詳細は機密扱いですが、専門家たちは無線周波数通信を介してボーイング757のシステムにアクセスしました。
「2016年9月19日に飛行機を入手しました。その2日後、遠隔操作による非協力的な侵入に成功しました」と、国土安全保障省科学技術局サイバーセキュリティ部門の航空プログラムマネージャー、ロバート・ヒッキー氏は、今月初めにバージニア州で開催されたサイバーサット・サミットでの講演で述べた。
研究チームは、MIT、米国エネルギー省パシフィック・ノースウエスト国立研究所、カリフォルニア大学サンディエゴ校、SRIインターナショナル、QEDセキュア・ソリューションズなどの有識者から構成されていた。
当初、チームの調査結果はコンピュータセキュリティの専門家から過去のニュースとして片付けられ、「大したことではない」とヒッキー氏はDefense Dailyに語った。しかし、3月に行われたプロジェクトの調査結果を議論する技術会議で、民間航空機のパイロット数名が、ハッキングで悪用された脆弱性について知らなかったと述べた。
言い換えれば、無線侵入は、デスクで安全に作業する情報セキュリティ専門家にとっては馴染み深い話だったが、実際に飛行機を操縦し、実際に作業する人々にとっては初めて聞く話だった。コンピューター制御の電子システムと同様に、飛行機にもバグがあり、それが悪意のある侵入者によって悪用される可能性があることは、驚くべきことではない。
以前の作品
数年前、セキュリティ研究者のクリス・ロバーツ氏は、ユナイテッド航空の機内エンターテイメントシステムを介して飛行中の機内制御にハッキングしたとして告発されました。ロバーツ氏はニューヨーク州シラキュース行きの飛行中、航空機のネットワークセキュリティについてツイートしていました。到着後、彼は連邦捜査局の尋問を受けました。しかし、彼が操縦システムにアクセスしたという証拠はなく、起訴されることはありませんでした。
2014年、ブラッド・ヘインズ氏は航空管制とADS-Bのセキュリティを調査し、施設に対するさまざまな脅威を発見した。
2013年には、情報セキュリティのプロであるヒューゴ・テソ氏が、一部の民間航空機は携帯電話だけで侵入される可能性があると主張したが、当時、米国の航空安全監視機関はこれに異議を唱えた。
ルーベン・サンタマルタなどの他の研究者は、航空機の衛星通信システムのセキュリティを調査してきました。
これは船長からの発言です... 本当にそうでしょうか?
続きを読む
インシデント対応の専門家であり、英国空軍の侵入およびTEMPESTテストチームの元リーダーであるスティーブ・アームストロング氏は、El Regに対し、航空機はいわゆる「隠蔽によるセキュリティ」の恩恵を受けていると語った。多くのITセキュリティ担当者が航空機の技術を精査しておらず、システムにアクセスしたり、機内のコネクタやその他のバスとインターフェースしたりできるわけではないからだ。しかし、Wi-Fiホットスポットなどの無線機器が航空機に追加されるにつれて、一般的なプロトコルを介した遠隔ハッキングの脅威にさらされるようになる。
基本的に、物理的にインターフェース ポートを露出させたり、キャビネットに侵入したり、プラグを配線したりして機器を改ざんするのではなく、脆弱な機器の近くにいるだけで、市販の標準技術を使用して無線経由で機器を侵害することが可能になりました。
「航空機はタッチスクリーンだけがインターフェースである閉鎖的なシステムだと認識されています」とアームストロング氏は述べた。「機内のWi-Fiやその他のデータバスは、標準的なIP（インターネットプロトコル接続）を使用しています。」
「現代の企業ネットワークには、常にネットワークを監視する防御者がいる」が、飛行機にはそれがない。「飛行機は正確な離陸時刻を報告し、サーバーと同期する。これらすべてが、ほとんどの従来の航空機が防御できない攻撃へのインターフェースを開放しているのだ」と彼は述べた。
一方、ヒッキー氏は、航空機のセキュリティに関する研究は継続中だと述べた。国土安全保障省は、航空機メーカーや航空会社に対する具体的なアドバイスをまだ策定していない。また、脆弱性が発見された際にすべての航空機の航空電子機器サブシステムにパッチを適用するには、費用がかかりすぎると指摘した。
パッチ適用
ボーイング787やエアバス・グループのA350など、最近設計された民間航空機はコンピューターセキュリティを考慮して設計されたと伝えられているが、航空会社の保有機群の大部分を依然として占める古い航空機では、サイバー攻撃への抵抗や防止は設計基準リストに含まれていなかった。
ヒッキー氏によると、飛行機の通信・情報技術システムは従来の企業ネットワークとは根本的に異なるため、地上ネットワークと同じ方法で飛行機のサイバーセキュリティに対処しようとすると「目的を達成できない」という。
アームストロング氏はこの一般的な評価に同意し、航空機の安全性試験と定期的なパッチ適用の厳格な要件が異なる方向に進んでいると付け加えた。
「航空機部品を製造する企業は、試験プロセスが長引いてコストがかかるため、機器の頻繁なアップデートを好みません。そのため、利益率が低く、安全性を何よりも重視する歴史的傾向により、多くの部品はアップデートされていないのです」とアームストロング氏は説明した。®
