Эксперты по авиационной безопасности предупредили, что уязвимость авиационных бортовых компьютерных систем может позволить хакерам украсть личные и финансовые данные пассажиров, а также мешать работе бортовых дисплеев.
Рубен Сантамарта, главный консультант по безопасности одной из фирм, изучал системы развлечения пассажиров в полете, используемые рядом авиакомпаний, включая Virgin Atlantic, Emirates, United, Iberia и American Airlines. После того, как два года назад он «поиграл» в полете с экраном системы развлечения пассажиров, Сантамарта обнаружил, что может получить доступ к отладочной информации.
После того, как уже на земле он использовал определенные ключевые слова в поисковых программах, ему удалось в открытом интернет-доступе найти сотни обновлений прошивки для систем развлечения (которые несколько отличаются от авиакомпании к авиакомпании), включая самые «свежие».
После обратного проектирования он обнаружил несколько уязвимостей, которые теоретически в некоторых сценариях могут позволить хакерам удаленно управлять системами развлечений. Злоумышленник может контролировать, как на борту самолета информируются пассажиры. Например, он может подменить информационные значения полета, такие как высота или скорость, либо показать поддельный маршрут на интерактивной карте. Злоумышленник даже может вмешаться в работу голосовой системы информирования пассажиров, систему освещения салонов… Сантамарта предполагает, что если злоумышленник воздействует сразу на все системы, в которые он может вмешаться, это значительно усложнит работу бортпроводников и озадачит пассажиров.
Более того, у хакеров существует техническая возможность для получения личной информации пассажиров, включая реквизиты кредитной карты. Однако возможность пересекать «красную линию» между системой развлечения пассажиров и системой управления полетом, по утверждениям специалиста, сильно зависит от конкретного устройства, программного обеспечения и конфигурации. По его словам, «мы не можем окончательно сказать, может или не может злоумышленник попасть в область управления самолетом в результате выявленных уязвимостей, так как это будет зависеть от конкретной конфигурации системы, используемой на самолете. Теоретически все самолеты и авиакомпании должны иметь физическое разделение доменов системы развлечений и системы управления полетом. В настоящее время изученные системы развлечения пассажиров не могут противостоять намеренным нападениям со стороны квалифицированных злоумышленников.»
Авионика обычно находится в области управления самолетом, которая всегда должна быть физически изолирована от пассажирских доменов. Там, где такое физическое разделение существует, у хакеров нет абсолютно никаких шансов вмешаться в процесс выполнения полета. Однако не везде эти две системы физически разделены. Это означает, что до тех пор, пока существует физический путь, который соединяет оба домена, существует и потенциал для хакерской атаки.
Этот вывод не может не волновать авиатранспортную отрасль России и, естественно, авиапассажиров. Из-за понятной закрытости информации в отношении того, как обстоят дела с защитой от киберугроз в российской авиации, утверждать что-либо практически невозможно. Как невозможно и сравнивать, соответствуют ли принимаемые в России меры защиты положениям Указа Президента Российской Федерации от 31 декабря 2015 года N 683 «О Стратегии национальной безопасности Российской Федерации«.
МКАА «Безопасность полетов» в своих публикациях неоднократно затрагивала эту серьезнейшую тему. Так, мы сообщали о позиции ИКАО в отношении кибербезопасности, прозвучавшей на ее 39 Ассамблее, а также о незащищенности новых средств коммуникации в авиации.
