Kaliforniya Üniversitesi San Diego ve Oberlin College'dan araştırmacılar tarafından geliştirilen prototip cihaz yaklaşık bir madeni para büyüklüğünde ve 100 dolardan daha düşük bir maliyete sahip. Cihaz, uçağın dış kısmındaki bir kapaktan erişilebilen ve normalde bakım personelinin ulaşabileceği bir bağlantı noktasına yerleştirilebiliyor. Araştırmacılar, cihazın Boeing 737'nin dahili ağlarından birine elektrik sinyalleri göndererek uçuş sistemleriyle iletişim kuran bilgisayarlara sahte komutlar iletebildiğini belirtiyor.

Otopilot ve uçuş planı değiştirilebiliyor

Araştırmanın en dikkat çekici kısmı, söz konusu yöntemin uçağın Flight Management Computer (FMC) ve Multipurpose Control Display Unit (MCDU) gibi kritik sistemlerine müdahale edebilmesi. Araştırmacılar, geliştirdikleri cihazla otopilota girilen güzergah noktalarını ve uçağın uçuş yönünü değiştirebildiklerini belirtiyor. Bunun yanında uçağın ağırlığı veya dış hava sıcaklığı gibi kalkış hesaplamalarında kullanılan değerlerin de değiştirilebildiği ifade ediliyor.

Daha da dikkat çekici olan ise bazı değişikliklerin pilotun ekranında fark edilmeyecek şekilde gizlenebilmesi. Araştırmacılara göre bu durum, yanlış bilgilerin kokpit ekibine doğru veriler gibi gösterilmesine yol açabilir. Örneğin uçağın gerçek ağırlığının olduğundan daha düşük gösterilmesi veya dış sıcaklığın değiştirilmesi, kalkış hesaplamalarını etkileyebilecek sonuçlar doğurabilir.

Saldırının gerçekleşmesi için fiziksel erişim gerekiyor

Araştırmacılar, yöntemin internet üzerinden uzaktan gerçekleştirilen klasik bir siber saldırıdan farklı olduğuna dikkat çekiyor. Saldırının ilk aşamasında saldırganın uçağa fiziksel olarak erişmesi ve cihazı bağlantı noktasına yerleştirmesi gerekiyor.

Ekip, geliştirdiği cihazın Wi-Fi bağlantısına sahip olduğunu ve teorik olarak uçağın uçuş sırasında sunduğu Wi-Fi ağı üzerinden dışarıdaki saldırganla iletişim kurabileceğini belirtiyor. Böylece cihaz uçağa yerleştirildikten sonra saldırganın cihazı ve gönderdiği komutları uzaktan kontrol etmesi mümkün hale gelebiliyor.

Araştırmacılar Boeing'i yıllar önce bilgilendirdi

Araştırmacılar bulgularını Boeing ile ilk olarak 2020 yılında paylaştı ve sonraki yıllarda şirketle çalışmayı sürdürdü. Ekip ayrıca saldırıyı Boeing'e ait bir tesisin test laboratuvarında gösterdi. Boeing ise kendi incelemelerini gerçekleştirdiğini ve uçak sistemlerindeki koruma katmanlarının gerçek dünyadaki saldırıların uygulanabilirliğini önemli ölçüde sınırladığını belirtti.

Bununla birlikte araştırmacılar, Boeing'in kendilerine henüz doğrudan bir teknik çözüm sunmadığını söylüyor. Uçakların tasarım ve sertifikasyon süreçlerinin uzun olması nedeniyle bu tür sistemlerde kapsamlı değişikliklerin uygulanmasının yıllar sürebileceğine dikkat çekiliyor.

Ayrıca Bkz.Avrupa'nın en popüler hava yolu şirketinde operasyonları artık yapay zekâ yönetecek

Uçakların yere indirilmesi gerektiği anlamına gelmiyor

Araştırmacılar, keşfedilen açığın uçakların kullanımdan çekilmesini veya Boeing 737'lerin yere indirilmesini gerektirecek bir durum olmadığını özellikle vurguluyor. Pilotların otopilotu devre dışı bırakıp uçağı manuel olarak kontrol edebilmesi ve bazı doğru değerlerin kokpitteki farklı ekranlarda görülebilmesi, saldırının etkilerini sınırlayabilecek güvenlik katmanları arasında gösteriliyor.

Ancak ekip, saldırının özellikle uçağın yerde bulunduğu sırada fiziksel erişim sağlanabilmesi nedeniyle havacılık sektörünün dikkate alması gereken önemli bir güvenlik riski oluşturduğunu düşünüyor. En basit çözümler arasında savunmasız bağlantı noktasının kapatılması veya tamamen kaldırılması öneriliyor. Uzun vadede ise sistemlerin saldırıyı algılayabilecek yazılımsal savunmalarla güçlendirilmesi, kritik ağların daha iyi izole edilmesi ve sistemler arasındaki sinyallerin kriptografik olarak doğrulanması öneriliyor.