El miércoles, el investigador de seguridad español Hugo Teso hizo una presentación en la conferencia Hack in the Box en Amsterdam
en el que aseguraba que había desarrollado una aplicación para Android
que podría permitirle tomar el control de un avión debido a los defectos
en sus sistemas de comunicaciones de a bordo... ¡y la que se ha
montado!, hasta ha sido noticia de impacto en la CNN (saluda Hugo):
Durante
años hackers e investigadores de seguridad están avisando acerca de
vulnerabilidades en la próxima generación de protocolos de control de
tránsito aéreo. Pero Hugo se centró en un protocolo diferente llamado Aircraft Communications Addressing and Report System (ACARS),
un sistema de intercambio de datos simple que ha evolucionado a lo
largo de décadas y ahora se incluye en todo, desde los datos
meteorológicos hasta la programación de los horarios del sistema de gestión de vuelo del avión (FMS).
 |
| Cabina de un avión, incluyendo el sistema de gestión de vuelo de Honeywell supuestamente vulnerable. |
El
principal problema es que ACARS prácticamente no tiene elementos de
seguridad para evitar comandos falsos. Hugo pasó tres años trabajando en
la ingeniería inversa del software de navegación de vuelo que recibe
señales ACARS para encontrar errores que le permitieron enviar sus
propios comandos a los sistemas, ya sea desde una radio por software que
se puede ajustar para utilizar ACARS o desde un sistema de aerolíneas
comprometido. En su charla, Hugo mostró una aplicación para Android que
le permitió redirigir un avión virtual con sólo un toque en un mapa de
su teléfono Samsung Galaxy. "ACARS no tiene ninguna seguridad en absoluto. El avión no tiene medios para saber si los mensajes que recibe son válidos o no", dice. "Así
que los acepta y se puede utilizar para cargar los datos en el avión y
provocar estas vulnerabilidades. Y entonces se acabó el juego"
.
 |
| Las aerolíneas operan sus comunicaciones ‘AOC’ sobre ACARS |
Y
todo ésto sólo mediante hardware y software de simulación FMS que
compró en eBay y que supuestamente contiene el mismo código que los
sistemas reales. Imaginaros de lo que estamos hablando, podría tomar el
control del piloto automático de un avión en pleno vuelo y cambiar de
ruta o enviar señales y datos falsos para confundir a los pilotos
humanos... o apagar las luces y expulsar las mascarillas de
despresurización. "Se puede utilizar este sistema para modificar aproximadamente todo lo relacionado con la navegación del avión", comentaba Hugo en una entrevista. "Eso incluye un montón de cosas desagradables".
Evidentemente
Hugo no ha detallado las vulnerabilidades en el código. Ya ha
contactado con la US Federal Aviation Administration (FAA) y la European
Aviation Safety Administration (EASA) y está trabajando con las
compañías aeroespaciales afectadas (Honeywell, Thales, Rockwell Collins)
para solucionar el problema. Estas entidades aseguran que estas
vulnerabilidades sólo pueden explotar en un entorno de simulación y
nunca en un sistema real certificado con los niveles más altos de
redundancia y seguridad. Desde la perspectiva de N.Runs la consultora
para la que trabaja Hugo comentan: "... esto debería funcionar con un mínimo de adaptación".
Sea
como fuere, se trata de un toque de atención a todas las compañías
involucradas en el tráfico aéreo para mejorar la seguridad de todos los
que con ellos viajamos. Ganamos todos.
Presentación:
Aircraft Hacking Practical Aero Series
Fuentes:
Researcher Says He's Found Hackable Flaws In Airplanes' Navigation Systems (Update: The FAA Disagrees)
FAA: 'No, you CAN'T hijack a plane with an Android app'
Hijacking airplanes with an Android phone
Un 'hacker' demuestra que puede derribar un avión con un móvil Android
No hay comentarios:
Publicar un comentario