Jak DHS zhakowało samolot

Przeczytaj także: Przemysł: systemy kontroli przemysłowej celem nr 1?

Departament Bezpieczeństwa Wewnętrznego USA (DHS) ogłosił ostatnio, że bez trudu włamał się do wewnętrznego systemu samolotu stojącego na pasie startowym. Z informacji publikowanych na stronie internetowej „Defense Daily Network” wynikało, że grupa osób odpowiedzialnych za ten atak wykorzystywała wyłącznie takie narzędzia, które nie wzbudziłyby żadnych podejrzeń w czasie rutynowej kontroli bezpieczeństwa na lotnisku. Okazuje się również, że do przeprowadzenia ataku niepotrzebny był ani fizyczny dostęp do systemów samolotu, ani też współpraca z jakąkolwiek „wtyczką”. Szczegółowe dane odnośnie ataku oraz jego zasięgu utrzymywane są w ścisłej tajemnicy. Wiadomo jedynie, że istotną rolę w dotarciu do systemów samolotu i - w efekcie - powodzeniu całego przedsięwzięcia odegrała komunikacja radiowa. Taki system znajduje się na wyposażeniu niemal każdego samolotu.

W tym miejscu rodzi się duże pole do spekulacji. Możemy z pewnością stwierdzić, że eksperci natknęli się na problem, który będzie bardzo trudno przezwyciężyć. Do eksperymentu wykorzystano wyjątkowo popularny model samolotu – Boeing 757. Sam scenariusz nie był niczym nowym – na własnej skórze doświadczyli go także producenci samochodów po tym, jak w 2015 roku ujawniono raporty dotyczące okrytego złą sławą Jeepa. Samochody to w praktyce jeżdżące sieci informatyczne, podczas gdy samoloty można określić już jako latające systemy IT. Każdy z komponentów wykorzystanych w samolocie pasażerskim musi spełniać bardzo restrykcyjne wymogi bezpieczeństwa, zanim zostanie dopuszczony do lotu. Obowiązkowa jest regularna konserwacja, zajmująca zawsze ściśle określoną ilość roboczogodzin.

Oprogramowanie sterujące kluczowymi komponentami samolotu w standardowych okolicznościach nie podlega kontroli podczas rutynowych działań konserwacyjnych (jako że jest to już wystarczająco kosztowna procedura, wyceniana nawet na kilkaset tysięcy euro).

Brak modyfikacji — to błąd?

Oprogramowanie instalowane w samolotach jest rzadko modyfikowane, ponieważ każdy element wchodzący w jego skład wymaga odpowiedniej certyfikacji przed zastosowaniem w samolocie. Podobnie jak w przypadku sprzętu medycznego - proces certyfikacji jest bardzo czasochłonny i kosztowny. Z tego powodu wszelkie większe modyfikacje wprowadzane są „hurtowo”, by zaoszczędzić na wielokrotnej certyfikacji przy każdej, nawet drobnej zmianie. Czasem, pod warunkiem uzasadnienia kosztów, samolot może zostać wyposażony w zupełnie nowy pakiet oprogramowania w ramach przeglądu. Użyte pakiety są jednak z reguły instalowane w niezmodyfikowanej formie – takiej, w jakiej zostały dostarczone. W dzisiejszych czasach obecność specjalisty IT w hangarze, gdzie przeprowadza się przeglądy samolotów należących do komercyjnych linii lotniczych to wyjątkowo rzadki widok. Czy to nadużywanie zaufania? I tak i nie. W kwestii wprowadzania jakichkolwiek nowości, producenci i piloci preferują konserwatywne podejście. Firmy produkujące komponenty nie mogą dostarczać niedopracowanych produktów, a piloci muszą w 100% polegać na informacji, jaką otrzymują od producentów. Gdy dojdzie do incydentu w samolocie, producenci zazwyczaj wydają biuletyn opisujący możliwe strategie radzenia sobie w danej sytuacji i wysyłają go do wszystkich linii lotniczych, w których danego typu samoloty są wykorzystywane. Biuletyny te mogą zawierać specjalne instrukcje dla pilotów lub wskazówki dotyczące konserwacji kierowane do pracowników naziemnych, by w trakcie pracy bacznie przyglądali się określonym kwestiom.

Sprawdzone rozwiązania

Niektóre systemy i programy wykorzystywane w samolotach komercyjnych mają dziesięć lub więcej lat. Gdy wsiadasz do samolotu, bardzo prawdopodobne jest, że oprogramowanie, które nim steruje, jest dużo starsze niż to, które zainstalowałeś na swoim smartphonie. Jakkolwiek dramatycznie to brzmi, nie ma w takim rozwiązaniu nic strasznego. Na przestrzeni ostatnich kilku lat nie pojawiły się żadne istotne zmiany w wytycznych dotyczących systemów instalowanych w samolotach. Możesz też być pewien, że ta konkretna kombinacja sprzętu i oprogramowania wylatała setki tysięcy godzin bez żadnej usterki. Z tego właśnie powodu statystycznie rzecz biorąc samolot to jeden z najbezpieczniejszych środków transportu.

W tym kontekście wyjątkowo interesujący okazuje się fakt, że producenci najwyraźniej już od dłuższego czasu byli w pełni świadomi istnienia niedociągnięć w oprogramowaniu, jednak nie uznawali ich za wystarczająco istotne, by informować o nich swoich klientów. „To nic poważnego” – takie było ich podejście. Oświadczenie wydane przez rzecznika zaatakowanego Boeinga, pokazała, że firma traktuje informacje uzyskane przez grupę ekspertów za cenne, jednak o niskiej przydatności praktycznej. Prawdą bowiem jest, że ten typ ataku wymaga specjalistycznej wiedzy, do której przeciętny człowiek nie ma dostępu. Z tego powodu odkrycia specjalistów nie potraktowano jako powszechnego zagrożenia bezpieczeństwa. Piloci mogliby owszem zastanawiać się, jakie jeszcze informacje producenci mogą próbować ukryć, lecz z drugiej strony, powstaje pytanie, jaki byłby praktyczny cel ujawnienia tego typu informacji. Piloci nie są specjalistami ds. zabezpieczeń IT i mają bardzo ograniczone możliwości walki z cyberzagrożeniami na pokładach swoich samolotów lub wręcz wcale nie mają takich możliwości. To samo dotyczy pracowników przeprowadzających przeglądy, ponieważ nie ma (jeszcze?) wśród nich ekspertów IT.

Co dalej?

Systemy IT i sieci w samolotach pasażerskich bardzo różnią się od „normalnych” komputerów oraz od znanej nam infrastruktury sieciowej. Naprawianie jakichkolwiek luk w oprogramowaniu dla przemysłu lotniczego to niezwykle skomplikowane zadanie, a poza tym, a może przede wszystkim, procedura ta kosztuje majątek. Według jednego z członków zespołu DHS naprawa jednej linijki kodu w takim programie może kosztować od miliona dolarów wzwyż, a jej uwzględnienie w produkcji może trwać latami. Do tego należałoby doliczyć koszt kolejnego skutku wymiany oprogramowania - każdej godziny uziemienia samolotu, która jest dla operatorów stratą pieniędzy. Rozkład lotów poszczególnych maszyn jest z reguły ustalany z wielotygodniowym wyprzedzeniem. Gdy dany samolot przechodzi sześciotygodniowy przegląd generalny (inaczej „D Check”), z reguły tego samego dnia, w którym wspomniany przegląd dobiegnie końca, wyrusza on w pierwszy lot. Z tego powodu koszty ponoszone przez producentów i operatorów w związku z naprawą jakichkolwiek usterek szybko nawarstwiają się i osiągają niewyobrażalne wartości.

Nowe stare wyzwania

Dobra wiadomość jest taka, że produkcja nowoczesnych systemów i nowego typu maszyn uwzględnia zwiększony poziom zabezpieczeń (także w zakresie IT). Zmiany te często jednak nie wnoszą niczego nowego dla starszych samolotów, chyba że przejdą one kompletną modyfikację, co jest możliwe wyłącznie, jeśli operator jest w stanie znaleźć ekonomiczne uzasadnienie. Większość samolotów latających obecnie po niebie ma co najmniej kilka lat. Samolot pasażerski jest często w aktywnej eksploatacji przez 15 do 20 lat, a czasem i dłużej.

- Przemysł lotniczy staje obecnie w obliczu wyzwania, które dotyczy także innych sektorów: trzeba znaleźć sposób na zabezpieczenie systemu, który opracowano w czasach, gdy nikt jeszcze nie zdawał sobie sprawy, że nastanie chwila, w której każdy będzie miał dostęp do narzędzi mogących narazić ten system na poważne niebezpieczeństwo - tłumaczy Robert Dziemianko z firmy G DATA, która od ponad 30 lat dostarcza na rynek oprogramowanie antywirusowe.

Do rozważenia pozostaje jedna kwestia, która niektórych z pewnością uspokoi: mimo że obecnie samoloty są niemal w pełni zautomatyzowane, za ich sterami wciąż zasiadają odpowiednio wykwalifikowani piloci, do których należy ostatnie słowo.