Las principales ciberamenazas para los aviones proceden de tierra firme

¿Hasta qué punto son vulnerables los aviones comerciales a las brechas de ciberseguridad? Depende de qué parte de sus sistemas informáticos se trate. Los equipos de aviónica que hacen funcionar la aeronave son bastante resistentes a la piratería informática, aunque no a prueba de balas. Sin embargo, los sistemas de acceso a Internet a bordo que conectan a los pasajeros con la red son tan vulnerables a los piratas informáticos como cualquier red terrestre.

Por qué es difícil, pero no imposible, piratear la aviónica

La aviónica engloba todos "los sistemas de instrumentación, telemetría y comunicaciones utilizados por los pilotos y la tripulación en los aviones", afirma Patrick Kiley, consultor principal de seguridad de Rapid7. En los aviones modernos, en los que estas unidades están controladas por ordenador, están conectadas en red y a tierra para emitir informes periódicos de supervisión del sistema. Esto permite a las aerolíneas detectar los problemas en cuanto se producen y resolverlos eficazmente con un impacto mínimo en los horarios de vuelo.

En comparación con los sistemas de acceso a Internet en vuelo, la aviónica en red es más difícil de piratear. Esto se debe a su arquitectura (las redes de aviónica no están conectadas a la web), las funciones limitadas que realizan y sus entornos operativos generalmente cerrados. El hackeo sigue siendo posible, como el propio Kiley proporcionó en un documento de investigación de Rapid7 de 2019 titulado Investigating CAN Bus Network Integrity in Avionics Systems.

"Las aeronaves modernas utilizan una red de componentes electrónicos para traducir las señales de los diversos sensores y colocar estos datos en una red para ser interpretados por los instrumentos apropiados y mostrados al piloto", escribió Kiley. Cuando esta red física (el "bus del vehículo") se combina con un estándar común de comunicaciones llamado "Controller Area Network" (CAN), se crea el "bus CAN", que hace las veces de sistema nervioso central del avión.

"Después de llevar a cabo una investigación exhaustiva en dos sistemas de aviónica disponibles en el mercado, Rapid7 demostró que era posible que un individuo malintencionado enviara datos falsos a estos sistemas, dado cierto nivel de acceso físico al cableado de una pequeña aeronave", escribió Kiley. "Tal atacante podría conectar un dispositivo — o utilizar un dispositivo conectado existente— a un bus CAN de aviónica con el fin de inyectar mediciones falsas y comunicarlas al piloto". Esas mediciones falsas podrían incluir lecturas incorrectas de telemetría del motor; datos incorrectos de brújula y actitud; e información incorrecta de altitud, velocidad aerodinámica y ángulo de ataque (AoA).

"Un piloto que confíe en estas lecturas de los instrumentos no sería capaz de distinguir entre datos falsos y lecturas legítimas, por lo que esto podría provocar un aterrizaje de emergencia o una pérdida catastrófica del control de la aeronave afectada", escribió Kiley. Dicho esto, "queremos hacer hincapié en que este ataque requiere acceso físico, algo que está muy regulado y controlado en el sector de la aviación".

"Los sistemas de aviónica tienen una superficie limitada para atacar de forma remota puramente por la naturaleza de la arquitectura", explica Kiley a CSO. "Los sistemas de aviónica sí pasan por revisiones exhaustivas tanto por parte del fabricante como de la industria y la FAA, pero estas revisiones no se centran exclusivamente en la seguridad, sino que están muy enfocadas a la seguridad".

Mejorar la seguridad es la razón por la que los sistemas de aviónica de las aeronaves modernas están tan fuertemente conectados en red. Pero esta tendencia no ha seguido el ritmo de la necesidad de mejorar la ciberseguridad, advierte el Grupo Thales en su blog. "La industria de la aviación ha cosechado los beneficios de la digitalización en los últimos diez años, pero esto también ha desencadenado nuevos riesgos, incluidas vulnerabilidades sociales y técnicas que nunca antes se habían abordado", afirma.

Sin embargo, Sean Reilly, vicepresidente de gestión del transporte aéreo y soluciones digitales del proveedor de servicios de banda ancha tierra-aire SmartSky Networks, discrepa de esta valoración negativa. "En realidad, el protocolo de seguridad de la aviónica es muy, muy estricto", afirma Reilly. Para eludirlo, un pirata informático necesitaría conocer los fundamentos de un bus ARINC 429, que es básicamente el bus de datos principal de un avión, además de un conocimiento profundo de lo que realmente hay dentro de "la capa de software sobre esa pieza de aviónica y ser capaz de conectarse a ella", explica. "No es algo que se pueda hacer en un momento".

Por qué puede ser un problema el acceso a Internet a bordo

Pregunta a los expertos en ciberseguridad sobre hackeos conocidos de aviones comerciales, y lo más probable es que citen al hacker de sombrero blanco Chris Roberts. Según un artículo de 2015 en Wired, "Chris Roberts, un investigador de seguridad de One World Labs, dijo al agente del FBI durante una entrevista en febrero que había hackeado el sistema de entretenimiento en vuelo, o IFE, en un avión y sobrescrito código en el ordenador de gestión de empuje del avión mientras estaba a bordo del vuelo".

Una declaración jurada del FBI presentada por el agente especial Mark S. Hurley en apoyo de la incautación por parte de la Oficina del iPad, MacBook Pro y varios medios de almacenamiento de Roberts declaró que Roberts había hackeado los sistemas IFE de varios aviones comerciales abriendo las cajas electrónicas de los asientos bajo el asiento y conectando su ordenador portátil a ellos mediante un cable CAT6.

"Afirmó que había ordenado con éxito al sistema al que había accedido que emitiera la orden 'CLB' o de ascenso", decía la declaración jurada del FBI. "Declaró que, de este modo, provocó que uno de los motores del avión ascendiera, lo que dio lugar a un momento lateral o lateral del avión". Para ser justos con Roberts, los entre 15 y 20 hackeos del IFE que realizó mientras volaba en aviones Airbus y Boeing seleccionados entre 2011 y 2014 los hizo "porque le gustaría que se arreglaran las vulnerabilidades", dice la declaración jurada del FBI.

En línea con la declaración anterior de Kiley, Roberts tuvo que hacer este hackeo conectándose físicamente a la red interna del avión. Gracias al desarrollo de aviones digitalmente integrados y conectados a Internet, como el Boeing 787 Dreamliner, esto ya no es así. Según una conferencia en BlackHat USA 2019 de Rubén Santamarta, entonces consultor principal de seguridad en IOActive, ahora es posible "llegar efectivamente a la red de aviónica de un avión comercial desde dominios que no son críticos, como los servicios de información y entretenimiento de los pasajeros o incluso desde redes externas." [Boeing ha rebatido las conclusiones de Santamarta].

Desde la perspectiva de un CISO, lo que importa no es que se haya encontrado una vulnerabilidad de seguridad específica en un modelo concreto de avión, sino la idea general de que los aviones modernos con redes informáticas interconectadas podrían permitir intrusiones en equipos de aviónica de alta seguridad desde sistemas de acceso a Internet de pasajeros de baja seguridad.

Así las cosas, ha llegado el momento de que todos los sistemas de a bordo de las aeronaves —incluida la aviónica— se consideren vulnerables a los ciberataques. Como tales, los procedimientos de seguridad para protegerlos deben ser tan exhaustivos y profundos "como cualquier otro dispositivo conectado a Internet", afirma Kiley. "La divulgación que hice en 2019 fue la primera de gran envergadura en la que participaron la industria, las aerolíneas y el Gobierno estadounidense cooperando para garantizar que la divulgación se hacía de forma responsable y siguiendo las mejores prácticas de la industria de la seguridad. Esto debería ser un modelo de cómo alertar a la industria de un problema de manera responsable".

Desgraciadamente, "muchos fabricantes del sector de la aviación no saben cómo colaborar con los investigadores de seguridad e intentan silenciar la investigación amenazando con tomar medidas en lugar de colaborar para resolver los problemas detectados", observa Kiley. Se trata de una respuesta contraproducente a las ciberamenazas, en un momento en el que todo el sector es un objetivo potencial. Al fin y al cabo, "incluso el ejército estadounidense ha sufrido ataques informáticos en sus aviones autónomos", afirma.