Según una nueva investigación, los delincuentes podrían alterar de forma remota los datos en los que se basan las aplicaciones utilizadas por los pilotos de aviones para informar los procedimientos de despegue y aterrizaje seguros. En un escenario que evoca fuertes recuerdos de esa escena de vuelo de Die Hard 2, los investigadores que investigaban las bolsas de vuelo electrónicas (EFB) descubrieron que la aplicación utilizada por los pilotos de Airbus era vulnerable a la manipulación remota de datos, dadas las condiciones adecuadas. En realidad, esa escena de Duro de matar estaba, sorpresa, plagada de agujeros en la trama (los investigadores lo demostraron hace unos meses), pero demostrar la posibilidad de algo similar siempre sería emocionante. Un EFB suele ser una tableta o una computadora portátil similar a una tableta que ejecuta aplicaciones específicas de la aviación que se utilizan para una variedad de tareas en la cabina o en la cabina de vuelo, como realizar cálculos para mejorar el rendimiento de la aeronave. La vulnerabilidad se encontró en Flysmart+ Manager, una de las muchas aplicaciones dentro de la suite Flysmart+ utilizadas por los pilotos de Airbus para sincronizar datos con otras aplicaciones Flysmart+ que proporcionan datos a los pilotos para informar sobre despegues y aterrizajes seguros. Desarrollado por NAVBLUE, propiedad de Airbus, se descubrió que Flysmart+ Manager había desactivado la seguridad de transporte de aplicaciones (ATS) al establecer la clave de lista de propiedades NSAllowsArbitraryLoads en «true». ATS es un control de seguridad clave responsable de proteger las comunicaciones entre la aplicación y el servidor de actualización de la aplicación. «ATS es un mecanismo de seguridad que obliga a la aplicación a utilizar HTTPS, evitando comunicaciones no cifradas», escribió en su blog Antonio Cassidy, socio de Pen Test Partners, que llevó a cabo la investigación. «Un atacante podría utilizar esta debilidad para interceptar y descifrar información potencialmente confidencial en tránsito». Un ataque viable tendría que implicar la interceptación de los datos que fluyen hacia la aplicación y se tendrían que cumplir una serie de condiciones muy específicas. Incluso Ken Munro, otro socio de Pen Test Partners, admitió que la explotación sería poco probable en un escenario del mundo real. Oh, sí, ese hotel que la aerolínea siempre usa… Primero, un atacante tendría que estar dentro del alcance de Wi-Fi del EFB cargado con Flysmart+ Manager. Suena poco probable, pero Munro dijo que las aerolíneas a menudo usan los mismos hoteles para alojar a sus pilotos entre vuelos, y es posible identificarlos a ellos y a la aerolínea para la que trabajan con bastante facilidad. En segundo lugar, y quizás el mayor obstáculo para una explotabilidad realista, es el hecho de que un atacante tendría que monitorear el tráfico del dispositivo en el momento en que el controlador EFB inicia una actualización de la aplicación. El ciclo de actualización está determinado por la base de datos de Regulación y Control de Información Aeronáutica (AIRAC). La base de datos de AIRAC se puede actualizar con información importante, como cuando se instalan nuevas pistas o no están disponibles temporalmente, o cuando se realizan cambios significativos en el entorno de la pista, como la instalación de una grúa. Cuando la base de datos se actualiza con nuevos datos, la aplicación debe descargarla para proporcionar a los pilotos información precisa y oportuna. Por lo general, esto se hace una vez al mes. El escenario de ataque ideado por los investigadores implicó apuntar a un piloto sentado en el bar de un hotel (es decir, dentro del alcance de Wi-Fi) y realizar una búsqueda de Wi-Fi direccional mientras apuntaba a un punto final específico que el atacante conocería porque conoce la aplicación objetivo. . «Dado que las aerolíneas suelen utilizar el mismo hotel para los pilotos que están en ruta o en escala, un atacante podría apuntar a las redes Wi-Fi del hotel con el objetivo de modificar los datos de rendimiento de la aeronave», dijo Cassidy. Al desarrollar una prueba de concepto para un exploit, los investigadores pudieron acceder a los datos descargados desde los servidores de actualización. La mayor parte vino en forma de bases de datos SQLite, y algunas incluyen datos de balance de peso de una aeronave y la lista de equipo mínimo: información sobre qué sistemas pueden estar inoperativos para un vuelo. Cassidy dijo que las posibles consecuencias de una explotación exitosa podrían incluir un golpe de cola de un avión o un despegue fallido, lo que provocaría excursiones en la pista. «¿Creo que esto es probable? No, absolutamente no», dijo Munro. «Pero el punto es que hay una vulnerabilidad. Hay problemas con los sistemas de vuelo y la buena noticia es que los estamos encontrando y los fabricantes los están solucionando». Los investigadores elogiaron a Airbus por solucionar el problema en 19 meses, lo que está en el rango esperado para la tecnología de aviación, dijeron. Una ventana de 19 meses sería totalmente inaceptable en la aplicación regular de parches de TI, pero en la aviación, una actualización como esta normalmente tardaría alrededor de 12 meses, por lo que no estaría a un millón de millas de distancia. Se nos dice que se requiere un período de tiempo más largo para pasar por los procesos de certificación con la industria de la aviación. Munro dijo: «¿Podría ser un poco más rápido? Sí, creo que podría haber sido un poco más rápido, pero lo arreglaron; eso es lo importante, y se hizo en un tiempo razonable para el software de aviación». Un piloto comercial activo dijo a The Register que el hallazgo era una «preocupación», particularmente con respecto a las velocidades de rendimiento de despegue, ya que el programa de rendimiento de Airbus es conocido por producir diferentes velocidades y configuraciones de flaps para optimizar los despegues. Dijeron que debido a este cambio frecuente, un piloto probablemente no detectaría un conjunto de datos manipulado si apareciera en la aplicación EFB, lo que podría conducir a procedimientos de despegue peligrosos. Algunas aerolíneas tienen controles de errores graves que examinan la relación entre la velocidad calculada y la velocidad real de la aeronave, en función de los datos de peso y equilibrio de la aeronave, el tipo al que accedieron los investigadores mientras analizaban Flysmart+ Manager. «Asumo [these checks] Detectaría un hack… pero no podría decir eso categóricamente», dijo el piloto. En respuesta a la investigación, un portavoz de Airbus dijo: «Identificamos una vulnerabilidad potencial en una versión específica del producto NAVBLUE FlySmart+ EFB en 2022″. Nuestro análisis, confirmado por EASA, mostró que no había ningún problema de seguridad gracias a los procedimientos de seguridad implementados para validar los datos relevantes para el vuelo. Las mejoras del producto han abordado esta vulnerabilidad potencial en versiones posteriores de NAVBLUE EFB». ®

Source link