ABD'deki önde gelen akademik kurumlar, Boeing 737 tipi uçakların aviyonik sistemlerinde, fiziksel erişimle kritik uçuş verilerinin manipüle edilebileceğini ortaya koyan önemli bir siber güvenlik açığı tespit etti. Kaliforniya Üniversitesi San Diego (UC San Diego) ve Oberlin College'dan siber güvenlik araştırmacıları tarafından geliştirilen 'Bus Driver' adlı yöntem, havacılık sektöründe siber güvenliğin sadece uzaktan değil, yer operasyonları sırasında da ciddi riskler taşıdığını gözler önüne serdi.
Boeing 737 Aviyonik Sistemlerinde Kritik Bir Açık
Araştırmacılar, 'Bus Driver' adını verdikleri bu saldırı yöntemini, küçük boyutlu, kablosuz özelliklere sahip bir cihazın uçağın erişilebilir bir bağlantı noktasına yerleştirilmesiyle laboratuvar ortamında başarıyla gösterdi. Yöntem, Boeing 737'nin elektronik ekipman bölümündeki dijital veri yollarına kabloları kesmeden müdahale ederek, uçuş yönetim sistemine iletilen mesajları engelleme veya değiştirme prensibine dayanıyor. Bu sayede, uçuş rotasıyla ilgili verilerin yanı sıra yakıt miktarı ve ağırlık gibi kritik uçuş planlama parametreleri manipüle edilebiliyor. Kokpitteki göstergelerde gerçeği yansıtmayan bilgilerin belirmesi, pilotların yanlış kararlar almasına yol açabilecek ciddi bir risk teşkil ediyor.
Ancak araştırmacılar, bu yöntemin uçağın kumanda yüzeylerini doğrudan ele geçirmediğinin altını çiziyor. Çalışmada, saldırının uçuş yönetim bilgisayarı ile çok işlevli kontrol ve gösterge birimi arasındaki haberleşmeyi etkilediği, ancak uçuş kumandalarına doğrudan müdahale etmediği belirtiliyor. Ayrıca, sistemlerin devre dışı kalması durumunda deneyimli bir pilotun uçağı manuel olarak uçurabileceği vurgulanıyor. Bu nedenle, söz konusu çalışma, herhangi bir Boeing 737'nin uzaktan ele geçirildiği anlamına gelmiyor; aksine, saldırının gerçekleşmesi için uçağın yerde bulunduğu sırada elektronik sistemlere fiziksel erişim sağlanması gerektiğine işaret ediyor.
Fiziksel Erişim ve Havacılık Siber Güvenliği
Araştırmacılar, bulgularını daha önce Boeing ile paylaştıklarını ifade etti. Boeing'in de bu bulguları değerlendirdiği, ancak ortaya konan saldırı senaryosunun pratikteki uygulanabilirliği konusunda daha temkinli bir duruş sergilediği belirtiliyor. Şirket, güncel 737 ailesi, özellikle 737 MAX ve Next-Generation 737 modelleri için uçuş yönetim sistemlerinin güvenlik ve güvenilirlik özelliklerini geliştirmeye yönelik çözümler sunduğunu belirtiyor.
Bu çalışma, havacılık sektöründe siber güvenliğin sadece yazılım ve kablosuz bağlantılar üzerinden değil, aynı zamanda bakım ve yer operasyonları sırasında fiziksel erişim ihtimali de göz önünde bulundurularak ele alınması gerektiğini bir kez daha ortaya koyuyor. Bu durum, bakım ekiplerinin ve yer personelinin elektronik ekipman bölümlerine erişiminin sıkı kontrol altında tutulmasının, kullanılmayan bağlantı noktalarının güvenliğinin sağlanmasının ve aviyonik veri yollarında anormal mesajların tespit edilmesinin önemini artırıyor. UC San Diego, Oberlin College, University of Illinois ve University of Washington araştırmacılarının oluşturduğu AEROSEC grubu gibi oluşumlar, geleceğin havacılık elektronik sistemlerinin güvenliği üzerine çalışmalarını sürdürüyor.
