Es posible hackear un avión, al menos en parte

Novedades ciertamente preocupantes en el sector aeronáutico. Y es que un investigador español que trabaja en IOActive -una empresa de ciberseguridad- ha revelado importantes deficiencias en la seguridad de los sistemas de entretenimiento a bordo diseñados por Panasonic, de nombre sistemas IFE.

Los sistemas de entretenimiento para aeroplanos (IFE Sytems) y otros sistemas de comunicaciones desarrollados por Panasonic Avionics están entre los más utilizados a nivel mundial, así que el alcance del problema se anticipa serio. La empres aha montado más de 8000 sistemas de entretenimiento para aerolíneas, junto a otros 1300 sistemas de conectividad en vuelo.

Ahora mismo este tipo de sistemas están basados en Android, pero otros modelos más antiguos (aunque ampliamente utilizados) emplean Linux -es el caso del 3000 o 3000i- y la compañía ha iniciado hace poco campañas de bug bounty (caza de bugs) donde se anima a que la gente encuentre y notifique vulnerabilidades a cambio de dinero.

Funcionamiento de sistemas de entretenimiento en vuelo

Antes de continuar, me gustaría aclarar que no se va a caer ningún vuelo al mar -al menos de momento- pues que sepamos aún no se ha conseguido vulnerar de forma crítica los sistemas manejados por los pilotos. Veamos cuáles son algunos de los componentes comunes para conformar un sistema IFE:

• Seat Display Unit: es decir, el sistema de pantalla que vemos en ciertos asientos de vuelos más caros. Este dispositivo embebido permite al pasajero recibir información de vuelo, conectarse a internet o ver películas. A veces van acompañadas de una PCU o Unidad de Control Personal.
• Panel de control en cabina: este sistema controla las luces y otros sistemas del aparato, de caracter informativo/comunicativo.
• System Control Unit: la unidad de control de sistema -servidor- proporciona información referente al vuelo, junto a otras características que permiten al cliente realizar compras con su tarjeta de crédito, entre otras.

El descubridor del suceso, de nombre Rubén Santamaría, es como decimos un investigador de IOActive que lleva un tiempo tomando parte en el programa de caza de vulnerabilidades. Se ha encargado de analizar los sistemas de IFE de las principales aerolíneas del mundo durante meses: Emirates, American Airlines, United, Air France, Aerolíneas Argentinas, Ehitah, Iberia…

Es posible hackear un avión, al menos en parte

El experto ha conseguido encontrar vulnerabilidades en las actualizaciones de firmware, incluyendo una inyección SQL y otro problema que facilitaría el robo de tarjetas de crédito, saltando el sistema de validación.

El video que aparece más abajo muestra una prueba de concepto que demuestra como es posible saltarse los controles de las tarjetas de crédito, lanzar acceso arbitrario a ficheros y finalmente un problema relacionado con una inyección de código SQL. Se puede observar como el experto interactúa con la pantalla táctil y la PCU.

https://youtu.be/D8NM8YlhyIc

Según comenta Santamarta, el hackeo de este sistema IFE permitiría a un atacante interferir con las operaciones normales del vuelo y robar información sensible. La buena noticia es que el sistema de control principal está físicamente aislado de los pasajeros, por tanto en principio no hay peligro para la seguridad de los pasajeros.

Desde el punto de vista TI, comprometer el IFE siginifica que un atacante podría tomar el control de la información que reciben los pasajeros del avión. Por ejemplo, un atacante podría falsificar información mostrada en pantallas, como altitud o velocidad, o mostrar una ruta de coordenadas falsa. También podría hackear la unidad CrewApp, controlando la PA, luces  o actuadores para las plazas de clase business. Si se encadenan todos estos ciberataques, un actor malicioso podría llegar a crear una situación desconcertante para los pasajeros.

Y continúa:

La captura de información personal, incluyendo detalles de tarjetas de crédito, aunque no está en el propósito de este informe, sería también técnicamente posible si los equipos que a veces proporcionan acceso a membresía VIP para usuarios frecuentes (montados en ciertas aerolíneas) no se han configurado correctamente.

¿Hasta dónde podría llegar un atacante?

Aunque decimos que en principio los pasajeros no están en peligro, por desgracia en ciertos casos se ha detectado una falta de aislamiento entre los sistemas IFE y los equipos de control central del avión, algo que en caso de sucedeer (combinado con lo anterior) sí podría suponer un problema serio de seguridad.

Estos fallos ya fueron reportados a la empresa Panasonic a comienzos de 2015, por lo que el descubridor considera que han tenido tiempo de, al menos, haber subsanado las mayores deficiencias. Esperemos…

Versión completa del informe