网络安全|失控：一张3.5寸软盘暴露民航业网络安全危机
文章图片
近日在DEF CON28黑客大会的一次视频采访中 ， Pen Test Partners的研究人员透露波音747-400飞机居然仍在使用3.5英寸软盘来更新重要的导航数据库（更新周期为28天） 。 事实上 ， 很多飞机都在使用古董级的3.5英寸软盘 ， 例如波音737飞机多年来也使用软盘加载航空电子设备软件 。 根据《今日航空》2015年的一份报告 ， 这些软盘上的数据库越来越大 。
【网络安全|失控：一张3.5寸软盘暴露民航业网络安全危机】
波音747的软盘驱动器
作为全球化、信息化和现代化的标志性行业 ， 航空业的大型商用飞行器依然使用3.5英寸软盘更新关键数据这件事不但让安全人士无语 ， 甚至广大民众也为之肝颤 。 要知道连“食古不化”的美国国防部都已经在去年退役了存储发射核弹指令的软盘 ， 即便这些软盘从未在“生产环境”中使用过 。
近年来 ， 随着航空业数字化的深入 ， 航空软件和网络安全已不仅是安全极客的炫技场 ， 甚至也不仅是一个行业的“技术债”问题 ， 而是关系到每个人生命安全的“生死簿” 。
我们先简要回顾下近来拉响航空业安全警报的事件：
·2019年7月 ， DHS/CISA发布了关于CAN总线网络实施不安全的警告 ， 该协议允许飞机 ， 汽车和其他机器内的各种设备相互通信 。 该漏洞可能允许不良行为者向飞机注入虚假数据 。 据CISA称 ， 通过物理上接入CAN总线系统 ， 对手可以改变许多飞机的测量数据 ， 包括发动机遥测读数、指南针和姿态数据、高度和空速 。
·2019年波音公司刚刚复产的737 Max飞机因软件故障导致两次致命的坠毁 ， 共造成346名乘客和机组人员死亡 。 一年后的今天 ， 在因两起空难而在全球范围内停飞一年多后 ， 737 MAX重新认证的进程仍悬而未决 。 据路透社报道 ， 2020年8月11日公布的月度数据显示 ， 波音公司的客户今年取消了超400架737 MAX飞机订单 ， 而该公司的飞机总交付量在7月份下降到只有4架 。
·2020年7月 ， 航空业的供应商之一 ， Garmin公司因勒索软件导致消费类产品和商用航空产品——Garmin Pilot、Connext和FlyGarmin业务瘫痪 ， 其中Garmin Pilot应用负责向飞行员提供飞行计划存档、账户同步和数据库功能 ， 而Connext则提供驾驶舱服务与天气、未知报告以及飞机上的中央维护计算机（CMC）的数据 。
·2019年 ， 一位网络安全教授在英国航空公司的航班IFE机载娱乐系统中发现了缓冲溢出漏洞（CVE-2019-9109） 。 该教授用USB鼠标将长字符串文本输入到机上聊天应用程序 ， 导致整个机上娱乐系统崩溃 。 这种在飞行航班上的渗透测试引起极大争议 ， 同时也证明了航班网络安全问题的真实性和危险性 。
·2020年8月 ， DEF CON28上网络安全人士透露 ， 由于受疫情影响英国航空公司准备退役一支机队 ， 网络安全人士首次获准进入波音747客机内部进行信息安全检查和测试 。 PTP也首次向网络安全界公布波音747内部乘客甲板下方的全部航空电子设备舱 ， 以及数据中心式的 ， 模块化的飞行控制模块 。 此次调查发现波音747仍然在使用3.5英寸软盘更新重要的导航数据库 。
事实上 ， 航空网络安全问题的严重性远远超出人们的预期 。 在安全牛年初的报道《 航空业的安全噩梦：走进波音公司的湿暗后厨 》一文中 ， 安全研究员克里斯·库贝克(Chris Kubecka) 在2019年底伦敦举行的航空网络安全会议上 ， 披露了波音公司网络安全的“脏乱差”：
测试开发网络公然裸奔、邮件服务器塞满忙碌的恶意软件、官网门户大开（没有启用 HTTPS）、发现漏洞的白帽子遭到恐吓威胁…任何一位航空公司信息主管百忙中抽空瞥一眼波音公司的安全后厨 ， 一定会恶心得好几天吃不下饭 。
推荐阅读
- 航天器|任务完成了都没一张照片，我国“可重复使用航天器”为何这么神秘
- 旅行者|旅行者1号传回一张地球照片，科学家看后，瞬间沉默不语了！
- 鳄鱼|国外惊现老鹰叼走鳄鱼，半空中又狠狠摔下，场面一度失控！
- 职场飞科|贴一张膜赚10倍差价，核心收入更高，手机维修店老板月入3万
- 晨报精选|| 如何发现网络问卷的“醉翁之意”，网络安全小黑板
- 考古学家|20多万年前地球上的第一张床，由草和灰烬组成，不仅松软还驱虫
- monkeyzmk|一张摄影工作台、七个实拍案例-你的产品照片也可以很好看
- 网络安全|常看“黄色网站”你当无人知？当手机出现这几个现象时，你就该停手了
- 人世繁华|可信计算真能“彻底改变”网络安全的“命运”？
- 黑洞|满怀期待，第一张黑洞视界照片！