Kyberzápisník #88: Hack Boeingu 737 za 60 sekund

Výzkumníci z University of California San Diego a Oberlin College předvedli, že Boeing 737 jde napadnout fyzickým implantem zasunutým do servisního konektoru. Instalace trvá zhruba minutu a probíhá na zemi, bez přístupu do kabiny. Výzkum zazněl 13. srpna 2026 na konferenci USENIX Security v Baltimoru a hack Boeingu 737 od té doby probírají technická i běžná média. Tenhle článek shrnuje, co paper skutečně říká, co je mediální přibarvení a jaké poučení z toho plyne pro kyberbezpečnost letectví i další kritickou infrastrukturu.

Hack Boeingu 737: o jaký výzkum jde

Paper se jmenuje Design and Implementation of a Physical Implant Attack on the Boeing 737. Autory jsou Sam Crow, Stephen Checkoway, Patrick Mercier, Pat Pannuto, Stefan Savage a Aaron Schulman. Zkoumají hrozbu, kterou letecká kyberbezpečnost tradičně přeskakuje: útočník s krátkým fyzickým přístupem k letadlu. Tradiční přístup počítal hlavně s bezdrátovými kanály jako ADS-B nebo ACARS a fyzický přístup pokládal za problém mimo rozsah modelu hrozeb.

Výsledkem je malý programovatelný implant, který se dostane do komunikace mezi dvěma klíčovými počítači v kokpitu: Flight Management Computer (FMC) a Multi-function Control and Display Unit (MCDU). Tedy mezi počítačem, který řídí plánování letu a autopilota, a obrazovkou s klávesnicí, přes kterou s ním pracují piloti.

Threat model: proč stačí 60 sekund u Boeingu 737

Autoři záměrně nepočítají s útočníkem, který stráví noc v hangáru. Počítají s časovým oknem 60 sekund: zhruba 15 sekund na otevření hatche, 30 sekund na zasunutí implantu a 15 sekund na zavření.

Přístupový poklop do prostoru s elektronikou (E&E bay) je u Boeingu 737 pod přídí, dosáhne se na něj ze země a není zamčený. Po otevření se v kokpitu na dobu otevření rozsvítí kontrolka EQUIP, jinak se nic neděje.

K letadlu se dá dostat při obrátce mezi lety (30 až 60 minut na krátkých tratích), při nočním stání nebo při hangárové údržbě. Letištní apron je sice chráněná zóna, ale autoři upozorňují, že perimetr není neprostupný. Odkazují na zprávu americké GAO z roku 2016 o 2 500 incidentech s přístupem na letiště v roce 2015 a na zprávu TSA z roku 2017, podle které mělo v USA platné letištní průkazy pro chráněné zóny přes 1,4 milionu lidí. Připomínají i opakované případy černých pasažérů v podvozkových šachtách.

Implant má oproti bombě jednu nepříjemnou výhodu: deniabilitu. Havárie při vzletu kvůli špatně zadané hmotnosti nebo ztráta letadla kvůli palivu se dá snadno svést na chybu posádky nebo poruchu. Autoři jako nedestruktivní příklad zmiňují případ Ryanairu 4978 z roku 2021, kdy byl letoun odkloněn do Minsku.

Výzkum se týká verzí 737 NG a MAX, které tvoří přes 95 % aktivní flotily.

Servisní konektor a sběrnice ARINC 429 v Boeingu 737

Autoři přesnou identitu konektoru záměrně zamlžili a v paperu ho nazývají OMC (Open Maintenance Connector). Neuvádějí jeho název, umístění ani zapojení pinů. Je připojený k sběrnicím mezi FMC a MCDU a dodává trvalé napájení, a to i za letu.

Data mezi počítači v Boeingu 737 putují po sběrnici ARINC 429, standardu z roku 1977. Je to jednosměrná sběrnice s jedním vysílačem a jedním či více přijímači a nemá žádnou autentizaci zpráv. Doposud se předpokládalo, že přidat na ni druhý vysílač je prakticky nemožné a útočník by musel vyměnit původní zařízení.

Útok Bus Driver: jak se přebije sběrnice

Název Bus Driver je slovní hříčka: „bus“ je sběrnice i autobus. Princip stojí na elektrické konstrukci ARINC 429. Původní vysílač je od sběrnice oddělený odpory, které chrání jeho výstup. Implant je nemá a používá silnější zesilovače, takže na sběrnici přepíše napětí a přebije původní signál.

Trik je v tom, že implant zároveň měří, kolik proudu do sběrnice posílá. Z toho odvodí, jaký bit se původní vysílač snažil poslat. Vzniká tak plnohodnotný útok typu attacker-in-the-middle, a to bez přerušení kabelu. Sběrnici není třeba přeříznout, stačí se k ní připojit.

Výzkumníci to neprověřovali na simulaci. Skládali testbed z autentických dílů Boeingu 737, které koupili z vyřazených letadel, a zapojili ho podle výrobních schémat. Úspěšný test proběhl podle paperu i na testovacím zařízení Boeingu v prosinci 2023.

Co hack Boeingu 737 dokáže v praxi

Implant může zaznamenat obraz na MCDU, zmrazit ho a přes relé v konektoru poslat do FMC vlastní stisky tlačítek. Původní stav si uloží a pilotům ho promítá dál, takže změna zůstane skrytá. Paper rozebírá tři scénáře:

• Změna trasy za letu. FMC vyžaduje, aby pilot změnu potvrdil tlačítkem EXEC. Jenže tlačítko i jeho podsvícení jdou po stejné sběrnici. Implant tak může EXEC stisknout sám a podsvícení potlačit. Pojistka, která vypadá nezávisle, závislá je.
• Změna zero-fuel weight. Hmotnost bez paliva vstupuje do výpočtu rychlostí pro vzlet i dalších parametrů letu. Skrytá úprava může vést k nesprávným rychlostem při vzletu.
• Změna assumed temperature. Z ní se počítá tahové nastavení motorů při vzletu. Snížená hodnota může znamenat nedostatečnou rezervu tahu.

Limity útoku na Boeing 737

Paper sám o sobě nic nedramatizuje. Uvádí, že jde o proof-of-concept a nikoli o bezprostřední hrozbu v praxi.

• Útok není dokonale nenápadný. Když se implantu nepovede přesné časování, na MCDU se rozsvítí kontrolka FAIL a obrazovka se vrátí do hlavního menu, což by posádku upozornilo. Tvar signálu je při přepisu navíc mírně odlišný, s větším šumem na špičkách, a měřicí technika by to mohla odhalit.
• Vzdálené ovládání přes palubní Wi-Fi je zatím jen návrh. Implant prototypu Wi-Fi obsahuje, ale autoři výslovně píšou, že prostup signálu z kabiny do avionického prostoru neověřili.
• Podle mediálního pokrytí uvádějí i to, že pozorná posádka může nesrovnalost odhalit křížovou kontrolou dalších přístrojů nebo přechodem na ruční řízení. V samotném paperu toto tvrzení nenajdeme.
• O ceně implantu pod 100 dolarů se píše v médiích. V paperu je uvedeno jen to, že prototypy vznikly prací jednoho doktoranda a za méně než 20 000 dolarů, převážně na nákup originálních dílů Boeingu 737 do testbedu.

Obrany a reakce Boeingu: kyberbezpečnost letectví v praxi

Autoři zmiňují několik možností:

• Zalít konektor epoxidem nebo ho odstranit. Jednoduché, ale řeší jen jeden konektor a autoři znají i další servisní konektory, které by stálo za prověření.
• Přesunout ochranné odpory do konektoru. Implant pak nemůže přebít původní signál.
• Galvanická izolace. U vojenské sběrnice MIL-STD-1553 s transformátory se implant přebít nepodařilo. Přechod by ale znamenal výměnu komunikačního hardwaru všech systémů na ARINC 429.
• Detekce. Podle autorů je nejpraktičtější měření proudu na sběrnici, protože jde přidat k existujícím sběrnicím bez výměny počítačů. Detekce podle napětí by vyžadovala výrazně složitější hardware a detekce podle časování by pravděpodobně nefungovala, protože se mění obsah zpráv, ne jejich časování.
• Kryptografická autentizace zpráv. Naráží na to, že většina zpráv na ARINC 429 tvoří jediné 32bitové slovo, a na správu klíčů.

Autoři uvádějí, že o žádné takové obraně v provozu ani ve vývoji u existujících letadel nevědí. Boeing byl o zjištěních informován v dubnu 2020. Následovaly schůzky, testy na jeho zařízení a předání informací letecké iniciativě Aviation Cyber Initiative, kterou společně vedou FAA, DHS a ministerstvo obrany USA. Firma oficiálně tvrdí, že vrstvy ochrany v letadle i v provozním prostředí riziko reálných útoků výrazně omezují. Autoři sami píšou, že přesný rozsah nasazených opatření neznají. Hardwarový návrh a firmware implantu jsou zveřejněny na Zenodu jen jako omezený a šifrovaný záznam, přístup je možný na základě zdůvodněné žádosti. Paper samotný obsahuje obvodové schéma.

Ohrožuje hack Boeingu 737 běžné cestující?

Podle dostupných informací ne. Útok vyžaduje fyzický přístup k letadlu, podrobnou znalost avionického prostředí a přístup k původním dílům pro vývoj. Autoři výslovně píšou, že všichni létají na Boeingu 737 a chtějí v tom pokračovat. Hlavní přínos výzkumu je jinde: ukazuje, že předpoklad „fyzický přístup k letadlu nemá smysl řešit“ neplatí.

Poučení pro kyberbezpečnost kritické infrastruktury

Zajímavější než samotný hack Boeingu 737 je vzorec, který se za ním skrývá:

• Zděděná sběrnice bez autentizace je bezpečná jen tak dlouho, dokud se k ní nikdo nedostane.
• Servisní konektor, který má usnadnit údržbu, je současně vstupní bod.
• Bezpečnostní pojistka, která sdílí kanál s tím, co chrání, jako v případě tlačítka EXEC, nepředstavuje nezávislou pojistku.
• Předpoklad „to by nikdo nedělal“ se dá prolomit malým týmem s omezeným rozpočtem, což autoři výslovně zdůrazňují.

Stejné otázky se dají klást v průmyslových sítích, železnici, energetice i dalších oborech s dlouhou životností techniky.

Zdroje

• Crow et al.: Design and Implementation of a Physical Implant Attack on the Boeing 737, USENIX Security 2026: https://www.usenix.org/system/files/usenixsecurity26-crow.pdf
• Stránka výzkumu na USENIX: https://www.usenix.org/conference/usenixsecurity26/presentation/crow
• Verze paperu na UCSD: https://cseweb.ucsd.edu/~savage/papers/UsenixSec26-429.pdf
• Tisková zpráva UC San Diego: https://today.ucsd.edu/story/researchers-use-a-physical-device-to-take-over-electronics-in-a-boeing-737
• Kaspersky: Hacking the Boeing 737, inside the Bus Driver attack: https://www.kaspersky.com/blog/hacking-boeing-737-airplane/56341/
• Gizmodo: Researchers Built a Coin-Sized Device That Can Hack a Boeing 737’s Electronics: https://gizmodo.com/researchers-built-a-coin-sized-device-that-can-hack-a-boeing-737s-electronics-2000798711
• Zenodo, artefakt BusDriver (omezený přístup): https://zenodo.org/records/17904855