11 abril, 2013
El consultor alemán en seguridad Hugo Teso demostró este jueves la existencia de ciertas vulnerabilidades en la seguridad aérea que harían posible tomar el control de un avión comercial en pleno vuelo con sólo usar un teléfono Android, un transmisor de radio y ciertos conocimientos sobre software de vuelo.
Durante la charla que dio en el encuentro de seguridad “Hack in the Box”, realizado en Amsterdam, Holanda; Teso indicó que es posible hackear una aeronave directamente desde tierra, sin necesidad de abordar el vehículo ni de pasar los escáneres de prevención de atentados.
De esta forma, Teso evidenció que la tecnología usada para monitorear aeroplanos, llamada Dependent Surveillance-Broadcast, tiene dos huecos de seguridad muy graves: no está encriptada y no requiere de autenticación. Esto ya había sido demostrado en 2012, cuando algunos hackers habían insertados aviones “fantasma” en las pantallas de los radares.
Pero no es la única tecnología que está comprometida, sino que el sistema para enviar mensajes entre los aviones y las torres de control terrestres vía radio –llamado Aircraft Communications Addressing and Reporting System– también tiene gruesas vulnerabilidades.
Teso compró un sistema de manejo de vuelo en eBay para estudiar código de vuelo y también aprendió a enviar mensajes. Luego, utilizó un radiotransmisor para monitorear el código actual. Luego creó su própio código, llamado SIMON, y desarrolló PlaneSploit, una aplicación para Android capaz de lanzar ataques a la computadora de un avión.
De esta forma, el hacker podría manejar completamente los mandos de un jet Boing cuando esté en piloto automático, quedando como única medida defensiva apagar esta función, aunque varios aviones no cuentan con equipo necesario para el vuelo manual. Pero también podría tomar control de otros sistemas de la nave, como encender luces y alarmas, dejar que caigan las máscaras de oxígeno o modificar el vuelo.
Claro que para demostrar todo eso no usó aviones reales, sino virtuales, a los que “hackeó” utilizando PlanSploit y un Galaxy SIII. El PowerPoint que usó Teso para su presentación puede consultarse en este vínculo.
