Als hätte Boeing mit der gegroundeten 737 Max und der Kritik an der 787-Produktion nicht schon genug zu tun. Nun muss sich der Flugzeugbauer auch noch gegen die Kritik eines Experten für Cybersicherheit wehren. Ruben Santamarta von der Sicherheitsfirma IO Active wies diese Woche bei einer Konferenz in den USA auf Schwachstellen im Informatiksystem der Boeing 787 hin.
Grundlage dafür sind Programmiercodes, die Santamarta laut eigenen Angaben im Herbst 2018 durch eine einfache Suche im Internet gefunden hatte - auf offenbar nicht gesicherten und öffentlich zugänglichen Servern des Flugzeugbauers. Der Experte fand Fehler in den Codes und zeigte auf, wie Hacker diese ausnutzen könnten. Santamarta erklärte, dass es in der 787 im Wesentlichen drei Netzwerke gebe.
FAA zufrieden mit Boeing
Ein erstes Netzwerk hat mit nicht sensiblen Dingen wie dem Unterhaltungssystem des Fliegers zu tun. Ein zweites mit etwas sensibleren Daten, etwa für die Crew. Und ein drittes, mit hochsensiblen Daten, das direkt mit der Avionik zusammenhänge. Er habe die Fehler im zweiten Netzwerk gefunden und warnt davor, dass ein Angreifer sich womöglich über das erste Netzwerk Zugang zum zweiten verschaffen könnte und von dort aus durch die Fehler zum dritten und damit zur Avionik gelangen.*
Der Computerfachmann stellte aber auch klar, dass er nicht sagen könnte, ob solch ein Angriff tatsächlich möglich sei. Denn er habe weder auf eine echte Boeing 787 zugreifen können noch Kenntnisse über weitere Sicherheitssysteme des Fliegers gehabt. Boeing nannte die Ausführungen gemäß dem Fachmagazins Wired verantwortungslos. Der Flugzeughersteller erklärte, man sei der Kritik nachgegangen und es bestehe keine Gefahr für wesentliche oder kritische Systeme der 787.
Professor dennoch kritisch
IO Active habe nur einen Teil des Netzwerkes des Dreamliners gesehen und kenne andere Schutzmaßnahmen und Limitierungen nicht. Man habe das Ganze sogar mit einer echten 787 getestet, so ein Boeing-Sprecher gegenüber dem Magazin. Zudem habe man die Luftfahrtbehörde FAA und das Ministerium für Innere Sicherheit der USA informiert. Die Federal Aviation Authority erklärte, man sei zufrieden mit Boeings Umgang mit der Angelegenheit. Auch das für Programmierung mitverantwortliche Unternehmen Honeywell teilte mit, kritische Systeme des Flugzeugs könnten nicht betroffen sein.
Gegenüber Wired sagte IT-Professor Stefan Savage von der University of California in San Diego, es sei dennoch bedenklich, dass es die gefundenen Schwachstellen gebe. Zudem sei es keine gute Argumentation, zu sagen, eine Schwachstelle sei unproblematisch, da sie aufgrund anderer Schutzmaßnahmen nicht ausgenutzt werden könnte. Jede Software habe ihre Fehler, aber in diesem Bereich bei einem Flugzeug sollten sie nicht auftreten, so Savage.
Unfertiger Code?
Abseits der offiziellen Stellungnahmen sprach das IT-Fachportal The Register mit namentlich nicht genannten Informatik-Experten von Boeing. Diese erklärten, bei den von Santamarta gefundenen Programmiercodes habe es sich um unfertige Software aus der Forschungs- und Entwicklungsabteilung gehandelt. Einer der Fachleute sagte, die gefundenen Fehler seien behoben worden und selbst wenn dies nicht geschehen wäre, sei es nicht möglich, darüber auf die Avionik-Systeme des Fliegers zuzugreifen.
* Santamartas Ausführungen sind komplex. Wer über das Fachwissen verfügt, um sie im Detail nachzuvollziehen, kann sich hier Präsentation (PDF) und White Paper (PDF) des Experten anschauen.
