| Разработчики: | Администрация транспортной безопасности США (TSA) |
| Дата премьеры системы: | август 2024 г |
| Отрасли: | Информационная безопасность, Транспорт |
2024: Выявление критической уязвимости
В начале сентября 2024 года стало известно о проблеме системы авторизации пилотов, которая позволяет злоумышленникам обойти проверку безопасности в аэропортах США и даже пройти на борт под видом пилота регулярных рейсов.
Исследователи Ян Кэрролл и Сэм Карри изучали безопасность систем, которые позволяют пилотам и другим членам экипажа избежать длинных очередей на досмотр в аэропортах США, а также систем, которые позволяют пилотам зарегистрироваться на любой рейс, чтобы пролететь на запасном откидном кресле в кабине самолета как по рабочим делам, так и по личным, например, в отпуск. Как оказалось, эти системы имеют критическую уязвимость, которая позволяет хакерам обходить очереди под видом пилотов.
Была найдена уязвимость во FlyCASS, стороннем веб-сервисе, который некоторые авиакомпании используют для управления программой Known Crewmember (KCM) и системой Cockpit Access Security System (CASS). KCM — это проект Администрации транспортной безопасности США (Transportation Security Administration, TSA), который позволяет пилотам и бортпроводникам не проходить досмотр, а CASS позволяет лицензированным пилотам занимать места в кабинах самолетов во время путешествий.CommuniGate Pro: итоги первого года работы законного правообладателя 
Известно, что программа помощи пилотам охватывает 76 авиакомпаний, но крупные авиакомпании, как правило, разрабатывают собственные системы авторизации и поэтому не считаются уязвимыми. Однако более мелкие операторы чаще полагаются на услуги сторонних поставщиков, в том числе фирмы FlyCASS, ошибка которой и позволила хакерам проникнуть в систему. Исследователи отметили, что уязвимостью мог воспользоваться буквально любой человек с базовыми ИТ-знаниями, что позволяло им как обойти проверку безопасности, так и получить доступ к кабине коммерческих авиалайнеров.
Исследователи предупредили разработчика систем сразу же, как только обнаружили уязвимость, и 25 апреля 2024 года FlyCASS была отключена от программ KCM и CASS. Однако Администрация транспортной безопасности США (TSA) не сочла нужным опубликовать эти данные, к тревоге исследователей. «В апреле TSA стало известно об уязвимости в сторонней базе данных, содержащей информацию о членах экипажа. Правительственные данные или системы не были скомпрометированы, и данная проблема не имела значимых последствий для безопасности».[1]
Примечания
