211service.com
Hakerzy mogą wysadzić fabryki za pomocą aplikacji na smartfony
Eni | flickr
Wiele firm umożliwia pracownikom monitorowanie i zarządzanie maszynami — a czasem całymi procesami przemysłowymi — za pośrednictwem aplikacji mobilnych. Aplikacje obiecują wzrost wydajności, ale tworzą również cele dla cyberataków. W najgorszym przypadku hakerzy mogliby wykorzystać te wady do niszczenia maszyn — i potencjalnie całych fabryk.
Dwóch badaczy bezpieczeństwa, Alexander Bolshev z IOActive i Ivan Yushkevich z Embedi, spędziło w zeszłym roku na badaniu 34 aplikacji firm, w tym Siemensa i Schneider Electric. Oni znaleziony łącznie 147 luk bezpieczeństwa w aplikacjach, które zostały losowo wybrane ze sklepu Google Play. Bolszew odmówił podania, które firmy były najgorszymi winowajcami, ani ujawnienia błędów w konkretnych aplikacjach, ale powiedział, że tylko dwie z 34 firm nie miały ich wcale.
Niektóre z odkrytych przez naukowców luk w zabezpieczeniach pozwalają hakerom ingerować w przepływ danych między aplikacją a maszyną lub procesem, z którym jest połączona. Tak więc inżynier może zostać oszukany, myśląc, że, powiedzmy, maszyna pracuje w bezpiecznej temperaturze, podczas gdy w rzeczywistości się przegrzewa. Kolejna luka pozwoliłaby atakującym umieścić złośliwy kod na urządzeniu mobilnym, tak aby wysyłało nieuczciwe polecenia do serwerów kontrolujących wiele maszyn. Nietrudno sobie wyobrazić, że powoduje to chaos na linii montażowej lub wybuchy w rafinerii ropy naftowej.
Bolszew mówi, że to połączenie aplikacji i przemysłowych systemów kontroli jest bardzo niebezpiecznym i wrażliwym koktajlem, choć podkreśla, że ryzyko będzie się znacznie różnić. Niektóre firmy mogą mieć wiele bezpiecznych systemów, które ograniczają potencjalne uszkodzenia. Mogą również nalegać, aby inżynierowie polegali na kilku źródłach danych dla maszyny, a nie na jednym odczycie z aplikacji.
Nie jest to jednak całkowicie uspokajające, ponieważ istnieją dowody na to, że hakerom udało się już uniknąć szerszej ochrony wokół zakładów produkcyjnych (patrz Nowy haker przemysłowy podkreśla dziury cybernetyczne w naszej infrastrukturze). A ryzyko rozciąga się na inne obszary; Elektrownie i systemy transportowe są również podłączane do Internetu. W tym przypadku również aplikacje mobilne mogą okazać się słabymi punktami.
Naukowcy twierdzą, że nie sprawdzili, czy którakolwiek z wad została faktycznie wykorzystana. Przed opublikowaniem swoich ustaleń skontaktowali się z firmami, których aplikacje miały w sobie wady. Niektórzy już naprawili dziury; wielu jeszcze nie odpowiedziało.
Beau Woods, specjalista ds. innowacji w dziedzinie bezpieczeństwa cybernetycznego w Atlantic Council, mówi, że biznes stoi przed dylematem. Ostatnią rzeczą, jakiej potrzebujesz w sytuacji awaryjnej, mówi, jest to, aby operatorzy byli odcięci od krytycznego systemu, więc są zaprojektowane tak, aby były dostępne na wiele sposobów, na przykład za pośrednictwem aplikacji mobilnych. Ale dodanie tej łączności zwiększa również ekspozycję na złoczyńców.