211service.com
Hakowanie systemów przemysłowych okazuje się łatwe
Trzy prezentacje zaplanowane na Konferencja bezpieczeństwa komputerowego Black Hat w Las Vegas ujawnią luki w systemach kontroli używanych do zarządzania infrastrukturą energetyczną, taką jak gazociągi. To tylko ostatni znak, że takie systemy pozostają niebezpiecznie podatne na ataki komputerowe, które mogą mieć katastrofalne konsekwencje; i chociaż badacze zaproponowali poprawki dla każdej wykrytej usterki, ostrzegają, że ogólnie infrastruktura przemysłowa pozostaje żałośnie podatna na zagrożenia.
Luki te powiększają listę problemów zidentyfikowanych w związku z niedawnym wzrostem badań nad bezpieczeństwem systemów przemysłowych. Postęp w naprawianiu takich problemów z bezpieczeństwem postępuje powoli, częściowo ze względu na kiepski projekt istniejących systemów, a częściowo z powodu braku silnych zachęt do szybkiego naprawiania usterek.
Jedna z dzisiejszych demonstracji spryska publiczność wodą z repliki komponentu elektrowni wodnej, która została zmuszona do nadciśnienia. Inny pokaże, w jaki sposób czujniki bezprzewodowe powszechnie używane do monitorowania temperatur i ciśnień w rurociągach naftowych i innych urządzeniach przemysłowych mogą dawać fałszywe odczyty, które skłaniają automatyczne sterowniki lub operatorów do podjęcia szkodliwych działań. Trzecia prelekcja omówi wady technologii bezprzewodowej wykorzystywanej w 50 milionach liczników energii w całej Europie, które umożliwiają szpiegowanie zużycia energii w domu lub firmie, a nawet narzucanie przerw w dostawie prądu.
Urzędnicy amerykańscy często ostrzegali, że luki w przemysłowych systemach kontroli mogą pozwolić na szkodliwe ataki na infrastrukturę publiczną, skutkujące przerwami w dostawie prądu, szkodami w środowisku, a nawet śmiercią (patrz: Amerykańskie sieci energetyczne jako cel hakerski).
Wszystkie wymienione dzisiaj ataki wymagają znacznie mniej zasobów i umiejętności niż te, które były wymagane do zastosowania najbardziej znanego ataku na system przemysłowy, wspieranej przez USA-Izraelów operacji Stuxnet przeciwko irańskiemu programowi nuklearnemu (patrz Nowe złośliwe oprogramowanie niesie cyberwojnę w jednym kroku Bliżej).
Zademonstrowaliśmy kilka scenariuszy, które spowodują katastrofalną awarię — pęknięcie rury lub przepełnienie zbiornika — jednocześnie wysyłając kontrolerowi zupełnie inny widok — mówi Brian Meixell z firmy ochroniarskiej z Teksasu. Cymacja , który przyniósł replikę komponentu elektrowni wodnej, aby pokazać odkryte przez siebie luki.
Wraz z kolegą, Ericiem Fornerem, Meixell wykorzystał protokół o nazwie Dbus, który był używany do sterowania urządzeniami przemysłowymi od lat 70. XX wieku i nadal jest szeroko stosowany w urządzeniach często podłączonych bezpośrednio do Internetu. Skany publicznych adresów IP ujawniły, że co najmniej 90 000 przemysłowych urządzeń kontrolnych jest w trybie online i jest podatnych na tego typu ataki, mówi Forner (zobacz Co się stało, gdy jeden człowiek pingował cały Internet). Dbus jest niepewny, ponieważ nikt w branży, który go używa, nie uważał, że jego bezpieczeństwo jest priorytetem, mówi Meixell.
Lucas Apa, badacz z IOAktywny , mówi, że to podejście jest również przyczyną wad, które on i jego współpracownik Carlos Mario Penagos znaleźli w bezprzewodowych czujnikach używanych do monitorowania infrastruktury naftowej, wodnej, jądrowej i gazu ziemnego. Trzej wiodący dostawcy tych czujników zaprojektowali je tak, aby dawały fałszywe odczyty, a nawet zostały wyłączone za pomocą stosunkowo taniego nadajnika radiowego o zasięgu 40 mil, mówi Penagos. Możemy pokazać całkowite zamknięcie zakładu, mówi.
Ten problem – i ten odkryty przez zespół Cimation – jest teraz znany firmom produkującym sprzęt oraz firmom przemysłowym i infrastrukturalnym, które go kupują, dzięki programowi udostępniania danych prowadzonemu przez Departament Bezpieczeństwa Wewnętrznego. Program ten, nazwany ICS-CERT, dla Zespołu ds. Cyber Emergency Response Team Systemu Sterowania Przemysłowego, udostępnia nowo opublikowane dane dotyczące podatności firmom i operatorom przemysłowym, których to dotyczy.
Jednak tylko dlatego, że ICS-CERT zwraca uwagę na problem, nie oznacza, że zostanie on szybko naprawiony.
Apa twierdzi, że spodziewa się, że wiele czujników pozostanie podatnych na jego atak bezprzewodowy pomimo działań ICS-CERT, ponieważ naprawienie tego wymaga fizycznego połączenia z czujnikami w celu aktualizacji oprogramowania. Ponieważ urządzenia są używane w niebezpiecznych miejscach, chwytanie ich może być bardzo trudne, a niektóre firmy będą miały setki lub więcej czujników.
Sameer Bhalotra, były starszy dyrektor ds. cyberbezpieczeństwa w Białym Domu Obamy, a obecnie dyrektor operacyjny firmy zajmującej się bezpieczeństwem sieci Imperm , powiedział Przegląd technologii MIT że chociaż ICS-CERT działa dobrze, nie przyspiesza postępu w bezpieczeństwie przemysłowym. W przeciwieństwie do tego, firmy programistyczne, takie jak Microsoft, stały się biegłe w szybkim łataniu luk w zabezpieczeniach, do tego stopnia, że poważne wady są teraz rzadkie, mówi Bhalotra. Firmy produkujące sprzęt i oprogramowanie do sterowania przemysłowego nigdy nie musiały martwić się zbytnio o bezpieczeństwo, dlatego nie są w stanie szybko generować poprawek lub wprowadzać znaczących zmian projektowych. Nie dzieje się dziś nic dobrze zorganizowanego, mówi. Sprzedawcy będą musieli po prostu przyspieszyć i usprawnić łatanie, a to zajmie trochę czasu.
Jednym z powodów, dla których ten proces jest tak powolny, jest brak wyraźnych zachęt, mówi Bhalotra. Obecne prawo nie nakłada na operatorów energetycznych ani producentów systemów sterowania odpowiedzialności za konsekwencje słabego bezpieczeństwa, takie jak szkody spowodowane wybuchem lub przedłużającą się przerwą w dostawie prądu. Tylko wprowadzenie nowego ustawodawstwa wyjaśniającego kwestię odpowiedzialności prawdopodobnie przyspieszy ewolucję bezpieczniejszych przemysłowych systemów kontroli, mówi Bhalotra.