L'hacking dei sistemi industriali si rivela facile

Tre presentazioni in programma al Conferenza sulla sicurezza informatica Black Hat a Las Vegas oggi rivelerà le vulnerabilità nei sistemi di controllo utilizzati per gestire le infrastrutture energetiche come i gasdotti. Questi sono solo l'ultimo segnale che tali sistemi rimangono pericolosamente suscettibili ad attacchi informatici che potrebbero avere conseguenze devastanti; e sebbene i ricercatori abbiano proposto correzioni per ogni difetto che hanno identificato, avvertono che, nel complesso, l'infrastruttura industriale rimane tristemente vulnerabile.

Le vulnerabilità si aggiungono a un elenco crescente di problemi individuati a causa di un recente aumento della ricerca sulla sicurezza dei sistemi industriali. I progressi per risolvere tali problemi di sicurezza sono stati lenti, in parte a causa della scarsa progettazione dei sistemi esistenti e in parte alla mancanza di forti incentivi per correggere rapidamente i difetti.

Una dimostrazione di oggi spruzzerà il pubblico con acqua proveniente da una replica di un componente dell'impianto idrico costretto a sovrapressurizzare. Un altro mostrerà come i sensori wireless comunemente usati per monitorare le temperature e le pressioni di oleodotti e altre apparecchiature industriali potrebbero essere fatti per fornire false letture che inducono i controllori automatici o gli operatori umani a intraprendere azioni dannose. Un terzo intervento descriverà in dettaglio i difetti della tecnologia wireless utilizzata in 50 milioni di contatori di energia in tutta Europa che rendono possibile spiare l'uso di energia domestico o aziendale e persino imporre blackout.

Funzionari statunitensi hanno spesso avvertito che le vulnerabilità nei sistemi di controllo industriale potrebbero consentire attacchi dannosi alle infrastrutture pubbliche con conseguenti interruzioni di corrente, danni ambientali o persino perdite di vite umane (vedi U.S. Power Grids a Hacking Target ).

Tutti gli attacchi da menzionare oggi richiedono significativamente meno risorse e abilità di quelle necessarie per impiegare il più noto attacco a un sistema industriale, l'operazione Stuxnet sostenuta da Stati Uniti e Israele contro il programma nucleare iraniano (vedi New Malware Brings Cyberwar One Step Più vicino ).

Abbiamo dimostrato alcuni scenari che causeranno un guasto catastrofico, lo scoppio di un tubo o il trabocco di un serbatoio, inviando una visione completamente diversa al controller, afferma Brian Meixell della società di sicurezza del Texas Cimazione , che ha portato la replica del componente della pianta acquatica per mostrare le vulnerabilità che ha scoperto.

Con il collega Eric Forner, Meixell ha sfruttato un protocollo chiamato Dbus che è stato utilizzato per controllare le apparecchiature industriali fin dagli anni '70 ed è ancora oggi ampiamente utilizzato su dispositivi spesso collegati direttamente a Internet. Le scansioni degli indirizzi IP pubblici hanno rivelato che almeno 90.000 dispositivi di controllo industriale sono online e vulnerabili a quel tipo di attacco, afferma Forner (vedi What Happened When One Man Ping the Whole Internet). Dbus non è sicuro perché nessuno nel settore che lo utilizza pensava che fosse una priorità renderlo sicuro, afferma Meixell.

Lucas Apa, un ricercatore con IOActive , afferma che questo atteggiamento è anche alla base del difetto che lui e il collega Carlos Mario Penagos hanno riscontrato nei sensori wireless utilizzati per monitorare le infrastrutture petrolifere, idriche, nucleari e del gas naturale. I tre principali fornitori di questi sensori li hanno progettati in modo che possano essere fatti per fornire letture false o addirittura essere spenti con un trasmettitore radio relativamente economico a 40 miglia di distanza, afferma Penagos. Possiamo mostrare l'arresto totale dell'impianto, dice.

Quel problema - e quello scoperto dal team di Cimation - è ora noto alle aziende che producono le apparecchiature e alle aziende industriali e infrastrutturali che le acquistano, grazie a un programma di condivisione dei dati gestito dal Department of Homeland Security. Quel programma, chiamato ICS-CERT, per il Cyber ​​Emergency Response Team del sistema di controllo industriale, condivide i dati appena pubblicati sulle vulnerabilità con le aziende e gli operatori industriali interessati.

Tuttavia, solo perché ICS-CERT evidenzia un problema non significa che venga risolto prontamente.

Apa dice che si aspetta che molti sensori rimarranno vulnerabili al suo attacco wireless nonostante l'azione di ICS-CERT perché la riparazione richiede la connessione fisica ai sensori per aggiornare il loro software. Poiché i dispositivi vengono utilizzati in luoghi pericolosi, può essere molto difficile afferrarli, afferma, e alcune aziende avranno molte centinaia di sensori o più.

Sameer Bhalotra, ex direttore senior per la sicurezza informatica alla Casa Bianca di Obama e ora direttore operativo della società di sicurezza Web Impermium , detto Revisione della tecnologia del MIT che sebbene l'ICS-CERT funzioni bene, non accelera i progressi nella sicurezza industriale. Al contrario, le società di software come Microsoft sono diventate abili nel correggere rapidamente le vulnerabilità, al punto che i difetti principali sono ormai rari, afferma Bhalotra. Le aziende che producono apparecchiature e software di controllo industriale non hanno mai dovuto preoccuparsi molto della sicurezza e quindi non sono in grado di generare patch rapidamente o di apportare modifiche significative al design. Oggi non succede niente di ben organizzato, dice. I fornitori dovranno solo diventare più veloci e migliori nell'applicazione delle patch, e questo richiederà del tempo.

Uno dei motivi per cui il processo è così lento è la mancanza di incentivi chiari, afferma Bhalotra. La normativa vigente non rende gli operatori energetici o i produttori di sistemi di controllo responsabili delle conseguenze di una scarsa sicurezza, come i danni causati da un'esplosione o una prolungata interruzione di corrente. È probabile che solo l'introduzione di una nuova legislazione per chiarire la questione della responsabilità acceleri l'evoluzione di sistemi di controllo industriale più sicuri, afferma Bhalotra.

nascondere