Αρχή Κυβερνοασφάλειας: συστήματα προστασίας ρεύματος ορατά στο διαδίκτυο

Η Εθνική Αρχή Κυβερνοασφάλειας (ΕΑΚ) ανακοίνωσε σήμερα ότι εντόπισε 54 ελληνικές δημόσιες διευθύνσεις IP με ενδείξεις εξοπλισμού Schneider Electric Easergy, μιας οικογένειας συσκευών που προστατεύουν δίκτυα ρεύματος. Η ίδια διευκρινίζει ότι το εύρημα δεν αποδεικνύει ούτε επίθεση ούτε άμεσο κίνδυνο για την ηλεκτροδότηση (ΕΑΚ). Αυτό που δημοσίευσε είναι ένας κατάλογος από εισόδους στο διαδίκτυο που οδηγούν σε συσκευές οι οποίες φρουρούν το ρεύμα, και ζητά από τους διαχειριστές να τις ελέγξουν.

Ο αυτόματος διακόπτης, σε μεγάλη κλίμακα

Όλοι έχουμε δει την ασφάλεια του σπιτιού να «πέφτει» όταν δουλεύουν μαζί ο φούρνος, ο θερμοσίφωνας και το κλιματιστικό. Ο πίνακας μέτρησε ότι η γραμμή τραβάει περισσότερο ρεύμα απ' όσο αντέχει και την έκοψε πριν ζεσταθούν τα καλώδια. Τα ρελέ Easergy P3 κάνουν την ίδια δουλειά σε δίκτυα μέσης τάσης, σε βιομηχανίες και σε μεγάλα κτίρια. Παρακολουθούν ηλεκτρικά μεγέθη, αναγνωρίζουν ανωμαλίες όπως την υπερένταση και συνεργάζονται με διακόπτες ισχύος, ώστε να απομονωθεί το τμήμα που έχει πρόβλημα (Schneider Electric).

Ανήκουν σε αυτό που οι μηχανικοί λένε επιχειρησιακή τεχνολογία (OT): υπολογιστές που δεν επεξεργάζονται έγγραφα, αλλά μετρούν ή επηρεάζουν μια φυσική διαδικασία (NIST). Η σύνδεση στο διαδίκτυο επιτρέπει στον τεχνικό να αλλάζει ρυθμίσεις από απόσταση. Αν όμως τη βρει κάποιος χωρίς εξουσιοδότηση, η ίδια ευκολία γίνεται αδύναμο σημείο.

Μία διεύθυνση δεν είναι μία εγκατάσταση

Μια δημόσια IP μοιάζει με τη διεύθυνση της εισόδου ενός κτιρίου, όχι με τον σειριακό αριθμό ενός μηχανήματος. Πίσω από μία διεύθυνση μπορεί να βρίσκονται πολλές εσωτερικές συσκευές, ενώ μία εγκατάσταση μπορεί να χρησιμοποιεί πολλές διευθύνσεις (IETF, RFC 3022). Οι 54 IP δεν είναι επομένως 54 εγκαταστάσεις ούτε 54 επιβεβαιωμένα ευάλωτα ρελέ. Η ΕΑΚ λέει ότι συνδύασε τρεις ανεξάρτητες πηγές δεδομένων, χωρίς όμως να τις κατονομάζει και χωρίς να αντιστοιχίζει τις διευθύνσεις σε μοντέλα ή σε διαχειριστές (ΕΑΚ). Χωριστά μετρά και εκατοντάδες ακόμη διευθύνσεις με βιομηχανικά πρωτόκολλα και εξοπλισμό φωτοβολταϊκών (Newsit).

Από το «φαίνεται» στο «σβήνει»

Για να κόψει ρεύμα ένα εκτεθειμένο ρελέ, πρέπει να ανέβει κανείς τέσσερα σκαλιά. Πρώτα βλέπει ότι η συσκευή απαντά. Μετά πρέπει να μπει, είτε ξεπερνώντας τους κωδικούς είτε εκμεταλλευόμενος μια ευπάθεια. Για ορισμένα μοντέλα Easergy έχουν εκδοθεί διεθνείς προειδοποιήσεις ασφαλείας, αλλά η ΕΑΚ δεν τις έχει αντιστοιχίσει με τις 54 ελληνικές διευθύνσεις (ΕΑΚ). Έπειτα ο λογαριασμός που απέκτησε ο εισβολέας πρέπει να επιτρέπει εντολές και όχι μόνο ανάγνωση. Τέλος, η αλλαγή πρέπει να περάσει από τις υπόλοιπες προστασίες της εγκατάστασης. Η καταγραφή της ΕΑΚ βρίσκεται στο πρώτο σκαλί.

Το πρώτο σκαλί πάντως δεν είναι αθώο. Η εταιρεία Censys έστησε δολώματα που μιμούνται βιομηχανικά συστήματα και κατέγραψε σαρώσεις και κινήσεις αναγνώρισης, αν και όχι επιβεβαιωμένες εντολές (Censys). Πώς μοιάζει το σενάριο όταν ολοκληρώνεται, το είδαμε στην Ουκρανία το 2015. Εκεί εισβολείς σε τρεις εταιρείες διανομής χειρίστηκαν διακόπτες από απόσταση και άφησαν χωρίς ρεύμα περίπου 225.000 πελάτες (CISA).

Τι ζητά η Αρχή

Η σημερινή ανακοίνωση έρχεται μετά από δύο προηγούμενες. Στις 14 Οκτωβρίου η ΕΑΚ είχε προειδοποιήσει για πάνω από 300 εκτεθειμένους βιομηχανικούς ελεγκτές και στις 3 Νοεμβρίου είχε ενημερώσει για ελεγκτές εμπορικής ψύξης (ΕΑΚ, ανασκόπηση). Την ιστορία των ελεγκτών ψύξης την είχαμε καλύψει αναλυτικά (To Brief).

Αυτή τη φορά η Αρχή καλεί ιδιοκτήτες και τεχνικούς υπευθύνους να ελέγξουν αν τα συστήματα προστασίας και τηλεποπτείας φαίνονται απευθείας στο διαδίκτυο και να κόψουν όποια πρόσβαση δεν χρειάζεται. Όση πρόσβαση χρειάζεται, να περνά από VPN με ισχυρή αυθεντικοποίηση, συνταγή που συστήνει και η αμερικανική CISA (Newsit, CISA). Τις αλλαγές στις ρυθμίσεις της ηλεκτρικής προστασίας θέλει να τις κάνουν μόνο εξουσιοδοτημένοι τεχνικοί, ώστε μια βιαστική αποσύνδεση να μη διαταράξει την ίδια την εγκατάσταση (ΕΑΚ).

Κανένας διαχειριστής δεν έχει κατονομαστεί ούτε έχει πει δημόσια τι έλεγξε. Η ΕΑΚ όμως λέει ότι τους ειδοποίησε απευθείας όπου μπορούσε (ΕΑΚ, ανασκόπηση). Άρα εκείνη μπορεί να πει πόσοι απάντησαν και πόσες από τις 54 διευθύνσεις δεν φαίνονται πια, και αυτός ο αριθμός θα δείξει αν η καταγραφή έπιασε τόπο.