Χιλιάδες ελεγκτές ψύξης παραμένουν ορατοί στο διαδίκτυο

Αρκεί να αλλάξει κάποιος τη θερμοκρασία ενός ψυγείου από απόσταση, και τόνοι τροφίμων καταστρέφονται. Αυτό συνέβη σε σούπερ μάρκετ πολλών ευρωπαϊκών χωρών, με περιστατικά από τις 11 Οκτωβρίου και νέο κύμα την 1η και 2α Νοεμβρίου (ENISA), όπως γράψαμε στο To Brief. Το ερώτημα που ακολούθησε είναι αν οι δράστες βρήκαν ανοιχτή πόρτα, δηλαδή πόσοι ελεγκτές ψύξης παραμένουν ορατοί από το διαδίκτυο· δύο μετρήσεις των τελευταίων ημερών δίνουν μερική απάντηση, αρκεί να διαχωρίζουμε τι μέτρησε η καθεμία.

Ο ελεγκτής ψύξης είναι ο εγκέφαλος του ψυκτικού συστήματος ενός καταστήματος: ρυθμίζει θερμοκρασία, κύκλους απόψυξης και συναγερμούς. Πολλοί τέτοιοι ελεγκτές είναι συνδεδεμένοι στο διαδίκτυο ώστε ο τεχνικός του παρόχου να τους ρυθμίζει από μακριά χωρίς επίσκεψη. Η ίδια σύνδεση είναι όμως και το παράθυρο εισόδου: όποιος αποκτήσει πρόσβαση μπορεί να ενεργοποιήσει την απόψυξη ή να ανεβάσει τον στόχο θερμοκρασίας, ακριβώς ό,τι περιγράφουν τα καταστήματα των πρόσφατων κρουσμάτων.

Η πρώτη μέτρηση έγινε με παγίδα. Μεταξύ 20 και 30 Οκτωβρίου, η εταιρεία κυβερνοασφάλειας Lupovis είχε στήσει ψηφιακά δολώματα που μιμούνταν ελεγκτές ψύξης Danfoss: κατά την περιγραφή που μεταφέρει το BBC, ένα σκηνικό καταστήματος με ψεύτικο θερμοστάτη και κάμερες, που δεν ψύχει πραγματικά προϊόντα. Στα δολώματα αυτά κατέγραψε πάνω από 276 προσπάθειες πρόσβασης από 91 πηγές, με κορύφωση στις 26 Οκτωβρίου (Euronews). Οι περισσότερες ήταν δοκιμές εργοστασιακών κωδικών πρόσβασης, σύμφωνα με το SecurityWeek· καμία δεν άγγιξε αληθινό ψυγείο.

Η χρονική γειτνίαση κάνει τη μέτρηση ενδιαφέρουσα: οι καταγραφές στα δολώματα τοποθετούνται μετά την πρώτη μεγάλη επίθεση στη Γαλλία και λίγες ημέρες πριν από το κύμα της 1ης και 2ας Νοεμβρίου. Απόδειξη σύνδεσης δεν υπάρχει: δεν έχει δημοσιοποιηθεί κανένα τεχνικό ίχνος, όπως κοινές διευθύνσεις IP, που να συνδέει τους επισκέπτες των δολωμάτων με τους δράστες στα καταστήματα. Η Lupovis μιλά για πιθανή συντονισμένη επιχείρηση, ενώ η γερμανική υπηρεσία εσωτερικής ασφάλειας δηλώνει ότι δεν μπορεί να αποδώσει τις επιθέσεις σε συγκεκριμένο δράστη ή κράτος (Euronews, n-tv).

Η δεύτερη μέτρηση αφορά το μέγεθος της έκθεσης. Η Unit 42, το ερευνητικό σκέλος της Palo Alto Networks, σάρωσε το διαδίκτυο στις 5 και 6 Νοεμβρίου και εντόπισε πάνω από 5.000 συσκευές κατασκευαστών που κατονομάζει το γαλλικό CERT-FR να απαντούν σε δημόσιες διευθύνσεις παγκοσμίως. Σάρωση σημαίνει απογραφή ορατών θυρών, όχι δοκιμή αν ανοίγουν· η ομάδα τονίζει ότι η έκθεση δεν αποδεικνύει ευάλωτη έκδοση λογισμικού. Πόσες από τις συσκευές είναι όντως ευάλωτες, δεν το ξέρει κανείς. Στη Γαλλία πάντως οι ορατές συσκευές έπεσαν από 1.853 το πρώτο δεκαπενθήμερο του Οκτωβρίου σε 316 στις αρχές Νοεμβρίου, ένδειξη ότι οι επιχειρήσεις άρχισαν να τις αποσυνδέουν.

Ανάμεσα στην ορατή συσκευή και το χαλασμένο προϊόν μεσολαβούν τέσσερα βήματα: πρώτα η συσκευή φαίνεται από το διαδίκτυο, ύστερα κάποιος δοκιμάζει πρόσβαση, στη συνέχεια σε ένα πραγματικό σύστημα αλλάζει η ρύθμιση, και τέλος η πραγματική θερμοκρασία μένει εκτός ορίων τόσες ώρες ώστε να αλλοιωθεί το τρόφιμο. Οι μετρήσεις της Lupovis και της Unit 42 σταματούν στα δύο πρώτα.

Ότι η αλυσίδα μπορεί να σπάσει στο τρίτο, το έδειξε η γαλλική υπηρεσία αίματος (EFS). Στις τρεις εγκαταστάσεις ψύξης της, οι επιτιθέμενοι άλλαξαν εξ αποστάσεως ρυθμίσεις ψύξης και απόψυξης, όμως ανεξάρτητοι από τον πάροχο συναγερμοί εντόπισαν την ανωμαλία, το προσωπικό επενέβη και το πλάσμα μεταφέρθηκε προληπτικά. Κανένα προϊόν αίματος δεν χάθηκε ούτε διακόπηκε η διανομή, σύμφωνα με την υπηρεσία (EFS).

Οι οδηγίες των αρχών είναι συγκεκριμένες: αποσύνδεση των ελεγκτών από το δημόσιο διαδίκτυο, αλλαγή των προεπιλεγμένων κωδικών, πρόσβαση των τεχνικών μόνο μέσω ασφαλούς καναλιού (CERT-FR). Ανάλογη σύσταση υπέγραψαν στις ΗΠΑ πέντε ομοσπονδιακοί οργανισμοί, για νοσοκομεία, τρόφιμα και ψυχόμενες μεταφορές (CISA). Στην Ελλάδα, η Εθνική Αρχή Κυβερνοασφάλειας (ΕΑΚ) είχε εντοπίσει πάνω από 300 εκτεθειμένους ελεγκτές ήδη από τις 14 Οκτωβρίου, αλλά στις 5 Νοεμβρίου δήλωνε ότι δεν είχε επίσημα καταγεγραμμένο περιστατικό, χωρίς νεότερο αριθμό όσων αποσυνδέθηκαν (ΕΑΚ).

Το δίδαγμα της γαλλικής αιμοδοσίας είναι ότι η ζημιά δεν είναι αναπόφευκτη: ένα ανεξάρτητο θερμόμετρο με συναγερμό μπορεί να σώσει αποθέματα που καμία ψηφιακή άμυνα δεν εγγυάται. Το δίδαγμα των μετρήσεων είναι πιο σκοτεινό: χιλιάδες ψυγεία παραμένουν ορατά, και για τα περισσότερα δεν ξέρουμε καν αν αντέχουν επίθεση.