Advarsel: Industrispioner kan komme ind gennem vandpumpen

26. juli 2013 kl. 10:565
Selvom det er smart at kunne overvåge en pumpe i Norge via et GSM-modul, kan det også være en ladeport for industrispionage. Især mindre virksomheder tager let på sikkerheden i fjernopkoblede enheder.
Artiklen er ældre end 30 dage
Manglende links i teksten kan sandsynligvis findes i bunden af artiklen.

Faren kom på alles læber i juli 2010, da ormen med navnet Stuxnet kom på alles læber. Med et stod det klart, at ikke blot virksomhedens servere og skrivebords-pc'er, men også alle maskiner i produktionshallen var sårbare over for hackerangreb.

Industrielle anlæg, hvor PLC'er, SRO- og SCADA-anlæg er integreret i produktionen, er per definition også sårbare. Og især mindre virksomheder har det med at sløse med den industrielle it-sikkerhed,

»De store virksomheder som Arla og Lantmännen ved det godt, og de tager deres forholdsregler. Med desværre ser jeg også rigtig mange løsninger, hvor en mindre virksomhed lige beder den lokale elektriker at sætte noget overvågning op, og her er det mere reglen end undtagelsen, at man sparer firewall og anden sikkerhed væk,« siger Product Application Engineer i Schneider Electric Jakob Drescher til Version2.

Et typisk eksempel kan være en pumpebrønd på en afsides lokation, som virksomheden gerne vil kunne tænde og slukke for, samtidig med at de kan følge driftstatus.

Artiklen fortsætter efter annoncen

»De tænker ofte, at det jo ikke kan være kritisk, om nogen kan følge med i, om grundvandet står højt eller ej. Men de har ikke tænkt tanken, at pumpen kan være lige præcis det smuthul, som industrispioner har brug for til at komme ind i de mere alvorlige systemer,« siger Jakob Drescher til Version2.

Han fortæller videre, at han ofte ser virksomheder, der bevidst har fravalgt en sikkerhedsløsning for fjernopkoblede løsninger af økonomiske årsager.

»Så sparer de jo lige 10.000 kroner til en firewall, 'for hvem skulle dog kende til den IP-adresse eller telefonnummeret til routeren?' Den slags skødesløshed møder jeg ofte,« siger Jakob Drescher til Version2.

Denne artikel er en del af Version2's sommertour, hvor vi flytter redaktionen ud til en stribe danske it-firmaer. Se hele tour-kalenderen

5 kommentarer.  Hop til debatten
Denne artikel er gratis...

...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.

Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.

Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.

Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.

Debatten
Log ind eller opret en bruger for at deltage i debatten.
settingsDebatindstillinger
5
29. juli 2013 kl. 11:00

Normalt er det jo ikke fordi folk "sparer" en firewall... Du kan jo næsten ikke købe en router idag uden at den har en indbygget (omend ikke særlig god) firewall. Det er jo fordi at folk åbner et hul i routeren... og et komplet sikkerhedssetup vil normalt være ret dyrt..

En anden løsning er at ligge det i firmwaren. Men de normale internet sikkerhedsløsninger ikke er udformet til embedded brug, de kræver for meget CPU og RAM etc., er normalt målrettet Linux eller Windows og en logikken i en pumpe afvikles altså ikke ovenpå et operativsystem.

Har du ansvaret for at udvikle en realtids-styring i en pumpe.. så har du altså hænderne fulde nok i forvejen.. at skulle portere en SSL stak, håndtere certifikater mv.. gør det ikke nemmere (og dit kode footprint er nok 10x)

Vores platform/system er målrettet selv de mindste processorer, vores prototype/evaluering board afvikles f.eks. på en 8bit's MCU se evt. http://nabduino.com. Systemet ligges direkte på produkterne sammen med resten af firmwaren.

Se evt. mere på http://nabto.com

4
26. juli 2013 kl. 20:26

Jeg kan godt se det smarte i at kunne fjernaflæse målere etc, men man må sku tænke på sikkerheden. Jeg mener at der findes firmaer som har specialiseret sig i sikkerhedsløsninger - Secomea hedder de vidst... De går vidst gyldne tider i måde!

2
26. juli 2013 kl. 15:14

Jeg har arbejdet med IP-Telefoni

Det er ret ofte vi måtte fortælle kunderne at f.eks. deres SIP telefoner var tilgængelig fra internettet

Det kunne vel også nemt udnyttes til spionage, hvis man kunne finde et hul til i telefonerne til at aflytte RTP strømmen, som typisk ikke er krypteret

1
26. juli 2013 kl. 11:06

Det er bare klassisk naivitet, manglende indsigt og spareiver - intet andet.

Prøv dette link og find PLC'er og andet godt.: http://www.shodanhq.com/