Fynsk robot-producent afviser anklager om usikre industrirobotter

Illustration: Alias Robotics
Ifølge den spanske sikkerhedsvirksomhed Alias Robotics er der en række sårbarheder i de små samarbejdende robotter fra danske Universal Robots. Den fynske robotproducent afviser at sårbarhederne udgør en sikkerhedsrisiko, ligesom de løbende sender sikkerhedsopdateringer ud.

På Fyn er de efterhånden verdenskendte for at fremstille robotter, især de små samarbejdende robotarme fra Universal Robots der kan betjenes uden afskærmning. Men hvis man spørger det spanske it-sikkerhedsvirksomhed Alias Robotics, så er de fynske robotter ikke særligt godt beskyttet mod cyberangreb.

Derfor har virksomheden i den sidste tid delt oplysninger om sårbarheder og bugs i den software der bruges til at styre forskellige udgaver af robotter fra fynske Universal Robots.

Alias Robotics, der specialiserer sig i cybersikkerhed for robotter, har det seneste år fundet en række sårbarheder og bugs, som man mener gør robotterne fra Universal Robots til oplagte mål for hackere og cyberkriminelle. Den information har virksomheden delt med Universal Robots ad flere omgange, men Alias Robotics mener, ikke at Universal Robots har taget ordentligt hånd om problemerne.

»Universal Robots ignorer cybersikkerheden omkring deres produkter. Tilbage i 2019 rapporterede Alias Robotics til Universal Robots at vi havde fundet et væsentligt antal sårbarheder i deres UR3, UR5 og UR10 robotter på tværs af forskellige versioner af deres firmware. De sårbarheder var alvorlige og kræver hurtig handling,« siger Víctor Mayoral Vilches, CTO hos Alias Robotics.

Læs også: Sikkerhedsfirma: Robotter er for nemme at hacke til fysiske angreb

Ransomware til robotter

Tilbage i december sidste år viste Alias Robotics hvordan de med et USB-stick kan kryptere og overtage kontrollen med en UR3-robot fra Universal Robots. Det skete på robotkonferencen ROS-Industrial Europe Conference i Stuttgart.

Her gjorde de det klart at den type angreb også er mulige, hvis en hacker har adgang til et netværk, der fysisk er forbundet med robotten, og altså ikke kun via et USB-stick. Den software har fået navnet Akerbeltz og er den første kendte ransomware, som er målrettet industrirobotter.

Læs også: Fynske robotter kan afpresses med ransomware

Ifølge Víctor Mayoral-Vilches tog det Alias Robotics omkring 14 dage at skrive ransomware-programmet og teste det.

I et forsøg på at gøre det tydeligt for slutbrugere og integratorer at robotterne er usikre, har Alias Robotics siden tirsdag den 31.marts publiceret både sårbarheder og potentielle løsninger på sårbarhederne i den åbne database Robot Vulnerability Database. Initiativet kører i en uge under navnet Week of Universal Robots bugs.

»Vi indsamler stadig bugs og modtager input fra andre kilder. Lige nu har vi mere end 300 bugs. Men det tager lang tid at finde løsninger. Den første dag har vi undersøgt og demonstreret fire bugs. Den anden dag 14. Vi håber at udgive over 50 undersøgte bugs i løbet af ugen (uge 14,red.), og på den måde vise hvor alvorlig situationen er, « skriver Endika Gil-Uriarte, CSO hos Alias Robotics i en mail til Version2.

Det er ikke kun spanske Alias Robotics der har fundet sårbarheder i de danske industrirobotter. Sikkerhedsvirksomheden IOActive beskrev fem sårbarheder i 2016 og 2017 og de skulle angiveligt heller ikke være patchet.

Men hvorfor udstiller I bugs og sårbarheder netop nu, midt i global COVID-19 pandemi, hvor it-sikkerheden er under et øget pres?

»Vi undersøger truslerne og demonstrerer sårbarhederne, men vi publicerer ikke åbent, hvordan sårbarhederne kan udnyttes. Den del stiller vi kun til rådighed for forskere og sikkerhedsvirksomheder via en licens. Vi føler et ansvar for at vise, hvor alvorlig situationen er med industrielle robotter,« skriver Endika Gil-Uriarte.

Faktisk tror han, at de nuværende COVID-19 krise er med til at skærpe fokus på it-sikkerhed i industrien.

Universal Robots afviser sikkerhedsproblemer

Hos Universal Robots kender de udmærket til Alias Robotics, som de løbende har været i dialog med. Thomas Stensbøl, Global PR & Communications Manager hos Universal Robots fortæller til Version2, at Universal Robots ikke er enige i Alias Robotics fremstilling af it-sikkerheden omkring deres robotter.

»For det første er det ikke rigtigt at vi ikke har været i dialog med Alias Robotics. Vi har blandt andet deltaget i ROS-konferencen i Stuttgart sidste år, hvor vi talte med dem. Vi har til dato endnu ikke hørt om succesfulde cyberangreb på en af vores over 42.000 robotter verden over,« siger Thomas Stensbøl.

Ifølge Universal Robots er Alias Robotics demonstrationer med en USB-stick ikke sammenlignelige med den måde robotterne bliver betjent på ude i industrien.

»Vores robotter bliver betjent i lukkede netværk i produktionsmiljøer uden forbindelse til omverdenen via åbne netværk. Vores robot er en slags værktøj der supplerer produktionslinjen. Hvis du køber en robot og placerer et USB-stick, så kan du godt demonstrere, at man kan tilegne sig adgang til robotten, men sådan en situation opstår ikke i praksis,« siger Thomas Stensbøl og fortsætter:

»Det svarer til at sammenligne æbler og pærer, og når man benytter sig af den slags kommunikation, så bliver det hurtigt nemt for dem at opstille et skrækscenarie i et kunstigt setup, som ikke har noget at gøre med det praktiske setup vores robotter normalt befinder sig i.«

Han understreger, at UR’s robotarme er certificeret i henhold til en række internationale sikkerhedsstandarder. Og at UR’s åbne platform, UR+, hvor tredjeparts udviklere kan udvikle gribere, kameraer og andet udstyr til, testes af UR, inden de bliver certificeret og inkluderet i UR+ programmet.

»Vi lytter altid til input fra sikkerhedseksperter, kunder og forhandlere, ligesom vi løbende udsender sikkerhedsopdateringer til vores software,« siger Thomas Stensbøl.

Usikre industrielle netværk

Det er ikke kun danske Universal Robots, der bliver kritiseret for at tage for let på it-sikkerheden i industrien. I 2019 frigav Alias Robotics en søgemaskine, der er optimeret til at finde usikre industrielle netværk forbundet med robotter. Ved hjælp af søgeprogrammet ZMap kan man scanne internettet for industrielle routere fra producenter som Ewon, Moxa, Westermo og Sierra Wireless og robotter, som kører på de populære robotstyresystemer ROS og SROS.

Resultaterne viste i første omgang, at ud af 26.801 routere, hvortil der var forbundet en eller flere robotter, stod en tredjedel, eller over 9.000, pivåbne. Heraf var 1.586 placeret i Europa. En søgning direkte på robotter med ROS eller SROS viste over 100 robotter, som kunne tilgås direkte.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Følg forløbet
Kommentarer (2)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
#1 Jack nix

Man kan ikke bruge som antagelse at noget er "på et lukket netværk" så derfor er det sikkert. Hvad så den dag, at nogen hacker sig ind på netværket? Er priveledge escalation exploits så heller ikke exploits? Selvfølgelige er de det.

Angreb bliver bedre med tiden og et lille hul fører hurtigt til et større. Uanset om der rent faktisk er sikkerhedshuller eller ej, så kan man ikke bruge den antagelse. Aldrig.

Dog kunne nogle tekniske detaljer være interessante. Udnytter de kendte exploits eller er der huller i softwaren uni robots har lavet? Link?

  • 2
  • 0
#2 Thomas Toft

Vores robotter bliver betjent i lukkede netværk i produktionsmiljøer uden forbindelse til omverdenen via åbne netværk

Sagt som en ægte PR mand der enten ikke ved noget som helst om IT eller som skjuler noget.

  • 1
  • 0
Log ind eller Opret konto for at kommentere