Lekken vinden in industriële stuursystemen is kinderspel

23 lekken gevonden in een paar uur tijd

Zijn conclusies zijn schokkend. In een paar uur tijd vond hij 23 kritieke lekken in software van die leveranciers. Het eerste kritieke lek waar nog geen verdediging tegen is, vond Portnoy binnen 7 minuten. "Voor iemand die veel audits heeft gedaan van software voor bedrijven en de consumentenmarkt, bleek SCADA in vergelijking absurd eenvoudig", schrijft Portnoy op zijn blog. Volgens hem zal het voor inbrekers nog het moeilijkst zijn, om de software te lokaliseren.

Aanleiding voor Portnoys vrije-ochtendbesteding was de mededeling van ReVuln, vorige week, dat het kritieke lekken in de SCADA-systemen had ontdekt. ReVuln gaf geen details; het geeft alleen informatie aan klanten die daarvoor betalen. Portnoy heeft zijn bevindingen wel doorgespeeld aan ICS-CERT, de afdeling van het Amerikaanse Computer Emergency Response Team dat met de leveranciers werkt aan verbetering van de beveiliging van Industrial Control Systems.