Onderzoekers van veiligheid industriële netwerken schrikken zich rot

De onderzoekers, waaronder een cyber warfare operations officer van de Amerikaanse luchtmacht in actieve dienst, zijn zich rotgeschrokken van wat ze aantroffen. Dat er problemen zijn met industriële netwerken, was natuurlijk al lang en breed bekend. "Alles waar ze naar keken, vonden ze ook", verklaart luchtmachtofficier Robert Lee tegenover The Daily Dot over het veldwerk dat zijn mede-onderzoekers verrichtten. "En het kost ze ook niet zoveel tijd als zou moeten" om de lekken te vinden.

Sinds jaar en dag bekende problemen niet opgelost

Het gaat daarbij niet om exotische kwetsbaarheden. De knooppunten van industriële netwerken zijn vaak nog benaderbaar met de standaard wachtwoorden waarmee ze geleverd zijn, en die in de documentatie te vinden zijn. Vaak ook is sprake van hardgecodeerde encryptiesleutels en slechte authenticatie van de herkomst van updates van de firmware die worden aangeboden. Er zijn vaak achterdeurtjes in de vorm van verborgen accounts die oorspronkelijk bedoeld waren voor onderhoud. Het komt ook nog steeds voor dat onderhoudstechnici een onbeveiligde internetverbinding hebben met de switches om zo op afstand onderhoud te kunnen plegen. 'Deze problemen komen veel voor en lijken niet uit te roeien", zegt Lee. "De meeste leveranciers hebben de basis niet op orde."

De onderzoekers werken nu met ten minste vier leveranciers samen om de problemen in hun apparatuur op te lossen. Siemens, Opengear, Garretcom en General Electric zijn met name genoemd. Van deze vier geeft Opengear ruiterlijk toe dat voor de beveiligingskant van de zaak te weinig aandacht was, zeker bij apparatuur die 4 tot 8 jaar geleden werd geïnstalleerd - wat bij veel industriële componenten het geval is. De andere hebben niet gereageerd, maar zijn dus kennelijk wel hard aan de slag.

Jaren werk

Daarmee zijn de problemen niet een, twee drie de wereld uit. Veel werk moet door de bedrijven zelf uitgevoerd worden. Dat kost tijd en geld. Wat tijd betreft: het zou zo maar 3 jaar kunnen duren voordat de situatie acceptabel is. Maar het zou al helpen als bedrijven standaard wachtwoorden zouden vervangen en onbeveiligde externe verbindingen zouden afsluiten of beveiligen. Ook enige patchdiscipline zou helpen. Industriële bedrijven doen daar nu gemiddeld 18 maanden over; al past daarbij wel de kanttekening dat de huiver dat een patch problemen veroorzaakt in veel bedrijfstakken begrijpelijk is: het stilvallen van productiemachines door een netwerkprobleem kan een kostbare aangelegenheid zijn.

Lee benadrukt wel dat er geen reden is voor paniek. Met de controle over een netwerk heeft een hacker nog niet zomaar zwaar geschut in handen. Daarvoor moet hij ook het netwerk en de eigenschappen van de gekoppelde apparaten in kaart brengen. Dat kan een hele klus zijn. Bovendien heeft een hacker niet zo maar toegang tot een netwerk.

Ook kerncentrales kwetsbaar

Anderzijds zijn er ook incidenten geweest die aantonen dat het gevaar van schade en zelfs het verlies van mensenlevens reëel is, zegt Lee. Met name het bovenmatig vertrouwen in de eigen beveiliging bij kerncentrales - waarvan er ook enkele bezocht zijn - roept daarbij twijfels op. "Doordat ze een erg stringent beveiligingsbeleid voeren, heeft men daar in het algemeen het gevoel dat de beveiliging beter is dan feitelijk het geval is, en dat ze zich om deze problemen geen zorgen om hoeven te maken", zegt Lee. "Dat is niet waar."