Als hackers de verwarming omhoog draaien

Het wordt nog anders als niet koelsystemen, maar verwarmingssystemen worden aangevallen.  Als je in zulke systemen kunt inloggen, dan kun je de industriële boilers permanent aanzetten, daarmee de normale operatie omzeilen. Je kunt veiligheidsventielen en alarmen afschakelen en grenswaarden voor te hoge temperaturen sterk verhogen. Een falende ventilator (door geïnduceerde oververhitting) zal dan het systeem niet uitschakelen.  Ook kun je omgevingsalarmen uitzetten, zodat rookmelders of hittemelders niets meer doorgeven.

Verder kun je het watchdog-systeem spoofen.  Dat vergt wel wat meer kennis en kunde, maar een statelijke actor draait daar zijn hand niet voor om.  Gewoon het 'alive'-signaal spoofen terwijl je het systeem forceert in een uiterst gevaarlijke status en hardware-fallbacks niet in werking treden.

Brand in het ketelhuis

Uiteindelijk leidt dat tot een felle brand in het ketelhuis. Laat daar nou net de luchtcirculatie zitten waarmee zulke systemen de kooldioxide-levels onder de Europese norm van 1500 parts per million moeten houden. Dreigen om een gebouw in brand te zetten niet nodig: je kunt dat gewoon remote regelen door het ketelhuis als ontsteking te gebruiken.

Kwaadwillenden zullen alles doen om ernstige schade aan te richten, omdat het heel gemakkelijk kan zonder dat ze te achterhalen zijn

Ik heb met bovenstaand aanvalsscenario even gekeken of dit vergezocht is of niet. Je moet natuurlijk wel iets weten van gebouwbeheersystemen. Via UDP-poort 47808 loopt het zogenaamde BACnet/IP protocol, dat staat voor Building Automation and Control Networks. Dit is een wereldwijde communicatiestandaard die BACnet-berichten verzendt via internet.

We zijn binnen

Binnen een paar minuten had ik via een IoT-zoekmachine allerlei kandidaten gevonden, waaronder de EY-AS525F001.  Dat is een systeem van Sauter; het 'brein' voor het regelen, sturen, bewaken en optimaliseren van klimaatbeheersing (CO2!), verwarming, ventilatie en airconditioning.  Ik nam een willekeurige uit Slovenië, waarvan het IP-adres in de whois-database verwijst naar een lagere school. Ik kon inloggen met de standaard user-wachtwoordcombinatie uit de handleiding, en we zijn direct binnen.

Natuurlijk heb ik direct weer uitgelogd en het Computer Emergency Response Team van Slovenië ingeseind. Zij vertelden dat ze de school zouden informeren, en dat recent allerlei scholen upgrades kregen van de control software van hun verwarming, ventilatie en airconditioning.

Laten we hopen dat er geen gebouwen gaan afbranden omdat op het hoogste niveau het besef onvoldoende doorgedrongen is dat kwaadwillenden alles zullen doen om ernstige schade aan te richten, omdat het heel gemakkelijk kan zonder dat ze te achterhalen zijn. Deze Sloveense lagere school is hier ternauwernood aan ontsnapt.

De vraag is, hoe gaan we dit soort dingen systematisch oppakken en pro-actief voorkomen?