Slo-Tech - Nadzorni delavec vodnega zajetja v mestu Oldsmar, v ameriški zvezni državi Florida, je med svojim delom opazil, da so v njihov sistem uspeli vdreti neznanci, pri čemer so na daljavo upravljali z uporabniškim vmesnikom in na ta način želeli povečati koncentracijo natrijevega hidroksida z običajnih 100 delov na milijon delov vode, na 11.100 delov na milijon. Gre za približno stokratno in potencialno nevarno povišanje, saj gre za močno bazo, ki jo v zajetjih uporabljajo za uravnavanje PH vrednosti vode, v gospodinjstvih pa je pogosta sestavina tekočih sredstev za čiščenje odtokov.
Dežurni operater je poskus k sreči zaznal in koncentracijo povrnil na običajno vrednost. Sistem za upravljanje vodovoda na daljavo pa so za zdaj onemogočili. Za storilci, ki so ogrozili življenja okoli 15.000 uporabnikov vodovoda, pa so se zapodile tajne službe in FBI. Za zdaj še ni jasno ali je bil napad izveden iz ZDA ali pa morda iz tujine.
Podobni incidenti so se v preteklosti že dogajali. Leta 2016 je tak napad na neimenovano mesto analiziral Verizonov Risk Team, lani pa se je več podobnih poskusov odvilo v Izraelu. Jasno je, da je javna infrastruktura, povezana s transportom, proizvodnjo ter dobavo vode in elektrike, še kako izpostavljena informacijskim grožnjam, pred čemer že leta svarijo varnostni strokovnjaki. Ne le zato, ker lahko tak napad ogrozi na milijone prebivalcev, pač pa tudi zato, ker t. i. kritična infrastruktura še vedno pogosto teče na zastarelih in ranljivih informacijskih sistemih.
Predvidevam da že sam uporabniški vmesnik ne bi smel dopuščati vnosa tako velikega parametra. Govorim o omejitvi vnosnih polj. Drugače pa se za spremembo "kritičnih" parametrov naj bi uporabljalo ponovno preverjanje pooblastil.
ZDA imajo že tako ali tako zastrupljeno vodovodno vodo. Dodajajo, ji namreč fluor, industrijski odpadek: Water fluoridation by country @ Wikipedia V Evropi se temu zaenkrat še uspešno izogibamo.
Predvidevam da že sam uporabniški vmesnik ne bi smel dopuščati vnosa tako velikega parametra. Govorim o omejitvi vnosnih polj. Drugače pa se za spremembo "kritičnih" parametrov naj bi uporabljalo ponovno preverjanje pooblastil.
Đabe, ti omejitve na frontendu, če api nima enakih omejitev.
Slej ko prej bo potegnilo - za golazen, ki je pripravljena narediti kaj takšnega, ni milosti. Za golazen od držav, ki ščitijo tovrstno golazen, ni milosti. Za butaste operaterje kritičnih sistemov, ki mislijo, da je to njihov hobi, ni milosti.
Biseri...
PS: MENSA klub ST, obvoz. ŠIC! Ne zanimajo me vaše neštetokrat reciklirane
neumnosti.
Kako lahko firmware sploh dopušča take vrednosti. Kot da bi hoteli, da nekdo to naredi oz. so si pustili odprto možnost, če se bo treba znebit množice ljudi na hitro.
Če Američani sejejo FUD okoli nemških (Teamviewer), kitajskih (Zoom) ali ruskih (Kaspersky) IT rešitev, ni to nič novega.
Lahko das vsaj druge, po moznosti Evropske resitve? Kaj namesto Zooma? Cisco Webex je ameriski :) Za TeamViewerja se ve od kje je, pa da je mal luknast. :) Kaj torej priporocas namesto tega? RDP je MS, LogMeIn je tud iz Amerike. Antivirusnih resitev pa itak prevec, pa skor vse so si podobne. Je sploh kaksna Nova in se nezlorabljena programska oprema anti virusom, iz EU v tem pogledu?
Ampak je pa fino, da se lahko od doma s Teamviewerjem povežeš direkt v službo, a ne?
Si sploh nisem mogel predstavljati, da je to mogoče, kaj šele pri kritični infrastrukturi
The main failure in computers is usually located between keyboard and chair.
You read what you believe and you believe what you read ...
Nisam čit'o, ali osudjujem (nisem bral, a obsojam).
Kako lahko firmware sploh dopušča take vrednosti. Kot da bi hoteli, da nekdo to naredi oz. so si pustili odprto možnost, če se bo treba znebit množice ljudi na hitro.
Industrijske aplikacije so namenjene parim uporabnikom. Smatra se, da le-ti vedo kaj se v posamezne inpute vnaša, zato naročnik ne zahteva omejevanja vrednosti, izvajalec pa jasno tega tudi ne vgrajuje, ker...
Bom pa vesel, če bo kdo iz prakse povedal drugače.
Obstaja možnost da do vdora sploh ni prišlo, uporabnik - skrbnik sistema je nenamerno vnesel napačno vrednost in svojo napako (katero je kasneje opazil) opravičil z navideznim vdorom v sistem.
Še par komentarjev iz lastnih izkušenj pri postavitvi podobnih sistemov: Nadzorni nivo - SCADA (po domače vmesnik za upravljanje): - Omejitev vnosnih polj preprečuje morebitno napako operaterja (ljudje smo zmotljivi) - Ponovna avtentikacija pri spremembi kritičnih parametrov - Opcijsko tudi dvojna avtentikacija (nadrejeni operaterja) - Varčevanje z denarjem pri postavitvi sistema ali zamude na projektu in je zmanjkalo časa za popolno validacijo sistema (saj to tudi študent zna narediti) - premalo zaščiten OS (določena programska oprema za nadzorne sisteme zahteva lokalne full admin pravice na računalniku), temu sledi da uporabnik lahko namešča še ostalo programsko opremo (npr. TeamViewer za lažji oddaljen dostop, kajti njemu pa na iphone-u ne deluje VPN).
Pomojem je bila napaka narejena že pri sami zasnovi sistema: Za doziranje raznih kemikalj v pitno (ali bazensko) vodo se uporabljajo namenske samostojne naprave katere se lahko poslužuje samo lokalno, na nadzornem nivoju so vidni samo njihovi statusi (nedeluje-deluje, napaka-OK). Dodatno se pa z drugo napravo (senzor + krmilnik) zajemajo ponovno meritve in morebitni odstopi le teh se alarmirajo.
Sistem mora biti zasnovan tako da lahko normalno - samostojno deluje tudi ob odpovedi računalnika (ali OS-a) kateri je pač najšibkejši člen v celotni verigi krmilno nadzornega sistema.
Se strinjam z predhodnikom. Tudi dozirne črpalke so narejene glede na maksimalni nominalni pretok cevovoda. Ker v tem primeru gre za proporcionalni sistem doziranja na pretok ne verjamem, da bi ob načeloma 100x povečanem doziranju črpalka uspela zdozirati vsebino pri istih nastavitvah črpalke, mislim, da bi se spremenila le frekvenca delovanja črpalke (udarcev). Večina batnih magnetnih črpalk ki se uporabljajo za ta namen deluje maksimalno pri 180 Hz (max. 3 udarce na sekundo). Pri istem pretoku (frekvenci udarcev) ne moreš frekvenco udarcev vedno povečati za 100x, razen pri zelo zelo nizkih pretokih.
"Multitasking - ability to f##k up several things at once."
"It works better if you plug it in."
"The one who is digging the hole for the other to fall in is allready in it."
Če Američani sejejo FUD okoli nemških (Teamviewer), kitajskih (Zoom) ali ruskih (Kaspersky) IT rešitev, ni to nič novega.
Lahko das vsaj druge, po moznosti Evropske resitve? Kaj namesto Zooma? Cisco Webex je ameriski :) Za TeamViewerja se ve od kje je, pa da je mal luknast. :) Kaj torej priporocas namesto tega? RDP je MS, LogMeIn je tud iz Amerike.
Ne zaupaš RDP, zaupaš pa Windows?
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!
Teamviewer ipd. rešitve so 3rd party proxyji. Dejansko je velik problem kaj takega uporabljat za kritične aplikacije in kako to gre skozi security review (če kaj takega tam obstaja).
Tukaj si vas velik del narobe predstavlja, kako vse to izgleda.
Tukaj zelo verjetno sploh ni nobenega "IT departmenta".
V najboljšem primeru je nek IT nekje v občinski upravi, ki ima čez vse te facilitije, še bolj verjetno jim je pa vse skupaj postavil izvajalec, ki je vzpostavil celoten krmilni sistem.
Pač kupiš napravo/sistem/tovarno in zraven dobiš en PC, kjer teče gor nadzorni program.
Po defaultu je sicer v ločeni mreži, ampak: - če nekaj crkne, si v zosu - nekdo mora tam ždeti 24/7 in buljiti v tiste številke, da lahko občasno pogleda, če je vse OK
Zato je skoraj klasika, da se na te kompe potem (poskuša) poinstalira(t) TeamViewer (ali AnyDesk po novem) in zadevo butne na internet.
Saj to je jasno. Popolnoma razumljivo iz človeškega vidika.
Ampak zdaj je pač prišel račun za tole. Hkrati pa tudi priložnost, da se kaj spremeni.
Edino problem je, ker se sedaj zna zgoditi, da bo nekdo izkoristil paniko in jih konkretno nategnil z neko ultra drago rešitvijo (in vzdrževanjem za njo).
RDP seveda ni varen, če ga ne uporabljaš preko VPN.
Že tri leta teče honeypot RDP, z objavljenim naslovom takim, ki mislijo da je vdor stvar par minut. Pa še kar noben ni vdrl. Glej tudi: lažje je verovati kot si vzeti par minut in preveriti: https://slo-tech.com/novice/t780358/p70...
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!
