Vulnerabilità nei sistemi di controllo di impianti energetici, militari e produttivi

[Redazione di Hardware Upg]

Link alla notizia: http://www.hwfiles.it/news/vulnerabi...ivi_38555.html

Un ricercatore italiano ha individuato alcuni problemi di sicurezza nei controller utilizzati in impianti critici e strategici, tra i quali installazioni energetiche, siti aerospaziali o più in generale in ambito militare

Click sul link per visualizzare la notizia.

[Dumah Brazorf]

Certi sistemi dovrebbero essere a circuito chiuso, completamente scollegati dalla rete.

[Khronos]

non serve essere collegati per forza a internet per essere vulnerabili.
basta pensare alle reti wireless.

solo una rete col filo e chiusa, è inviolabile dall'esterno senza fisicamente usare una macchina della stessa rete.
o staccare il cavo e metterlo sul tuo pc...

[CountDown_0]

Se non ricordo male Stuxnet ha sfruttato una chiavetta USB... Quindi anche essere offline non è una garanzia.

[avvelenato]

Originariamente inviato da Dumah Brazorf

Certi sistemi dovrebbero essere a circuito chiuso, completamente scollegati dalla rete.

con un po' di ingegneria sociale una rete chiusa la fai diventare aperta grazie al gentile aiuto di qualche dipendente volenteroso Come scrisse Kevin Mitnick: "spesso si legge che l'unico computer sicuro è un computer spento; tuttavia un abile ingegnere sociale troverà sempre qualche persona disponibile che glielo accende!"

considera che stiamo parlando di servizi critici, un attacco a certi sistemi di controllo può essere la base per un attacco più avanzato (furti, terrorismo, ecc.), quindi non ci si deve difendere mica dallo script kiddie di turno.

[SUPERALEX]

scommetto che quando ha scoperto il baco avrà esclamato ED E' RETEEEE SI GGONFIA LA RETEEE

[freesailor]

Originariamente inviato da avvelenato

con un po' di ingegneria sociale una rete chiusa la fai diventare aperta grazie al gentile aiuto di qualche dipendente volenteroso Come scrisse Kevin Mitnick: "spesso si legge che l'unico computer sicuro è un computer spento; tuttavia un abile ingegnere sociale troverà sempre qualche persona disponibile che glielo accende!"

considera che stiamo parlando di servizi critici, un attacco a certi sistemi di controllo può essere la base per un attacco più avanzato (furti, terrorismo, ecc.), quindi non ci si deve difendere mica dallo script kiddie di turno.

Quoto.

La sicurezza non si ottiene limitandosi alla protezione perimetrale, deve assolutamente considerare la possibilità di attacchi da insiders e, restando sui comportamenti in buona fede, di mancanza di rispetto perfino di semplici policy di sicurezza (es. utilizzo di chiavette USB infette) da parte del personale interno e può (in certi casi deve!) comprendere controlli detectivi che rilevino e possibilmente blocchino attacchi in corso, partendo dal presupposto che "qualcuno" o "qualcosa" sia comunque riuscito a penetrare nelle difese.
In sistemi di tale criticità, ciò è un obbligo.

Mi sa che di vulnerabilità dei sistemi SCADA e probabilmente anche di attacchi realmente avvenuti ne sentiremo parlare sempre più spesso ...

[Taz83]

Originariamente inviato da Dumah Brazorf

Certi sistemi dovrebbero essere a circuito chiuso, completamente scollegati dalla rete.

Non sempre è possibile, dipende dalla specifica implementazione.

Immagina un oleodotto lungo 2500km con un plc e un trasduttore ogni 5km che misura la pressione, il flusso per capire eventuali perdite e problemi.

Come connetti un sistema del genere che ha 500 periferiche da controllare a distanza?

Puoi usare una rete privata al posto di un sistema aperto come internet? Dove finisce una rete privata e la sua sicurezza? Finisce dove una persona fisicamente può manomettere la connessione ed entrare fisicamente nella VPN con tutta tranquillità visto che non puoi monitorare 2500km di tubatura..

E questo e' un esempio stupido anche se fondamentale per le sorti di una nazione.. Basta pensare a tutte le connessioni politiche e belliche di una tale manomissione...

PS: parlo per esperienza diretta purtroppo...

[lucusta]

...anche perche' lo sniffing a distanza dei cavi ethernet leggendo le onde elettromagnetiche che emette e' gia' stato fatto, come quello del cavo PS2 della tastiera, quindi il filo e' sicuro piu' o meno quanto il wifi (siamo sempre sui 10 metri di distanza; per lo sniffer a 0 metri l'attrezzatura non e' nemmeno costosa o complicata da costruire, sono una serie di anelli che leggono per effetto hall).
avendo l'attrezzatura credo che ci sia un solo sistema elettronico realmente sicuro: il computer a quanti, e solo sull'unita' di controllo degli spin (per il Principio di indeterminazione di Heisenberg se io vedo il dato lo caambio, quindi se tu cerchi di vederlo dopo di me lo trovi cambiato e se lo fai prima lo trovo cambiato io, e me ne accorgo... con questa logica c'e' poco da fare); ci sono quelli piu' facili di altri, ma e' solo una questione di aver trovato il metodo piu' semplice per l'hacking.
stavo leggendo ora di un programma che ti aiuta nella decriptazione delle smart card avendo una lettura del circuito con un microscopio elettronico (ma credo che anche con un buona scansione ai raggi X sia ugualmente fattibile).
Con le giuste conoscenze tecniche si puo' risalire all'algoritmo, e da questo alla chiave di decriptazione, quindi molti sistemi di sicurezza potrebbero essere sblindati; ora pero' no mi trovo sotto mano un microscopio elettronico, e ho qualche lacuna con le porte XOR....

[Taz83]

Originariamente inviato da lucusta

...anche perche' lo sniffing a distanza dei cavi ethernet leggendo le onde elettromagnetiche che emette e' gia' stato fatto, come quello del cavo PS2 della tastiera, quindi il filo e' sicuro piu' o meno quanto il wifi (siamo sempre sui 10 metri di distanza; per lo sniffer a 0 metri l'attrezzatura non e' nemmeno costosa o complicata da costruire, sono una serie di anelli che leggono per effetto hall).
avendo l'attrezzatura credo che ci sia un solo sistema elettronico realmente sicuro: il computer a quanti, e solo sull'unita' di controllo degli spin (per il Principio di indeterminazione di Heisenberg se io vedo il dato lo caambio, quindi se tu cerchi di vederlo dopo di me lo trovi cambiato e se lo fai prima lo trovo cambiato io, e me ne accorgo... con questa logica c'e' poco da fare); ci sono quelli piu' facili di altri, ma e' solo una questione di aver trovato il metodo piu' semplice per l'hacking.
stavo leggendo ora di un programma che ti aiuta nella decriptazione delle smart card avendo una lettura del circuito con un microscopio elettronico (ma credo che anche con un buona scansione ai raggi X sia ugualmente fattibile).
Con le giuste conoscenze tecniche si puo' risalire all'algoritmo, e da questo alla chiave di decriptazione, quindi molti sistemi di sicurezza potrebbero essere sblindati; ora pero' no mi trovo sotto mano un microscopio elettronico, e ho qualche lacuna con le porte XOR....

basta fare due letture sul quantico per riportare lo stato all'originale e impedire la scoperta di letture a carico di terze parti malevoli...

la sicurezza non esiste, più studio la sicurezza e più mi accorgo di non studiare niente ma solo semplici pagliativi... è solo questione di costi per aprirlo/benefici che ne si ottengono e ogni sistema diventa insicuro...

[deckard90]

l'unico computer sicuro è quello spento, bruciato, chiuso in cassaforte e gettato in mare

[C++Ronaldo]

magari la terza guerra mondiale si combatterà: hacker cinesi vs hacker americani vs hacker tedeschi alleati con hacker giapponesi

due click e ti fanno saltare in aria una centrale

[Baboo85]

Originariamente inviato da SUPERALEX

scommetto che quando ha scoperto il baco avrà esclamato ED E' RETEEEE SI GGONFIA LA RETEEE

Originariamente inviato da deckard90

l'unico computer sicuro è quello spento, bruciato, chiuso in cassaforte e gettato in mare

Dai, aggiungo anche io un commento altrettanto intelligente:

L'unico computer sicuro e' quello che non esiste.

[freesailor]

Originariamente inviato da Taz83

la sicurezza non esiste, più studio la sicurezza e più mi accorgo di non studiare niente ma solo semplici pagliativi... è solo questione di costi per aprirlo/benefici che ne si ottengono e ogni sistema diventa insicuro...

Diciamo che è anche una questione di rapporto costi/benefici per proteggere il bene minacciato.

Se c'è una cosa che apprezzo delle metodologie standard di sicurezza, a cominciare dalla ISO27001, è che da una parte non sono la tanto frequente "fuffa" che si trova nell'IT, ma sono spesso molto concrete, e dall'altro non sono affatto scritte da "fanatici" che pensano che: 1) la sicurezza assoluta sia possibile 2) sia indispensabile cercare sempre tale sicurezza assoluta.

Anzi, viene normalmente ricordato che, se sufficientemente motivato e skillato, un attaccante riuscirà a passare quasi sempre.
Ed uno dei cardini è che i controlli di sicurezza siano sempre cost-effective (ci si procura una cassaforte per proteggere il diamante Cullinan, non per la tazzina di porcellana della nonna ...).

La sicurezza IT sarà anche un palliativo, ma pure la cintura di sicurezza e gli airbag in auto lo sono.
Non evitano gli incidenti e non ti garantiscono di uscirne vivo o senza ossa rotte, ma non per questo non sono utili.

[Taz83]

Originariamente inviato da freesailor

Diciamo che è anche una questione di rapporto costi/benefici per proteggere il bene minacciato.

Se c'è una cosa che apprezzo delle metodologie standard di sicurezza, a cominciare dalla ISO27001, è che da una parte non sono la tanto frequente "fuffa" che si trova nell'IT, ma sono spesso molto concrete, e dall'altro non sono affatto scritte da "fanatici" che pensano che: 1) la sicurezza assoluta sia possibile 2) sia indispensabile cercare sempre tale sicurezza assoluta.

Anzi, viene normalmente ricordato che, se sufficientemente motivato e skillato, un attaccante riuscirà a passare quasi sempre.
Ed uno dei cardini è che i controlli di sicurezza siano sempre cost-effective (ci si procura una cassaforte per proteggere il diamante Cullinan, non per la tazzina di porcellana della nonna ...).

La sicurezza IT sarà anche un palliativo, ma pure la cintura di sicurezza e gli airbag in auto lo sono.
Non evitano gli incidenti e non ti garantiscono di uscirne vivo o senza ossa rotte, ma non per questo non sono utili.

concordo pienamente

[lucusta]

mhm... non lo so' Taz... non e' che oggi abbiamo la precisione d'indirizzare l'energia per cambiare un solo spin... li cambi tutti, e se non li conosci tutti come puoi ricreare lo stato energetico, ammesso che ci sia la possibilita' di ricreare la giusta sequenza... il principio d'indeterminazione e' appunto questo: se operi per scrutare lo stato, avrai la descrizione di questo, ma come conseguenza avrai fornito energia e cambiato di conseguenza lo stato che hai scrutato; rimetterlo nello stesso stato e' proaticamente impossibile (dovresti ritentare qualche trilione di volte).

comunque, come dicevi, la sicurezza e' solo una questione di budget, o vero quello che sei disposto a spendere per eluderla.

[Taz83]

Originariamente inviato da lucusta

mhm... non lo so' Taz... non e' che oggi abbiamo la precisione d'indirizzare l'energia per cambiare un solo spin... li cambi tutti, e se non li conosci tutti come puoi ricreare lo stato energetico, ammesso che ci sia la possibilita' di ricreare la giusta sequenza... il principio d'indeterminazione e' appunto questo: se operi per scrutare lo stato, avrai la descrizione di questo, ma come conseguenza avrai fornito energia e cambiato di conseguenza lo stato che hai scrutato; rimetterlo nello stesso stato e' proaticamente impossibile (dovresti ritentare qualche trilione di volte).

comunque, come dicevi, la sicurezza e' solo una questione di budget, o vero quello che sei disposto a spendere per eluderla.

quello che dici è sicuramente corretto e insindacabile ma rimane una verità assoluta solo con le tecnologie attuali (come tu hai giustamente specificato: OGGI)... anche una volta era impensabile bucare una criptazione DSA/RSA.. poi i computer si sono evoluti e le capacità di calcolo sono esplose e il NIST ha dovuto buttarsi sulla curve ellittiche se non voleva usare chiavi di 2048 bits per garantire un certo margine di sicurezza.. poi sono saltati fuori i modelli quantistici e tutti a scrivere nuovi algoritmi resistenti al calcolo quantistico come se dall'oggi al domani il mondo potesse crollare senza sicurezza nelle transazioni informatiche...

secondo me, nel momento in cui la tecnologia quantistica sarà commerciale (50 anni?), economica e alla portata di tutti saremo in grado di controllare lo spin (non tutti ma esiste sempre qualcuno che ha i mezzi e i soldi per portare avanti questi tipi di attacchi).. ora cosa sappiamo fare a livello di computer quantistico? praticamente nulla... per costruire un calcolatore a 6bit quantistico serve una stanza grande come un capannone, un raffreddamento quasi da zero assoluto e l'energia per alimentare una piccola cittadina..

siamo andati un po' tanto OT, solo che è bello parlare di queste cose con persone che sanno argomentare e replicare con cognizione di causa, è stato un vero piacere!

chi vivrà vedrà, alla prossima