Trend Micro: Hakowanie robotów przemysłowych – jak się przed nim uchronić?

Nowy raport firmy Trend Micro Rogue Robots: Testing the Limits of an Industrial Robot’s Security to pierwsza publikacja pokazująca, jak można przejąć kontrolę nad robotami, i proponująca sposoby poprawy bezpieczeństwa na miarę czwartej rewolucji przemysłowej.

Przemysł 4.0

Roboty są wszędzie. Szacuje się, że w 2018 r. w fabrykach na całym świecie będzie ich 1,3 miliona. Będą wykonywać szereg zadań w różnych branżach — spawać, pakować, przetwarzać żywność i wykonywać odlewy. Potrzebuje ich Przemysł 4.0, czyli nowa fala innowacji związanych z automatyzacją i inteligentnymi fabrykami, które mogą przekształcić świat, podobnie jak zrobiła to maszyna parowa pod koniec XVIII wieku.

Raport Trend Micro zwraca uwagę na następujący problem: wraz ze wzrostem inteligencji i możliwości komunikacyjnych tych systemów zwiększają się możliwości ataku na nie. Usługi WWW pozwalają zewnętrznemu oprogramowaniu i urządzeniom komunikować się z robotami za pomocą żądań HTTP, a dzięki nowym interfejsom API możemy kontrolować roboty za pomocą aplikacji na smartfony. Pojawiają się już nawet sklepy z aplikacjami dla robotów. Sytuację pogarsza fakt, że wiele takich systemów ma przestarzałe oprogramowanie, wykorzystujące biblioteki i systemy operacyjne, które mają wiele luk w zabezpieczeniach (np. Linux 2.6). Czasem stosowane są przestarzałe lub złamane funkcje kryptograficzne oraz słabe uwierzytelnianie przy użyciu domyślnych haseł, których nie można zmienić.

Z niektórymi robotami przemysłowymi można połączyć się bezpośrednio z dowolnego miejsca i dowolnego urządzenia, co ma ułatwić zdalne monitorowanie i konserwację. Według badań Trend Micro, najwięcej takich maszyn znajduje się w Stanach Zjednoczonych. Niektóre z nich oferują nawet nieograniczony dostęp po anonimowym logowaniu.
Musimy również mieć na uwadze, że roboty są coraz częściej projektowane z myślą o bliskich interakcjach z ludźmi. Potencjalne korzyści są oczywiste, ale trzeba też pomyśleć o możliwości wykorzystania robota do fizycznego ataku na człowieka.

Studium przypadku

Raport Trend Micro zawiera studium przypadku dokładnie pokazujące sposób przeprowadzenia ataku na typowego robota przemysłowego (ABB IRB140). Opublikowaliśmy również wideo, przedstawiające atak na prawdziwego robota.
Oto kluczowe problemy w obszarze bezpieczeństwa, które odkryliśmy:

• Dokumentacja techniczna dostępna jest dla każdego na publicznych stronach internetowych; te same certyfikaty wykorzystane są we wszystkich egzemplarzach produktu.
• Przestarzałe, niezaktualizowane komponenty oprogramowania.
• Domyślne dane logowania i źle zaprojektowane uwierzytelnianie.
• Słabe szyfrowanie transmisji.
• Niezabezpieczone interfejsy WWW.
• Łatwo dostępne obrazy oprogramowania wbudowanego i niski poziom ochrony oprogramowania.

Wnioski

Roboty odgrywają coraz ważniejszą rolę w produkcji. Są przez to potencjalnym celem ataków cyberprzestępców szukających zysku, a także wrogich państw, próbujących zakłócić procesy produkcji. W raporcie przedstawiono różne scenariusze zagrożeń: od fizycznego uszkodzenia i sabotażu, przez wymuszenie okupu, po kradzież poufnych danych z sieci w fabryce.

Co należy zrobić? Odpowiedzią na te zagrożenia muszą być kompleksowe działania wszystkich zaangażowanych podmiotów, w tym twórców standardów cyberbezpieczeństwa, twórców oprogramowania, producentów i specjalistów ds. bezpieczeństwa sieci. Sama poprawa jakości wbudowanego oprogramowania to za mało. Czeka nas dużo pracy. Mamy nadzieję, że tego typu badania pomogą ruszyć we właściwym kierunku i stworzyć bezpieczniejszy Przemysł 4.0.

Pełny raport Rogue Robots: Testing the Limits of an Industrial Robot’s Security  dostępny jest na stronie: http://www.trendmicro.co.uk/vinfo/uk/security/news/internet-of-things/rogue-robots-testing-industrial-robot-security=

Autor: Anna Falkowska, Marketing Manager Poland and Eastern Europe w Trend Micro