Har du lyst til at slukke et vandværk, afbryde elforsyningen i et mindre land eller smadre udstyret på et kraftværk? Så kan det gøres med en helt almindelig Google-søgning. Det fortalte sikkerheds-eksperten Tom Parker under et foredrag på Black Hat konferencen i Las Vegas i denne uge, skriver CNET.
Det er allerede en kendt sag at de såkaldte Supervisory Control and Data Acquisition (SCADA) systemer til industrianlæg kan være sårbare. Den meget omtalte Stuxnet-orm er netop skrevet for at angribe Siemens-software til denne type af systemer.
Stuxnet blev angiveligt udviklet for at smadre det iranske atomprogram. Det menes at Stuxnet har ødelagt et stort antal centrifuger, der bruges til berigelse af uran.
Det illustrerer at konsekvenserne kan være meget dramatiske hvis man angriber SCADA-systemer. De bruges til at kontrollere alt fra dæmninger til atomkraftværker og fabrikker – og ofte mangler selv den mest basale sikkerhed.
Tom Parker viste på Black Hat konferencen hvordan man kan indtaste nogle simple søgeord hos Google og finde frem til PLC'er (Programmable Logic Controller), der kan tilgås over nettet.
”Du kan lave en Google-søgning og straks gå i gang med at sende kommandoer til udstyret, potentielt set,” siger Parker.
De fleste SCADA protokoller bruger ikke kryptering eller autentificering, og der er ikke adgangskontrol bygget ind i selve enhederne. Mange af dem er ikke koblet til nettet – Stuxnet blev spredt over USB-nøgler – men der er nogle enheder, der har en indbygget webserver. Det er disse enheder, der kan findes med Google.
Sikkerhedseksperterne har blandt andet fundet en transformer-station i Storbritannien helt uden beskyttelse. Nu er der sat et kodeord på, men den er stadig på nettet.
"Den burde ikke være på nettet. Det er en aktiv station. Denne slags udstyr burde ikke være online," siger Jonathan Pollet fra Red Tiger Security.
Black Hat konferencen kører frem til torsdag og bliver efterfulgt af Defcon, der løber hen over weekenden.
