Д.А. Курносов.
Доклад на Всероссийской научно-практической конференции «Информационные и телекоммуникационные технологии в противодействии экстремизму и терроризму». 24 мая 2024 года. Краснодарский университет Министерства внутренних дел Российской Федерации.
Несколько хакеров по заказу некой таинственной корпорации создают особенно эффективные программы по взлому защищённой информации. После чего начинается многоступенчатая атака на ключевые элементы инфраструктуры страны. Взламываются правительственные и коммерческие компьютеры по всей территории. Паралич транспорта, отказ коммунальных систем, газоснабжения, энергетики, крах финансовой системы, уничтожение ключевой информации в государственных информационных системах... Именно так развиваются события в американском остросюжетном боевике 2007 года режиссёра Лена Уайзмана «Крепкий орешек 4.0» (англ. Live Free or Die Hard). Если бы не храбрый полицейский Джон Макклейн (в исполнении Брюса Уиллиаса), то выживаемость целой страны была бы под вопросом.
Конечно это был всего лишь режиссёрский вымысел - художественный фильм, в основе сценария которого лежит статья в журнале Wired 1997 года, озаглавленная «Farewell to Arms» («Прощай, оружие»), рассказывающая о новой концепции военных действий. По мнению автора, в новой войне обычное оружие уступит почетное место кибертерроризму и разного рода хакерам. В 1997 году всё это выглядело немного футуристично, и больше было похоже на некую «теорию заговора». Однако прошедшие годы отчетливо показали нам, что не только мошенники, но и террористы понемногу осваивают все новые передовые технологии – «меняют автомат на компьютер и машинный код». И если в 1997 и 2007 крупные атаки, парализующие жизненно важные системы происходили только в блокбастерах, и их можно было рассматривать сугубо теоретически, то по прошествии лет – это данность, в которой живёт весь мир.
Сегодняшние реалии заставляют нас не только глубоко задуматься над вопросами устойчивости и кибербезопасности функционирования ключевых элементов и систем инфраструктуры Российской Федерации, но и рассматривать такие вопросы как важнейшую задачу обеспечения национальной безопасности. При этом опыт последних лет убедительно показывает нам, что кибертеррористы вполне могут быть на содержании и под защитой не дружественных Российской Федерации государств, стремящихся любыми способами нанести неприемлемый ущерб нашей стране. Кибертерроризм «официально» становится одним из инструментов государственной политики некоторых стран...
В фильме «Крепкий орешек» многоступенчатая атака на разные элементы инфраструктуры страны называлась «Обрушение», в основе которого почти везде был «нужный код» внутри таких элементов (нужный кибертеррористам). Например, отказ коммунальных систем вполне может быть инициирован путем захвата управления программируемыми логическими контроллерами (далее – ПЛК), которые сегодня почти повсеместно используются на коммунальных объектах, объектах электро- и газоснабжения, а также в системах автоматизации «Умных зданий».
Сегодня сотни тысяч ПЛК используются на производстве и в критической инфраструктуре. И количество таких устройств постоянно растёт. ПЛК управляют и следят за производственными процессами нефтеперерабатывающих заводов, атомных и гидроэлектростанций, магистральных нефте- и газопроводов, включают и выключают системы пожаротушения и дымоудаления аэропортов, ж/д вокзалов, крупных торгово-развлекательных центров, больниц и правительственных зданий.
При этом вызывает серьёзную озабоченность безопасность технологий, которые разработчики ПЛК и систем автоматизации встраивают в свои продукты в энергетике, промышленном производстве, на транспорте, в системах промышленного интернета вещей и т.д. Сегодня большинство таких разработчиков в мире и в России используют в своих приборах и устройствах готовые OEM-технологий (фреймворки). Это помогает увеличить скорость разработки, снизить её стоимость, улучшить совместимость устройств и т.д.
Однако в результате такого подхода любой, даже максимально «импортозамещённый» ПЛК и система автоматизации получают в свой состав «незаметный» элемент (встроенный машинный код), уязвимости в котором с большой долей вероятности сказываются на безопасности многих, если не всех, продуктов и систем автоматизированного и роботизированного управления технологическим процессом на производстве и в критической инфраструктуре.
Учитывая тот факт, что подобные фреймворки являются проприетарными, закрытыми для разработчика ПЛК, технологиями, серьёзно возрастает риск появления в инфраструктуре любой системы «спящего нужного кода», предусмотрительно помещенного туда заранее. На Рисунке 1 приведена схема, которая наглядно иллюстрирует проблему.
Ситуацию следует рассматривать как «серую зону» импортозамещения. С формальной точки зрения импортозамещение уже произошло, и предполагается решить только лишь вопрос замены на российские аналоги импортных (американских, китайских и пр.) микроконтроллеров на которых функционируют ПЛК. Выпуск таких «чипов» планируют освоить отечественные предприятия микроэлектроники. Конечно этого недостаточно, т.к. в результате внутри российского «чипа» всё равно может оказаться та самая популярная OEM-технология, т.е. тот самый «нужный код»…
Сегодня большое число российских разработчиков и производителей (если не все) включают в состав своих продуктов CODESYS Runtime – популярный во всём мире фреймворк для разработки и выполнения программ автоматизированного управления технологическим процессом от компании 3S-Smart Software Solutions GmbH (Кемптен, Германия).
За примерами далеко ходить не нужно. Достаточно посмотреть, например, на «ПЛК160 [М02] программируемый контроллер для средних систем» от компании ОВЕН – ведущего российского разработчика и производителя контрольно-измерительных приборов и средств автоматизации для различных отраслей промышленности[1]:
[1]ПЛК160 [М02] программируемый контроллер для средних систем. https://owen.ru/product/plk160
Из спецификации специалисты могут понять, что «внутрь» ПЛК160 [М02] заботливо помещён CODESYS Runtime. И таких примеров – множество…
«Исследование безопасности: CODESYS Runtime – фреймворк для управления ПЛК», выполненное Центром реагирования на инциденты информационной безопасности промышленных инфраструктур «Лаборатории Касперского» в 2019 году, стало одним из первых исследований посвященных вопросам безопасности технологий, входящих в состав продуктов большого количества производителей[1].
[1]Исследование безопасности: CODESYS Runtime – фреймворк для управления ПЛК. https://ics-cert.kaspersky.ru/publications/reports/2019/09/17/security-research-codesys-runtime-a-plc-control-framework-part-1/
Само исследование проводилось методом «черного ящика» - изучалось поведение системы и её реакций на разнообразные внешние воздействия. При этом у исследователей не было никакой информации о «внутреннем устройстве» CODESYS Runtime. Они не имели доступа к исходному коду приложения, а вся информация была получена ими из открытых источников информации и в ходе технического исследования.
В результате исследования было обнаружено 15 уязвимостей. Например, четыре уязвимости в механизме аутентификации приводили к расшифровке передаваемого пароля.
Автоматизировав эксплуатацию другой, обнаруженной уязвимости, злоумышленник мог бы долго скрывать свои действия в сети, манипулируя устройствами (т.е. ПЛК) с запущенным CODESYS Runtime и заставляя их отправлять вредоносные пакеты друг другу.
Еще одна уязвимость – это отсутствие песочницы для загружаемой программы. Так как фрагменты загружаемой в ПЛК программы представляют собой машинные инструкции, то вместо них злоумышленник вполне мог бы внедрить произвольный, «нужный код», подготовив тем самым, например, газораспределительную станцию к «обрушению» в недалёком будущем…
ВЫВОДЫ
Благодаря широкому распространению и удобству использования CODESYS Runtime на сегодня является «ахиллесовой пятой» любых систем автоматизации и роботизации в Российской Федерации. Это проприетарная технология, исходящая из недружественной юрисдикции, о которой (о составе машинного кода) по сути ничего не известно.
Существующий на сегодня у большинства российских разработчиков и производителей ПЛК подход, заключающейся в применении готовых проприетарных ОЕМ-технологий исходящих из западных юрисдикций является недопустимым и однозначно требует изменений.
- В первую очередь – внимание государства. Необходимо ужесточить требования и регулирование в области импортозамещения продуктов, используемых на производстве и в критической инфраструктуре.
- В России необходимо создавать свои технологии - фреймворки для разработки и выполнения программ автоматизированного управления технологическим процессом, которые могли бы быть использованы отечественными разработчиками приборов и систем автоматизации для промышленности, энергетики и критической инфраструктуры. Для этого такие технологии должны базироваться на отрытых стандартах и открытом коде.
____________________
Автор: Курносов Денис Александрович
dakurnosov@yandex.ru
