"iTunes veiliger dan meeste SCADA-systemen"
De software die voor energienetwerken, de watervoorziening en andere kritieke infrastructuur wordt gebruikt is minder veilig dan iTunes, aldus twee bekende beveiligingsonderzoekers. Onderzoekers Billy Rios en Terry McCorkle wijzen naar een voorval met een lek in de software van Tridium. Het bedrijf reageerde niet op bevindingen van de onderzoekers en wilde volgens Rios en McCorkle ook geen verantwoordelijkheid nemen.
Tridium ontwikkelde het Niagara Framework dat onder andere wordt gebruikt voor het beheer van verschillende Pentagon-faciliteiten. Rios ontdekte dat de software kwetsbaar was voor een directory traversal-aanval, waardoor hij gehashte wachtwoorden en gebruikersnamen kon achterhalen. Ook werden er in de software andere kwetsbaarheden ontdekt die op afstand zijn te misbruiken. Eén van die lekken werd tijdens een audit ontdekt.
Toch besloot de Amerikaanse overheid om de Tridium software aan te schaffen. "We zijn teleurgesteld dat ons belastinggeld voor de genegeerde security audit, de aanschaf en implementatie en uitrol van software heeft betaald waarvan bekend was dat er lekken in zaten", aldus de twee onderzoekers. Die roepen de Amerikaanse autoriteiten op om het proces met de betrekking tot de aanschaf van SCADA-software te herzien.
Reactie
De grootste teleurstelling voor de onderzoekers is de reactie van Tridium waarbij de schuld van de problemen bij de klant wordt gelegd. "We hebben dit ook bij andere ICS-leveranciers gezien. Het zou nooit de verantwoordelijkheid van de klant moeten zijn om slecht ontwerp te compenseren." Tridium liet een reactie tegenover de Washington Post weten dat het industriestandaarden volgt en klanten beter gaat onderwijzen, maar volgens de onderzoekers is dat niet het probleem.
ICS- en SCADA-software loopt lichtjaren achter op moderne software. Het gaat dan om zaken als automatisch patchen en richtlijnen voor veilige installaties. "De oorzaak van de problemen bij Tridium is het slechte ontwerp en programmeren van het bedrijf zelf. Misschien zou Tridum eerst moeten investeren om de ontwikkelaars veilig te laten programmeren", besluiten Rios en McCorkle.
Automatisch patchen? In een productie-omgeving? NEVER! Zie je het al voor je; een energiecentrale die uitvalt door een foute patch van Siemens? En waarom eigenlijk patchen als die productieomgeving goed draait? En niet aan de buitenwereld hangt? Wat wel zal moeten voor dat automatisch patchen?
Deze onderzoekers denken teveel aan de normale IT wereld... in productieomgevingen gelden andere best-practices. En daar niet net de kneep.
Die richtlijnen voor beveiliging van SCADA omgevingen zijn er overigens wel maar worden nog niet overal gebruikt. Dat is heel wat anders.
Never change a winning team.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
