Még tavaly ősszel találtam egy LinkedIn poszton keresztül egy egészen jó, 11 oldalas tanulmányt az IEC 104-es (IEC 60870-5-104) protokoll elleni támadási lehetőségekről - ráadásul két magyar kutató tollából, György Péter és Holczer Tamás, a BME CrySys Lab munkatársai publikálták a mai poszt tárgyát képező dokumentumot.
Ahogy a tanulmány elején is olvasható, a 104-es protokoll az európai villamosenergia-rendszerben mind a mai napig az egyik alapvető ICS protokollnak számít, így biztonsági vizsgálata és a protokoll elleni támadási lehetőségek minél alaposabb ismerete kulcsfontosságú az európai villamosenergia-ellátás biztonsága szempontjából - különösen igaz ez egy olyan háború idején, ami az európai kontinentális villamosenergia-rendszert is közvetlenül érinti (immár lassan két éve, hogy az ukrán rendszert szinkronizálták a kontinentális rendszerre). Vagy legalább is ismerni kéne...
A tanulmány a 104-es protokoll bemutatása után a protokoll által használt két üzenettípus (Application Protocol Control Information, APCI és Application Service Data Unit) felépítését tárgyalja, majd a protokoll hibáit és a tanulmányhoz épített tesztkörnyezetet mutatja be.
Első támadási formaként egy Man-in-the-Middle támadást teszteltek, majd áttértek magának a 104-es protokoll hibáinak a kihasználására, amihez építettek egy kis méretű, szimulált villamosenergia-rendszert, alállomásokkal. Az alábbi négy, 104-es protokoll elleni támadási módot tesztelték:
- Illetéktelen hozzáférés: kézenfekvőnek tűnt, hiszen számos más ICS protokollhoz hasonlóan a 104-es protokoll sem biztosít authentikációt a kommunikáció során;
- Az APCI szekvencia-szám módosítása: ha a 104-es protokoll egy nem várt szekvencia-számot lát az APCI mezőben a felépült kapcsolat megszakadásához vezet;
- TCP adatfolyam mérgezése: A 104-es protokollt használó szerver-kliens kapcsolatok egyetlen TCP adatfolyamban történnek, amit folyamatosan életben tartanak a kommunikáló felek. A támadó egy helytelen TCP szekvencia-számmal rendelkező vagy FIN csomagot küld a kommunikációban részt vevő egyik félnek, a kapcsolat megszakad.
- TCP csomag befecskendezés: egy sikeres TCP csomag-befecskendezéses támadáshoz a támadónak képesnek kell lennie a megfelelő szekvencia-számot megadni, mind a TCP, mind az APCI szekvenciák tekintetében. Ha azonban ezt sikerül megoldani, akkor gyakorlatilag bármilyen változtatást képes lehet a támadó végrehajtani a kliens-szerver kommunikációban.
Nem igazán tudok elmenni amellett a tény mellett, hogy magyar kutatók ICS/OT biztonsági témájú publikációjáról egy német kolléga LI-oldaláról kellett tudomást szereznem. Azt hiszem mindaddig, amíg a hazai színtéren az ilyen munkákról nem vagy alig lehet tudni, nem sok esélyünk lesz arra, hogy a magyar kritikus infrastruktúrák folyamatirányító rendszereinek biztonságát érdemben javítani tudjuk.
