ევროპის ათასობით ენერგოობიექტის მართვის სისტემა ინტერნეტში ღიაა

ინფორმაციული უსაფრთხოების კომპანია Modat-მა (Modat) შედეგები სამშაბათს, ჰააგაში გამართულ კონფერენციაზე წარადგინა. მკვლევრებმა ევროპის 8 547 სისტემა აღმოაჩინეს, რომლებიც ინტერნეტიდან ხელმისაწვდომი არ უნდა ყოფილიყო. მათ შორის ადმინისტრატორის ინტერფეისები და მართვის პანელები იყო. ანალიტიკოსებმა ასეთი სისტემები სულ 35 ქვეყანაში იპოვეს.

მკვლევრების განმარტებით, ეს მინიმალური მაჩვენებელია. მათ მხოლოდ ის სისტემები დათვალეს, რომელთა კონკრეტულ მზის ან ქარის ელექტროსადგურთან დაკავშირებაც დანამდვილებით შეძლეს. კიდევ ბევრ სისტემას იგივე მახასიათებლები ჰქონდა, თუმცა მათი ობიექტებთან დაკავშირება ვერ მოხერხდა. ანალიზისას სისტემები დაითვალეს და არა ტურბინები ან მზის პანელები. ზოგი სისტემა რამდენიმე ტურბინას ან მთლიან ქარის ელექტროსადგურს მართავდა.

მკვლევრებმა მზის ელექტროსადგურებში ინტერნეტიდან ხელმისაწვდომი 7 942 სისტემა აღმოაჩინეს. ესპანეთი 2 766 სისტემითა და 35%-იანი წილით პირველ ადგილზე იყო. მას საბერძნეთი, 1 860 სისტემით, იტალია, 753 სისტემით, და გერმანია, 672 სისტემით, მოსდევდნენ. ოთხ ქვეყანაზე სისტემების საერთო რაოდენობის 76% მოდიოდა. ქარის ელექტროსადგურებში მეცნიერებმა 605 ღია სისტემა იპოვეს. გერმანია 212 სისტემით პირველ ადგილზე იყო, ხოლო იტალია 192 სისტემით მეორე ადგილს იკავებდა. ერთად მათზე ქარის ენერგეტიკაში აღმოჩენილი სისტემების 67% მოდიოდა.

ღია ინტერფეისები, მაგალითად, ქარის ტურბინის ვებინტერფეისი, მიმდინარე წარმოების მონაცემებს აჩვენებდა. მათში ობიექტის ჩართვის, გამორთვის ან საწყის მდგომარეობაში დაბრუნების მართვის ელემენტებიც იყო. ინტერფეისი რუკაზე ტურბინის მდებარეობასაც აჩვენებდა, ხოლო შესვლის გვერდებზე შესაბამისი ქარის ელექტროსადგურის სახელი ეწერა. ერთ შემთხვევაში მითითებული იყო, რომ სტანდარტული მომხმარებლის სახელი „root“ იყო.

მომხსენებლებმა შეაჯამეს, რომ ობიექტები ფიზიკურად გამძლე, თუმცა ციფრულად დაუცველია. მათი თქმით, თავდამსხმელებსაც შეუძლიათ რამდენიმე საათში იმავე სისტემების აღრიცხვა. ამიტომ მკვლევრებმა ოპერატორებს რეკომენდაციები მისცეს. უპირველესად, ადმინისტრატორის ვებინტერფეისები ინტერნეტიდან „დაუყოვნებლივ“ უნდა გაითიშოს. ოპერატორებმა უნდა ივარაუდონ, რომ თავდამსხმელები სისტემაში უკვე არიან, და დაგეგმვა და მონიტორინგი შესაბამისად წარმართონ. მათ უსაფრთხო კავშირებიც უნდა გამოიყენონ. ამ და სხვა რჩევებისთვის მკვლევრები ოპერაციული ტექნოლოგიების მართვის გამოქვეყნებულ პრინციპებზე მიუთითებენ. ისინი აღმოჩენილი ობიექტების ოპერატორებს ეროვნული CERT-ების მეშვეობით ატყობინებენ.

Jakkaru-ს (Jakkaru) აღმასრულებელმა დირექტორმა მარლონ შტარკლოფმა აგვისტოში Sungrow-ს (Sungrow) ინვერტორების ღრუბლოვან სისტემაში დაუცველობაც აღმოაჩინა. ადმინისტრატორის ანგარიში სათანადოდ დაცული არ იყო და ფართო წვდომას იძლეოდა, პოტენციურად კომპანიის ყველა ინვერტორზე. შტარკლოფმა აქედან „ელექტროენერგიის მასშტაბური გათიშვის საფრთხე“ დაასკვნა, რადგან თავდამსხმელებს ყველა ობიექტის ერთდროულად გამორთვა შეეძლოთ. თუმცა Sungrow-მ Tagesschau-სთან (Tagesschau) რისკი ასე არ შეაფასა. მწარმოებლის თქმით, ინვერტორების მნიშვნელოვანი პარამეტრებისთვის დამატებითი პაროლის მოთხოვნის გვერდის ავლა შეუძლებელი იყო. გერმანიის ინფორმაციული უსაფრთხოების ფედერალურმა სამსახურმაც (BSI) დამატებითი ზომები საჭიროდ არ მიიჩნია. მომწოდებელმა ხარვეზი სწრაფად, პროგრამული შესწორებით აღმოფხვრა, ხოლო მისი ბოროტად გამოყენების ნიშნები არ გამოვლენილა. ინვერტორების მწარმოებელთა ღრუბლოვანი სისტემები მედიაში ხშირად ხვდება და წარსულშიც არაერთხელ ჰქონია უსაფრთხოების ხარვეზები.