Horus Scenario: atak na inwertery ogniw solarnych to ciemność dla całej Europy

Europa jest najważniejszym na świecie rynkiem energiiodnawialnej, szczególnie energii pochodzącej z ogniwfotowoltaicznych. W 2016 roku łączna moc z paneli solarnychprzekraczała 90 GW. Znaczna część tej niewątpliwie kluczowejinfrastruktury okazuje się być podatna na cyberatak, który możedoprowadzić do prawdziwej katastrofy w całej sieci energetycznejStarego Kontynentu. Tymczasem odpowiedzialna za ten stan rzeczy firmarobi dobrą minę do złej gry, próbując strywializować odkryteprzez holenderskiego badacza Wilema Westerhofa zagrożenie.

Inwertery fotowoltaiczne stanowią kluczowy element systemówsolarnych. Przetwarzają one prąd stały na prąd zmienny, cokonieczne jest by podłączyć je do publicznej sieci energetycznej.Większość nowych modeli zawiera moduły do inteligentnegozarządzania energią, monitorujące jej produkcję i zużycie.Jednym z najważniejszych graczy na tym rynku jest niemiecka firmaSMA. Tysiące jej inteligentnych inwerterów, podłączonych nietylko do sieci energetycznej, ale też Internetu, odpowiada dziś zagenerowanie około 17 GW.

Warto podkreślić, że SMA to topowa marka, której samochodowymodpowiednikiem mógłby być Mercedes czy Audi. Te wszystkie systemypowinny oczywiście spełniać normy (cyber)bezpieczeństwa, opisanew normach IEC62443, IEC 62351 & ISO/IEC 27000. Powinny, ale czymają? Wilem Westerhof, holenderski ekspert z firmy ITsec SecurityServices, przyjrzał się bliżej tym inwerterom. Rezultat wyglądatragicznie: w zależności od tego jak to liczyć, od 17 do 21 luk wfirmware, związanych nie tylko z możliwością nieuprawnionegodostępu do informacji, ale też zdalnego dostępu i uruchomieniawłasnego kodu.

14 tych błędów otrzymało własne numery CVE (CommonVulnerabilities and Exposures), od CVE-2017-9851 do CVE-2017-9864. Zich pomocą można przejąć urządzenia i co za tym idzie,kontrolować przepływ energii. Tyle że przejęcie takichpodłączonych do Internetu inwerterów ma znacznie gorszekonsekwencje, niż tylko odcięcie komuś zasilania. Zapoznajcie sięze scenariuszem Horusa.

Sieć energetyczna musi pozostawać w stałej równowadze podażyi popytu na energię. Zarówno nadmierna podaż jak i nadmierny popytmogą skończyć się wyłączeniem. Stabilność sieci zapewnia sięza pomocą przeróżnych środków zaradczych – ważną rolę wśródnich odgrywają reguły importu i eksportu energii między państwami.Zawarte w tym celu umowy pozwalają zwykle uniknąć kryzysu, chybaże zmiana będzie zbyt duża i zbyt gwałtowna.

W 2006 roku ponad 10 milionów ludzi w Niemczech, Francji, ale teżAustrii, Belgii, Chorwacji, Włoszech, Hiszpanii, a nawet Marokupozostało bez prądu, kiedy to należąca do firmy E.On liniawysokiego napięcia przebiegająca nad rzeką Ems wpółnocno-zachodnich Niemczech została wyłączona, aby umożliwićprzepłynięcie statku. W efekcie nagle zabrakło w europejskimsystemie energetycznym 5 gigawatów energii. W ciągu kilku minutParyż i Madryt, a także mniejsze miasta, stanęły w ciemnościach.

Taki właśnie scenariusz, ale na większą skalę, przedstawiaWesterhof na uruchomionej właśnie stronie horusscenario.com.Atak na inwertery SMA w europejskiej sieci energetycznej pozwala dziśprzejąć kontrolę na ponad trzykrotnie większą ilością energiiniż w 2006 roku. Taki cyberatak, według analiz badacza, na pewnozałamie niemiecką sieć energetyczną, w której dziś 35-50%energii (podczas najbardziej słonecznych dni) pochodzi z instalacjifotowoltaicznych. Nikt nie jest w stanie na taki obrót spraw sięprzygotować. W efekcie możemy w wyniku ataku spodziewać się conajmniej 3-godzinnej awarii sieci energetycznej w całej Europie, apoźniej wielodniowych przerw w dostawach energii, zanim cały systemznów się ustabilizuje. Koszty? Co najmniej 4,5 miliarda euro.

Westerhof nie był złym człowiekiem i nie sprowadził na Europękatastrofy. Zamiast tego przedstawił swoje odkrycia producentowi wgrudniu 2016, a następnie specjalistom od energetyki w styczniu 2017roku. Sześć miesięcy później, gdy minął już każdy rozsądnytermin upublicznienia podatności, niemiecki producent wciążpraktycznie nic nie zrobił.

Firma zaprzeczyła, jakoby jej inwertery nie były poprawniezabezpieczone, na pytania dziennikarzy holenderskiej gazetyVolkskrant powiedziano jedynie, że podatności dotyczą jedynienielicznych modeli i trwają prace nad ich zabezpieczeniem. Poza tymsprawą nikt nie chce się zająć: urzędnicy z ministerstwenergetyki stwierdzili, że to sektor energetyczny powinien rozwiązaćproblem we własnych zakresie, oni mogą jedynie doradzać ikonsultować. Regulatorzy sieci energetycznych stwierdzili, że toproducenci są odpowiedzialni za budowanie bezpiecznych urządzeń.Producenci stwierdzili, że to użytkownicy są odpowiedzialni zaużywanie sprzętu w całkowicie bezpiecznym środowisku. Użytkownicyogłosili zaś, że nie są ekspertami od cyberbezpieczeństwa iuważają, że kupiony sprzęt powinien być domyślnie bezpieczny.

Ujawnienie scenariusza Horusa, do którego doszło na otwarcierozpoczynającej się właśnie hakerskiej konferencji SHA2017, pókico nie daje blackhatom wszystkich informacji, które potrzebowalibydo przeprowadzenia ataku na europejską sieć energetyczną. Narazie. W przyszłości może dojść do pełnego ujawnienia, awówczas może być ciężko.

Westerhof podkreśla, że ani on, ani pomagający mu koledzy zITsec, za swoje odkrycia nie dostali od producenta inwerterów anigrosza, choć na czarnym rynku mogliby wziąć za nie miliony.Dlatego wzywają wszystkich, którzy uważają, że sprawa powinnaznaleźć rozwiązanie, o wysłanie im jakiegoś prezentu przezPayPala. Więcej informacji znajdziecie na stroniehorusscenario.com/.