Popularne w Polsce moduły radiowe do liczników wody łatwo przeprogramować
Coraz rzadziej polskie mieszkania odwiedzane są przez panów zgazowni, elektrowni, wodociągów czy elektrociepłowni. Służącerozliczaniu zużycia mediów liczniki nabrały „inteligencji”, cow praktyce oznacza, że wskazania ich stanu odczytywane są zdalnie.Inkasent zbliża się po prostu do budynku, pobierając radiowo stanyliczników ze wszystkich lokali, nawet jeśli mieszkańców nie ma wdomu. A jak taka komunikacja wygląda z bliska? Przyjrzał się temujeden z czytelników bloga Niebezpiecznik, przy okazji odkrywającspektakularną podatność w nakładkach amerykańskiej firmy Itron,dość wykorzystywanych dziś w Polsce.
Dociekliwością wykazał się pan Piotr Karwowski, informatyk współpracujący z Zakładem Usług Komunalnych w Orzyszu (woj.warmińsko-mazurskie). Dostał on możliwość przyjrzenia siębliżej rozwiązaniom Itronu, sprzedawanym u nas przez firmę ItronPolska. Chwali się ona m.in. kontraktem na niemal 10 mln złotychz łódzkim Zakładem Wodociągów i Kanalizacji na dostawy 20 tys.wodomierzy i 20 tys. modułów radiowych, działających wdwukierunkowym systemie radiowego odczytu – ale widzieliśmyurządzenia tej firmy też w innych polskich miastach, choćby i wnaszym Wrocławiu.
Badacz przyjrzał się bliżej popularnemu modułowi CybleAnyquest Basic. To jedno z tych urządzeń stosujących dwukierunkowysystem radiowego odczytu. Oznacza to, że moduł taki nie nadaje nonstop, ale odzywa się tylko wtedy, gdy zostanie odpytany przezprzeznaczony do niego terminal radiowy. Moduł zabezpieczony jestprzed próbą ingerencji w jego konstrukcję czy fizycznegodemontażu. Najwyraźniej producent uznał, że jeśli chodzi obezpieczeństwo, to powinno wystarczyć.
Nie wystarcza. Do po ustaleniu częstotliwości pracy do nasłuchukomunikacji radiowej między terminalem a modułem zastosowany zostałzwykły transceiver (nadajnik-odbiornik). To wystaczyło by odkryć,że z modułem może rozmawiać każdy. Nie ma tu jakichkolwiekzabezpieczeń, nawet wymogu podania klucza w module radiowym. Abynawiązać kontakt, należy wysłać dziewięciocyfrowy numernakładki – widoczny dla właściciela lokalu, a dla osóbpostronnych nietrudny do siłowego wygenerowania. Znając ten numer,można dowolnie przeprogramowywać nakładkę na licznik.
Itron Cyble Anyquest Basic vulnerabilities
Jak odkrył Karwowski, wysłanie ramki programującej zajmuje 2,2sekundy, nie trzeba czekać na odpowiedź urządzenia, można więcsiłowo w ciągu minuty zaatakować nawet 27 modułów radiowychwodomierzy – w praktyce mogą to być wszystkie znajdujące się wniedużym budynku mieszkalnym. Przy odpowiednio silnym nadajnikunawet nie trzeba jeździć po osiedlu.
Co jeszcze zabawniejsze, okazuje się, że ktoś w firmie Itronspróbował zabezpieczyć moduły przed przeprogramowaniem. Wpadł napomysł, żeby zapisywać liczbę konfiguracji i odczytów, po każdymkontakcie z terminalem zwiększaną o jeden. Liczba ta przechowywanajest jednak w jednym bajcie, więc wystarczy 256 operacji, by wrócićdo oryginalnego wskazania liczby odczytów. Z testów wynika, że wten sposób bez żadnego problemu można obniżyć stan licznika,tak, że obniżony odczyt zostanie poprawnie zaimportowany dosystemu.
Niebezpiecznik zrobił dobrąrobotę, kontaktując się z kilkunastoma zakładamiwodno-kanalizacyjnymi z pytaniem o stosowanie urządzeń Itron i ichbezpieczeństwo. Odpowiedzi albo nie było, albo były takie sobie.Właściwie tylko w Katowicach i Krakowie wykazano się świadomościąmożliwości takiego ataku i wspomniano o zastosowanych procedurachzabezpieczających. We Wrocławiu powiedziano coś o jakimśdodatkowym rozwiązaniu do urządzeń marki Itron, jednak bezkonkretów. Trzeba jednak pamiętać, że w wielu wypadkach zarozliczenie wody odpowiadają same spółdzielnie czy wspólnotymieszkaniowe, do których dotarcie z problemem będzie bardzo trudne.
Badacz ma już jakiś pomysł na zabezpieczenie stosowanegoprotokołu komunikacji dla urządzeń Itronu, póki co jednakspodziewamy się, że szybciej na rynku pojawi się sprzęt dosamodzielnej modyfikacji takich liczników, możliwe też że jacyśznudzeni ludzie w czarnych kapeluszach zaczną masowo modyfikowaćwskazania tych – i być może innych nakładek na liczniki.Szczęśliwie Zakład Usług Komunalnych w Orzyszu zaoferował jużpomoc wszystkim firmom zainteresowanym bezpieczeństwem wodomierzy.Jeśli ktoś chce z tej pomocy skorzystać, powinien pisać doprezesa zakładu, pana Grzegorza Sobotki(grzegorz.sobotka(małpa)zukorzysz.pl).