Kibernetiniai jūsų automobilio, namų įrangos ir širdies stimuliatoriaus „žudikai“

2008 metais JAV Medicininių įtaisų saugumo centro tyrėjai pademonstravo, kaip nuotoliniu būdu galima perimti implantuojamo širdies stimuliatoriaus valdymą, jį išjungti arba paleisti mirtiną elektros srovės impulsą. Taigi, skelbiamas daiktų internetas jau dabar gali tapti žudiku, ir pamėgink tokį „idealų nusikaltimą“ išaiškinti.

Abiem atvejais tyrėjai pasinaudojo šių įtaisų radijo ryšiu, kuris skirtas gydytojams per atstumą reguliuoti jų veikimą. Beje, šių įtaisų gamintojai saugumu susirūpino tik po demonstracijų. Laimei, iki šiol nėra užfiksuota nė vienos panašios realios atakos, tačiau kas gali paneigti, kad tokių jau yra pražiopsota?

2020 metais pasaulyje bus 50 milijardų interneto protokolu bendraujančių įtaisų (pernai buvo tik milijardas). „Ericsson“ kompanijos teigimu, didžioji jų dalis bus integruotosios sistemos: nuo išmaniųjų televizorių, automobilių, skaitiklių, daviklių, valdiklių, iki sveikatos būklės jutiklių, širdies stimuliatorių, insulino pompų, elektros, komunalinių tinklų įtaisų.

Internetu jau dabar galima valdyti namų šildymą, signalizaciją, stebėjimo kameras. Medicininiai įtaisai stebi sveikatą ir praneša gydytojams apie organizmo būklės pokyčius. Netrukus automobiliai vienas kitam praneš apie eismo sąlygas, elektros ir komunaliniai tinklai įspės apie gresiančius gedimus. Atrodo – technomano rojus. Geras ir efektyvus verslas kompanijoms ir labai patogus, sveikesnis, net saugesnis gyvenimas eiliniam žmogui. Jeigu ne tamsioji pusė – iš skaitmeninio dangaus į realų pasaulį persikelsiančios kibernetinio pasaulio grėsmės.

Skirtingai, nei programišių atakos prieš interneto portalus, kai kurios blogai apsaugotos integruotosios sistemos, sukurtos patogumui ir saugumui, piktadarių rankose gali pridaryti labai realios žalos, kelti grėsmę sveikatai ir gyvybei. Tam jau net terminas sukurtas – kiberfizinė grėsmė.

„Pastaraisiais metais atsiranda vis daugiau įvairios įrangos, kuri gali būti valdoma nuotoliniu būdu. Tačiau diegiant prieigos prie jos dažnai galimybes tinkamai nepasirūpinama saugumu“, – teigia informacinių sistemų saugumu užsiimančios bendrovės „Santa Monica Networks“ saugos ekspertas Arvydas Žvirblis.

Anksčiau buvo juokaujama, kad jeigu automobiliai veiktų taip, kaip veikia „Windows“, tai jie sustotų ir užgestų kelis kartus per dieną be akivaizdžios priežasties. Šiuolaikiniame automobilyje yra 30-50 elektroninių valdymo sistemų, o prabangiame jų yra dar daugiau. Sistemos, kuriose darbą atlieka programinė įranga, valdo oro pagalvių išsiskleidimą, durų užraktus, sėdynių reguliavimą, užvedimo, akceleratoriaus mechanizmus, degalų padavimą, stabilumo bei stabdžių sistemas. Integruota GPS navigacija, kompiuterizuotos pramogų sistemos, „Bluetooth“ komunikacijos įranga jau nebestebina.

Nauji automobiliai gali būti atrakinami ar net užvedami mobiliuoju telefonu ar internetu. Tuo jau naudojasi 10 proc. Didžiosios Britanijos gyventojų, o iki 2015 metų norėtų naudoti 54 procentų. Eksperimentuojama ir su išmaniaisiais automobiliais - jie galėtų bendrauti su keliuose ir kituose automobiliuose esančiais davikliais ar net važiuoti be vairuotojo. Tačiau ne šventieji programas kuria, tad klaidos jose praktiškai neišvengiamos.

Tyrimų bendrovė „Frost and Sullivan“ prognozuoja, kad programinių eilučių skaičius automobilio įrangoje išaugs nuo dabartinių 10 mln. iki 300 mln. per dešimtmetį. Vis dėlto nuolat dėl klaidų pašiepiama „Microsoft“ komercines „Windows“ versijas nugludina taip, kad jose kiekvienam tūkstančiui programinių eilučių tenka 0,5 klaidos. NASA programinė įranga yra dar švaresnė – čia klaidų koeficientas siekia 0,1 klaidos tūkstančiui eilučių.

Jeigu automobilių gamintojai turėtų tokius programuotojus, kaip „Microsoft“, ir tendencijos nesikeis, ateities automobiliai į kelią išvažiuos su 150 tūkst. programinių klaidų. Programinių klaidų rezultatai į viešumą išlenda ir šiandien – vis tenka išgirsti apie „užsikirtusius“ akceleratorius, neveikiančius stabdžius. Klaidos yra ir potencialios spragos, kuriomis naudojasi kibernetiniai įsilaužėliai. Bėda, kaip teigia A. Žvirblis, kai programas su tinklo sąsajomis imasi kurti programuotojai, neturintys patirties šioje srityje. „Jie nežino, su kokiomis problemomis yra susiduriama ir ką reikėtų daryti, kad būtų išvengta“, – aiškina jis.

Neseniai Kalifornijos ir Vašingtono universitetų tyrėjai pakartojo ankstesnį sėkmingą bandymą prieiti prie kritinių automobilio elektroninių sistemų naudojant savo sukurtą programą „CarShark“, tik šįkart tai padarė be laidų – per „Bluetooth“ ryšį. O juk bevieliu ryšiu besinaudojančių išmaniųjų komponentų automobiliuose laukiama vis daugiau.

„Realaus pasaulio pažeidžiamumą didina išmanioji buitinė technika. Aprūpinta tinklo sąsajomis ji vis labiau panašėja į kompiuterius“, – 2011 m. paskelbtoje išmaniosios buitinės technikos saugumo studijoje teigia Japonijos Informacinių technologijų skatinimo agentūra.

„Tos pačios programinės technologijos gali veikti televizoriuje, mobiliajame telefone, kompiuteryje, spausdintuve, automobilio pramogų sistemoje, – sako A. Žvirblis. – Teoriškai svarstant, tas pats kibernetinis parazitas galėtų patekti į namų tinklą, tarkime, per televizorių naršant internetą, užkrėsti kompiuterį, vėliau persikelti į mobilųjį telefoną, o iš šio – į automobilį. Daugiaplatforminių virusų grėsmė pabrėžiama jau senokai.“

Be to, buitinė, pramoninė įranga, automobiliai yra naudojami ilgiau nei kompiuteriai. Tuo tarpu kompiuterinių sistemų saugumo spragų kamšymas, sistemos lopymas trunka gana ribotą laiką. „Microsoft“ išleistų operacinių sistemų saugumu žada rūpintis 10 metų nuo jų išleidimo datos, nors vidutinis kompiuterių gyvavimo ciklas – 3-4 metai. Kartu su kompiuteriu neretai keičiama ir operacinė sistema.

Automobiliai, buitinė technika, išskyrus galbūt dabartinius televizorius, naudojami mažiausiai 10 metų. Vadinasi, saugumo palaikymas irgi turėtų būti atitinkamos trukmės. Tai, anot Japonijos IT skatinimo agentūros, yra iššūkis.

Kibernetinės atakos jau yra labai realus pavojus kritinei infrastruktūrai – elektros, vandens, nuotekų, šilumos tiekimo tinklams. Kompiuterinės SCADA sistemos, valdančios pramoninius prietaisus, buvo projektuojamos kaip uždaros, neprijungtos prie bendrųjų tinklų, o kartu ir nepritaikytos šiuolaikinio saugumo iššūkiams. Ilgainiui, siekiant sutaupyti, jose gamintojai ėmė naudoti vis daugiau standartinių technologijų – įrangos, operacinių sistemų, kurios, iš esmės, yra tokios pačios, kurias naudoja namų, verslo vartotojai. Net ir kariškiai savo reikaluose naudoja įtaisus, įsigytus, kaip sakoma, nuo parduotuvės lentynos.

Tačiau kartu su efektyvumu atėjo ir standartiniai pavojai – blokuojančiosios atakos (DDoS), kompiuteriniai virusai. Tai pripažįsta ir JAV Energetikos departamentas, taip teigia ir apklausose dalyvavę įvairių šalių komunalinių, energetikos įmonių atstovai.

JAV Aidaho Nacionalinės laboratorijos tyrėjai 2007 metais pademonstravo, jog jie nuotoliniu būdu gali įsibrauti į elektros generatoriaus valdymo sistemą ir išreguliuoti jo veikimą. Internete esančiame vaizdo įraše matyti, kaip generatorius ima drebėti, rūkti ir galų gale sustoja. Klaida, kuri leido tyrėjams prisijungti prie valdymo, tąsyk buvo tyliai ištaisyta.

„McAfee“ 2010 ir 2011 metais atliko kritinės infrastruktūros studijas, apklausdama kelis šimtus vadovų iš elektros tiekimo įmonių 14 šalių. Jeigu 2010 metais apie pusė respondentų atsakė, kad jie niekada nesusidūrė su didelio masto DDoS atakomis ar įsibrovimais į tinklus, tai 2011 metais statistika labai pasikeitė. 80 proc. apklaustų vadovų teigė, jog jų įmonės patyrė blokuojančias atakas, o 85 proc. – įsibrovimus į tinklus. Negana to, daugiau negu 40 proc. vadovų prognozuoja, kad per 12 mėnesių sulauks didelės kibernetinės atakos, kuri sutrikdys paslaugų teikimą mažiausiai 24 valandoms, sužlugdys kompaniją arba dėl jos bus sužaloti, žus žmonės.

Tai, kad kibernetiniai pavojai yra realūs, pademonstravo ir 2010 metais pasklidęs „Stuxnet“ kompiuterinis kirminas, nusitaikęs į SCADA sistemas ir gadinantis įrangą.

Anot A. Žvirblio, virusai ir įsibrovėliai geba veikti nepastebimai. „Kadangi operatoriai įrangos veikimą stebi per tas pačias sistemas, kurias valdo piktadariškos rankos, informacija ekranuose rodoma klaidinga ir inžinieriai mano, jog įranga veikia įprastai. Slapta veikiantys virusai kompiuterių pasaulyje žinomi jau 20 metų“, – teigia jis.

Jau projektuojami išmanieji elektros tinklai, kuriuose bus daugiau „protingų“ daviklių ir valdiklių, galinčių nuotoliniu būdu stebėti vartojimą ir dinamiškai, priklausomai nuo elektros paklausos, kainos, reguliuoti elektros tiekimą gyventojams ar net atskiriems įrenginiams jų namuose.

„Jeigu tokiuose tinkle nebus tinkamai pasirūpinta IT saugumu, tai būtų gardus kąsnelis piktadariams, kurie galėtų išpūsti sąskaitas už elektrą, išjungti įrenginius ar juos sugadinti“, – teigia „Santa Monica Networks“ saugos ekspertas. Jo nuogąstavimus patvirtina „McAfee“ studija, kurioje teigiama, jog daugiau nei pusė elektros skirstymo įmonių ketina internetą prijungti savo vartotojams.

Tuo tarpu saugumas nėra išmaniųjų tinklų architektų prioritetas. „90-95 proc.i žmonių, dirbančių prie išmaniųjų tinklų, nesirūpina saugumu ir mato tai kaip paskutinę sąrašo eilutę, kurią reikia pažymėti varnele“, – sako buvęs CŽV vadovas, prieš keletą metų vadovavęs grupei, rengusiai ataskaitą apie elektros tinklų pažeidžiamumą, Jimas Woolsey. Ekspertai pažymi, jog net ir dabar dažnai naudojami gamintojų nustatyti standartiniai slaptažodžiai, kad gedimo atveju būtų galima lengviau prieiti prie sistemų.

Viename JAV mieste savivaldybės pasamdytas ekspertas aptiko kelis miesto policijai priklausančius IP adresus, per kuriuos jam pavyko prisijungti prie „Linux“ sistemą naudojančio įtaiso, įmontuoto policijos automobiliuose. Naudodamas įprastas komandas jis prisijungė prie skaitmeninio vaizdo įrašymo įrenginio ir galėjo disponuoti jame esančiais policijos automobilio kamerų darytais įrašais, matyti tiesiogines transliacijas.

„Visada galima sakyti, kad vien saugumo spragų nepakanka, turi būti motyvas jas išnaudoti. Šiuo atveju, sakyčiau, kad motyvų yra bent du – kibernetinis chuliganizmas arba karas bei pinigai, – teigia A. Žvirblis. – Panašius reiškinius jau matome kompiuterių pasaulyje – blokuojančiomis atakomis prieš portalus yra siekiama šantažuoti, o tokie programišiai, kaip „Anonymous“ grupuotė, įsivaizduoja kariaujanti šventąjį kiberkarą.“

Virusas „Sutxnet“ - tai pavyzdys, kaip ateity galėtų atrodyti kibernetinis sabotažo ginklas. Jokios akivaizdžios kriminalinės naudos neteikiantis sudėtingas kirminas sklido įvairiais būdais – per USB, tinklus, SQL duomenis, panaudodamas įvairias spragas, kad užkrėstų „Microsoft Windows“ kompiuterius.

Jo taikinys buvo tam tikra SCADA sistema ir specifinė įranga, kurią aptikęs „Stuxnet“ turėtų paleisti savo kibernetinius „nuodus“ – kodą, tam tikrus valdiklius verčiantį veikti padrikai, ir tuo pačiu metu operatoriams rodyti, kad sistema veikia normaliai. Saugumo ekspertai jį laiko vyriausybių, o ne pogrindinių organizacijų kūriniu.

Manoma, kad jo tikslas buvo sugadinti Irano Natanzo urano sodrinimo įrenginius, tačiau „Stuxnet“ paplito visame pasaulyje – 46 proc. „McAfee“ apklaustų elektros sektoriaus įmonių rado šį kirminą savo sistemoje. Ir jis ne vienintelis – 2011 metų rudenį tyrėjai aptiko dar pavojingesnį „Duqu“ kirminą. Jis ieško ir kaupia informaciją, kuria pasinaudojus būtų galima organizuoti atakas prieš pramonines valdymo sistemas. O paskutinis aptiktas - „Flame“, be viso to, per atstumą keičia kompiuterių nustatymus, gali įjungti vaizdo ir garso įrašymo sistemas.

Ketvirtadalis „McAfee“ apklaustųjų elektros sektoriaus vadovų prisipažino, kad tapo šantažo, naudojant arba grasinant tinklo atakomis, aukomis. Be to, beveik du trečdaliai sakė, kad jie bent kartą per mėnesį aptinka virusus, sukurtus sabotažo tikslu. „SANS Institute“ direktorius Allanas Palmeris teigia, jog šantažo būdu buvo išgauti šimtai milijonų dolerių iš įvairių kompanijų.

Kibernetinio saugumo ekspertai kelia prielaidas, kad kai kurie elektros dingimo atvejai keliose šalyse, pavyzdžiui, Brazilijoje, yra susiję su kibernetiniu piktnaudžiavimu, šantažu. Oficialūs pareigūnai tai, žinoma, neigia.

„Atvėrę kelius į vartotojų naudojamus įrenginius programišiai galėtų šantažuoti eilinius žmones, kurių galimybės apsisaugoti yra didesnės, nei didelių kompanijų su IT departamentais, – aiškino „Santa Monica Networks“ ekspertas A. Žvirblis. – Todėl gamintojai turi būti atsakingesni ir skirti daugiau dėmesio, laiko ir pinigų savo gaminių IT, ryšių saugumui, kartu ir patogumui užtikrinti.“

Vienas esminių dalykų, kurį pabrėžia „Forrester Research“ savo tyrime, saugumas turi būti prigimtinė, neatsiejama, o ne pridėtinė gaminių architektūros dalis. Ji turi būti paprasta, tenkinanti vartotojų reikalavimus ir, daugeliu atvejų, neturėtų būti jokios sąsajos, per kurią vartotojai galėtų patys konfigūruoti saugumo nustatymus.

Interneto įsčiomis vadinama DARPA – Gynybos pažangiųjų tyrimų projektų agentūra, pripažinusi, kad kibernetinės grėsmės įtinklintame pasaulyje kelia pavojų fiziniam saugumui, pradėjo Aukštų garantijų kibernetinių karinių sistemų (HACMS) programą, siekdama sukurti technologijas, suteikiančias reikalingą funkcionalumą ir turinčias tinkamas saugumo charakteristikas.

Iš šios programos tikimasi kūrinių, kurie neapsiribos tik karinėmis sistemomis, įranga, bet bus naudojamos ir civilinėms reikmėms.