Хакеры взломали систему водоснабжения во Флориде, повысив концентрацию щелочи в сотню разиков

Аватар пользователя alexsword

Одна из проблем автоматизации процессов управления в том, что чем более критичные процессы доверяются программам, тем более привлекательными мишенями они становятся для террористов. Представьте, например, модные автопилоты на автомобилях, получившие взломанный патч, которые сообщит им, что в час Х им надлежит разогнаться до максимальной скорости и направиться в скопление людей.  Лобовое столкновение поездов, системы управления сложными инфраструктурными объектами и т.д. 

Хакерские изыскания в этом направлении идут:

Городок Олдсмар (Флорида) сообщает об успешном взломе системы управления водоснабжением, в результате которого хакер получил полный доступ и смог повысить концентрацию щелочи в воде с 100 единиц на миллион до 11100 единиц (то есть, более чем в сотню раз).

Сообщается, что система управления водоснабжением была установлена достаточно новая (8 летней давности), своевременно получала все обновления и патчи, то есть проблема не в том, что работает нечто древнее с кучей уязвимостей.

В данном случае взлом не создал опасности для людей (вода из резервуаров поступает к конечным потребителям с приличной задержкой), но все впереди.

Авторство: 
Авторская работа / переводика
Комментарий редакции раздела хакеры

Не иначе - русские хакерытм.

Комментарии

Аватар пользователя ВладиславЛ
ВладиславЛ(5 лет 5 месяцев)

О чём предупреждал с 2007 года, на электронике уязвимости систем жизнеобеспечения городов.

В подобном случае спасла одна из двух пенсионеров-вахтерш не поленившаяся в мороз ночью пойти и проверить  показания прибора.

 

А есть ещё структурные удары и просто сложность системы когда валиться многократно пропатченное и пофиксенное электроникой начинает. от 737-MAX до систем водоподготовки и энергоснабжения.

В США или умерли или им по 85+лет НАСТОЯЩИМ спецам по сложным системам.

Комментарий администрации:  
***отключен (антигосударственная пропаганда, систематические набросы) ***
Аватар пользователя Дмитрий Донбас

А зачем вообще внутренней системе управления связь с внешним миром? Достаточно передачи телеметрии, всё.

Аватар пользователя просто пользователь

А как же еженочьнные обновления? Если их не делать, то как ТНК смогут контролировать мир?

Спрашивается почему ОС постоянно обновляются?

Ответ для лохов - устраняются проблемы в безопасности.

Естественно возникает вопрос: а сколько лет нужно, чтобы в ОС устранить все проблемы?

Ответ - бесконечно много, потому, что устранив ставшую достоянием общественности дыру, тут же создают новую.

Аватар пользователя Igmaar
Igmaar(4 года 7 месяцев)

Устранять дыру через дыру ? 

Аватар пользователя просто пользователь

Закрывают уязвимость, чтоб ею не пользовались те, кому это не положено.

Аватар пользователя Igmaar
Igmaar(4 года 7 месяцев)

Это как если бы мне, например, продали квартиру с условием, что ключ от входной двери останется у управляющей компании. Якобы для моей же безопасности. Это как бы для того, что бы они смогли контролировать работу систем жизнеобеспечения квартиры и замков входной двери. А в случае, когда они посчитают необходимым, мне заменят любую систему или замок на более "современную". За мой счёт естественно.

Аватар пользователя Jeniver
Jeniver(7 лет 11 месяцев)

Практически весь запад так живет. Лет 50 так точно...

Аватар пользователя ВладиславЛ
ВладиславЛ(5 лет 5 месяцев)

Физически, чем сложнее система, тем больше дыр для профессионала.

Комментарий администрации:  
***отключен (антигосударственная пропаганда, систематические набросы) ***
Аватар пользователя ВладиславЛ
ВладиславЛ(5 лет 5 месяцев)

Именно так.

Комментарий администрации:  
***отключен (антигосударственная пропаганда, систематические набросы) ***
Аватар пользователя AsIsStuff
AsIsStuff(5 лет 2 недели)

У ту только через опторазвязку передавать;)

Аватар пользователя ВладиславЛ
ВладиславЛ(5 лет 5 месяцев)

1. ВЧ навязывание.

2. Манагеры экономят на безопасности и надёжности, вместо скажем десяти всего один-два оператора где-то на центральном посту.

Комментарий администрации:  
***отключен (антигосударственная пропаганда, систематические набросы) ***
Аватар пользователя Podvoh
Podvoh(8 лет 8 месяцев)

Уязвимость все более сложной системы повышается в любом случае. В ручном или автоматическом исполнении контроля - я бы поспорил. Попробуйте посадить вахтерш на все датчики и получите полный коллапс за день. Кроме того существуют процессы в которых скорость реакции человека просто недостаточна. Для этого создавалась наука мехатроника.

Вопрос грамотного проектирования и исполнения.

 

Аватар пользователя игорёк
игорёк(5 лет 1 месяц)

Всё ближе подходит время, когда "даже один человек ( если он того захочет) - сможет уничтожить весь мир", как это было сказано в каком-то древнем тексте....

Аватар пользователя ВладиславЛ
ВладиславЛ(5 лет 5 месяцев)

Наиболее надёжна автоматика +люди с высокой ответственностью. и хорошо знающие максимальные параметры оборудования. Автоматика с обновлениями как и с доступом  лиц на объекте - еретические концепции.

Комментарий администрации:  
***отключен (антигосударственная пропаганда, систематические набросы) ***
Аватар пользователя Podvoh
Podvoh(8 лет 8 месяцев)

 в противоречие обычно входит не выбор ручное-автоматическое управление, в противоречие входит прибыль-безопасность.

С целью снижения зависимости от наличия квалифицированного персонала на каждом объекте (что очень дорого и иногда даже невозможно) делается удаленный доступ. Это существенно снижает затраты.

Но любой удаленный доступ это резкое снижение безопасности.

Вот эти качели сейчас и раскачиваются.

Аватар пользователя sapphir1970
sapphir1970(12 лет 2 месяца)

Любая система управления действует в интересах реальной, а не публичной власти. А реальная власть у нелюдей. Пока люди не начнут различать в своем обществе нелюдей и не уберут их из управления обществом, ничего не изменится.

Комментарий администрации:  
*** Отключен (систематические манипуляции и набросы) ***
Аватар пользователя Podvoh
Podvoh(8 лет 8 месяцев)

Для 70г.р. у вас глубокое понимание ситуации!

Пока люди не начнут различать в своем обществе нелюдей и не уберут их из управления обществом, ничего не изменится.

Может и детали поясните, например:

1. Кто именно эти "люди" которые уберут "не людей"?

2. По какому именно критерию первые отличаются от вторых?

Нацисты вроде пробовали разделить и "убрать", не получилось. Или нелюди это те что во власти, а люди, это те что ЕЩЕ не смогли попасть во власть?, (читай -  еше не успели стать нелюдями). Очень интересно получить развернутый ответ.

Аватар пользователя Кусан
Кусан(4 года 5 дней)

По психическим расстройствам например. Врядли их кто-то проверяет, даже когда они очевидны. Байден, Хиллари. А есть ещё скрытые.

Аватар пользователя sapphir1970
sapphir1970(12 лет 2 месяца)

На эту тему написана серия статей и ещё несколько в планах. В двух словах так: все люди делятся на людей душевных (существом управляет Душа), людей одержимых (Душа потеряла управление телом в пользу посторонней силы) и биороботов.

Механизм душевности.

Психология против государственности.

Учимся разбираться в людях.

Механизм гнета или как управляют Человечеством.

Картина мира у биороботов.

Государственная одержимость России.

 

Комментарий администрации:  
*** Отключен (систематические манипуляции и набросы) ***
Аватар пользователя gruzzy
gruzzy(9 лет 9 месяцев)

Точно хакеры? Или так теперь можно прикрыть халатность? Очень похоже, что жертвы образования попутали показатели ppm, там действительно можно лохануться если опыта нет

Аватар пользователя NOT
NOT(12 лет 3 месяца)

Да запросто может быть. Залез такой иуный кулхацкер, доступ получил. А как там техпроцесс устроен, он и не знает. Вот и «покрутил» первый попавшийся краник. Например, дозирующую станцию. Ну, станция сколько смогла, столько и добавила.

В общем, такое вполне может быть.

Другое дело, что это может быть совсем не юный балбес. И взломана может быть вовсе не станция водоочистки.

Аватар пользователя gruzzy
gruzzy(9 лет 9 месяцев)

Не, я подумал, что юный сотрудник станции напутал с терминами, не кулхацкер.

Аватар пользователя NOT
NOT(12 лет 3 месяца)

Да не, там обычно всё автоматизировано до упора и практически никто никуда не лезет. И незачем и, часто, у дежурных смен просто и возможности нет. Всё в контроллеры зашито, короче.

Аватар пользователя Дубровский
Дубровский(10 лет 4 недели)

точно так. я управляю IT большого современного завода. операторам недоступны контроллеры как таковые - только экраны управления. случайно или намеренно могли изменить значение тэгов или местные автоматчики\IT-шники или хакеры. Большая часть моей работы заключается в выполнении мероприятий по достижению заданного уровня безопасности, особенно для систем IoT - всякие умные системы активно пихаемые в производство. Из за скорости и энергии с которой их пихают могут возникать такие уязвимости. P.S в эту минуту как раз настраиваю порт сниффер на свичах как часть корпоративных мероприятий по IT безопасности. 

Аватар пользователя И-23
И-23(8 лет 6 месяцев)

Что меня в таких системах умиляет, так это покладание болта на настройку оконечных устройств (та самая отрыжка «удобства»).

Аватар пользователя NOT
NOT(12 лет 3 месяца)

Ага, вот. Спасибо!

Вы-то управляете, а я всё-таки «мимо прохожу».

Аватар пользователя И-23
И-23(8 лет 6 месяцев)

А уж, извиняюсь за выражение, *как* реализовано включение фрюниксов в такую востребованную ересь, как «домен» (в смысле совместимости действа с хоть как-то претендующей на безопасность настройкой ОС…)…

Про прописываемые в нормативных документах требования установки вредоносного ПО (в пакете с функциональностью оного, до совместимости с традиционными технологиями включительно и *ответственности* авторов) скромно промолчу.

Аватар пользователя NOT
NOT(12 лет 3 месяца)

Не имел с этим дела, увы к счастью.

Но очень давно и очень точно знаю, что установка чего бы то ни было от Microsoft Corp.©®™ есть сделка с Диаволом.

А апофеозо оного — ихняя Еула. За одно принятие коего отвлиц надо сразу расстреливать из атомных мультуков.

Аватар пользователя И-23
И-23(8 лет 6 месяцев)

Обычный набор отмазок в линии третьей этической…

ЗЫ: И, кстати, на второй пятилетке санкций со импортозамещением заметных подвижек в направлении отвязки от поделий мелкосовта не наблюдаю ☹

Аватар пользователя NOT
NOT(12 лет 3 месяца)

1. Ну вы пока не доказали, что метод с Третьей этической корректен в применении…

2. Увы. И, скорее, наоборот.

Аватар пользователя Дубровский
Дубровский(10 лет 4 недели)

все на винде и все глючит. так и живем. более того, автоматчики поначалу скромничали и не использовали Ethernet ( ибо не детерминистический протокол ) - делали через device net и control net. а теперь понесли ботинки Витю - все лепят через Ethernet. зовут это Industrial и радуются. никаких подтверждений принятия сигнала на уровне контроллеров не делают. всех, кто на это укажет считают ретроградом. время от времени делают круглые глаза - а почему котел сам включился! но ничего уже не остановить.....

Аватар пользователя Fartesq
Fartesq(3 года 4 месяца)

Поддерживаю. Самый страшный "вирус/хакер" - пользователь идиот. 

Аватар пользователя просто пользователь

Как правило, все системы имеют защиту от "дурака". И "дурак" сидит за компом, а управление делает контроллер. В худшем случае система оставит "дурака" без информации о текущем состоянии.

А вот хакер может обойти защиту от дурака и выдать на оборудование команды, которые могут привести к его выходу из строя.

В данном случае приготовили из водопроводной воды минералку, а могли туда разом бухнуть всю имеющуюся в наличии химию. А там много разных реагентов, не только щелочь.

Могли выключить систему биологического обеззараживания воды, как вариант.

Аватар пользователя Fartesq
Fartesq(3 года 4 месяца)

Ник у вас хороший. В тему. 

Ну вот у нас сидит диспетчер, в его обязанности входит например задавать при необходимости пропускную насосов гвс, мощность и режим работы и вентмашин, холодоцентра и прочая. Если он лажанет и вобьет 100% вместо 10 - сработает резервный сброс. А если, вдруг, сброс, скажем, физически закис - будет ущерба на десяток-другой лямов деревянных. 

Или один раз засидется в туалете и переморозить абхм - потом неделю ее восстанавливать, с кучей гемороя и тож недешего (фактически всю разобрать, построить вокруг парник, и в этом парнике поднимать температуру как в печи). 

Такой же гиппотетически идиот, за таким же дезиго может случайно промахнуться и подать команду на открытие дамбы в питере, с затоплением части васильевского острова, тут сумму ущерба даже прикидывать не возьмусь. 

Конечно, на подобные места обычно не берут идиотов, и, как правило есть несколько рубежей обороны, но никто никогда не даст гарантии что профессиональный идиот случайно не обойдет их все. А тут всего то надо два раза 100 вбить в одно поле, достаточно задуматься/отвлечься, вбить не глядя и жмякнуть энтер. 

 

За чем там у вас следят контроллеря - я без понятия. 21ый век на дворе, сто лет как контроллер ничем кроме получения и отправки управляющих сигналов от сервера к оконечке не занят. Уж точно не верификацией валидности установки - это задачи сервера. А на серваке не всегда можно все значения строго обрезатт в пределах допустимых - потому что штатный и тестовый режим могут отличаться. Какч например, при промывке системы. 

Аватар пользователя goto
goto(8 лет 6 месяцев)

= 21ый век на дворе, сто лет как контроллер ничем кроме получения и отправки управляющих сигналов от сервера к оконечке не занят. Уж точно не верификацией валидности установки - это задачи сервера. А на серваке не всегда можно все значения строго обрезатт в пределах допустимых - потому что штатный и тестовый режим могут отличаться. =

смотря как система автоматизации устроена.

Я как-то делал распределенную систему, там контроллер прошивается на тему "минимальное и максимальное возможные значения". Если измеренный параметр выскакивает за пределы, то выдаётся сигнал ошибки. Как этот сигнал обработать: резко остановить процесс, если это опасно, или для информации "обратить внимание" или ещё как - дело алгоритма установки. Но эти флажки можно выставить именно прямо в контроллере.

Правда сейчас все фанатеют к централизованным решениям, и там не контроллеры а просто преобразователи сигнала, и там да, программно решается, какие ограничения выставить.

Комментарий администрации:  
*** отключен (паникерство, слухи) ***
Аватар пользователя Partisan
Partisan(11 лет 11 месяцев)

Клава вздребезгнула... а оператор на экран не смотрел.

Аватар пользователя mse
mse(6 лет 9 месяцев)

Классика жанра: "я уже почти закончила отчот, но тут появился вирус и удалил его!!! (хнык-хнык)"

Аватар пользователя Arioch
Arioch(3 года 6 месяцев)

Оригинал статьи читайте. Никто там ничего не взламывал, почти наверняка. И уж как минимум, не "систему водоснабжения".

>  as the operator could see the mouse moving on the computer screen, opening various software functions that controlled

Наверняка там тупили жёстко простые работяги, ну и сделали им техническую поддержку, что-нибудь типа бесплатного AnyDesk / TeamViewer или даже xxxxxVNC - да может быть сын\дочь одного из работяг и поставили, чтобы папке помочь. И забыли удалить.

А чтобы не теряться - то никакого пароля не ставили, или ставили короткий и без защиты от подбора.

А какой-нибудь школьник просто тупо просеивал сеть, искал открытые всему миру двери - и нашёл, и заглянул внутрь: "а что это у нас тут за такая странная игра, блин, да тут просто SimCity вместе с KerbalSpace, ой какие интересные кнопочки!"

Нормальный хакер бы сделал все так, чтобы "мышка не шелохнулась" и вообще никаких признаков не было. Вспоминайте иранский урановый завод - там вообще узнали, что взломаны, когда центрифуги загорелись. А тут явно какой-то школьник наткнулся на "пещеру Али Бабы" и с горящими глазами начал крутить и нажимать всё подряд.

В общем, реально халатность и "вкладываться в безопасность? и так сойдет, а если что - виновата полиция и хакеры, а не мы".

Когда в реальном времени Скорая Помощь Москвы данные всех выездов выгружала на публичную БД в Германии, потому что "да кто их тут найдёт, да кому они тут интересны" - это тоже был взлом и хакеры?..

Аватар пользователя туман
туман(10 лет 3 недели)

Воду можно и слить, в принципе не сильная беда. А вот получение удалённого доступа к системе телеуправления объектов диспетчиризации энергосистемы в - 30 больным отморозком, вот это БЕДА! 

Аватар пользователя Nordicx86
Nordicx86(12 лет 2 месяца)

Безопасность АСУТП Тренд в ИБ для РФ уже лет 5

Комментарий администрации:  
*** Криптобес ***
Аватар пользователя Аристарх
Аристарх(4 года 2 месяца)

повысить концентрацию щелочи в воде с 100 единиц на миллион до 11100 единиц (то есть, более чем в сотню раз).

 а чем это для человека грозит????

Аватар пользователя pz_true
pz_true(11 лет 8 месяцев)

Изжога пройдет. 

Аватар пользователя maxvlad
maxvlad(12 лет 2 месяца)

Как-то, пока с дозатором одним рядом стоял, опёрся краем ладони на боковину. Кожа приобрела нормальный цвет и фактуру года два спустя. Ещё случилось пройтись по залитому смесью полу цеха в тапках не той системы. Потом очень радовался тому обстоятельству, что в них дырок не было. На тот момент.

Щёлочи - они такие.

Аватар пользователя Omni
Omni(11 лет 7 месяцев)

Пройдёт внутрь.

Аватар пользователя СибВатник
СибВатник(7 лет 6 месяцев)

Ну вот, у Овц теперь полиняет шкурка ...

Кстати,подумалось - а ведь, если что, то удобно многие косяки сваливать на происки неизвестных хакеров

Аватар пользователя Vladyan
Vladyan(8 лет 11 месяцев)

Тоже вот забеспокоился за Овче, не полиняют ли кроссовки

Аватар пользователя PersonaNonGrata
PersonaNonGrata(10 лет 2 недели)

Да прям таки и неизвестных. Кого назначат тот и крайний. А кого в последнее время постоянно обвиняют ? Кто у нас вездесущ и имеет длинные руки ? Отож !!!

Аватар пользователя СибВатник
СибВатник(7 лет 6 месяцев)

А кого в последнее время постоянно обвиняют ?

Ну если совсем в последнее, то Трамп. 

Кстати, Доня сейчас как раз во Флориде ошивается, какие ещё доказательства требуются ? 

Аватар пользователя valeryma
valeryma(9 лет 5 месяцев)

Интересно, а если в систему водоснабжения города ботулинчику плеснуть, успеют службы тему отловить до того, как вода из кранов в квартирах потечёт?

Со щелочью-то ладно, датчики покажут... Да и на вкус заметно будет...

Аватар пользователя NOT
NOT(12 лет 3 месяца)

Это не через хакера. Это уже полноценный теракт с захватом очистных сооружений.

Страницы