Forensic Investigations / Fi Blog / Weitere Sicherheitslücken in SIEMENS Kontrollsystemen - Vortrag kurzfristig abgesagt


Weitere Sicherheitslücken in SIEMENS Kontrollsystemen - Vortrag kurzfristig abgesagt

Laut englischem Bericht des Wired Magazine wurde ein Vortrag auf der Takedown Sicherheitskonferenz in Dallas vergangenen Mittwoch kurzfristig abgesagt, nachdem das Department of Homeland Security (DHS) und SIEMENS Bedenken angemeldet hätten.

In dem Vortrag "Chain Reactions - Hacking SCADA " von Dillon Beresford von NSS Labs und dem unabhängigen Sicherheitsforscher Brian Meixell sollte über vier neu entdeckte Sicherheitslücken in SIEMENS Kontrollsystemen berichtet werden. Mindestens eine der Lücken soll sich eventuell auch auf Kontrollsysteme anderer Hersteller auswirken.

Dem Bericht zufolge nach geht es -im Unterschied zu den von uns entdeckten Sicherheitslücken - um Sicherheitsprobleme direkt in Speicherprogrammierbaren Steuerungen (SPS) . SIEMENS würde noch an Sicherheitsupdates arbeiten und hätte zwischenzeitlich eine Methode gefunden, die die Ausnutzung der Sicherheitslücke verhindern sollte. Beresford konnte diese Methode nach eigenen Angaben jedoch ohne Weiteres ebenfalls überlisten, irgendwie ein "Déjà Vu" für mich.

NSS Labs hätte betont, das es entgegen der Gerüchteküche auf Twitter keinen juristischen Druck seitens des Department of Homeland Security (DHS) oder SIEMENS gegeben hätte und man die Entscheidung, den Vortrag abzusagen, frei aus eigenen Erwägungen getroffen hätte. Dies ist womöglich eine weise Entscheidung.

Fi Untersuchung: meherere Dutzend SPS frei zugänglich im Netz!

Noch vor kurzem hatte ich bei einer kurzen Websuche mehrere Dutzend Webadministrationsoberflächen von SPS'en frei zugänglich in Netz gefunden. Stichproben ergaben, dass einige Administrationsoberflächen noch nicht einmal durch ein Kennwort gesichert waren – darunter unter anderem mehrere Energieversorger und Unternehmen der Lebensmittelindustrie. Über diese Oberflächen wäre es direkt möglich gewesen, die Steuerungen herunterzufahren oder -schlimmer- manipulierte Firmware einzuspielen. Ein sträflicher Leichtsinn der mich in größtes Erstaunen versetzt hat.

Fazit

Es bleibt abzuwarten, um welche Mängel es sich hier tatsächlich handelt. Womöglich sind dies auch einige, die schon lange Zeit bekannt sind, ohne dass es jemanden zu interessieren scheint. Das mit den frei zugänglichen Administrationsoberflächen ist prinzipiell auch ein Fehler des Herstellers, zumindest einer, den der Hersteller einfach vermeiden könnte. Hersteller, die WLAN-Router für unter 100€ verkaufen, machen vor, wie es gehen könnte ;)

Das Idaho National Laboratory und SIEMENS haben sich bei Ihrer großen Security-Untersuchung 2008 mit Millionenetat und allem erdenklichen Equipment wahrscheinlich nicht gerade mit Ruhm bekleckert. Meines Erachtens nach hat sich selbst fast ein Jahr nach Stuxnet nichts Wesentliches getan. Die von uns entdeckten Sicherheitsprobleme sind unserer Kenntnis nach weiterhin nicht behoben, jedenfalls hat man es nicht für nötig erachtet, eine eventuell vorhandene Lösung mit uns zusammen zu verifizieren.

UPDATE 26.05.2011: Bisher ist lediglich öffentlich bekannt, dass Dillon Beresford die Mängel zumindest in kleineren S7-1200-Steuerungen belegen konnte, die wohl kaum in hochsensitiven Bereichen eingesetzt werden. Es bleibt abzuwarten, ob davon auch größere Systeme betroffen sind, bei denen ein potentiell hoher Schaden entstehen könnte. Offenbar ist man sich seiner Sache aber selbst nicht so sicher, sonst hätte man Beresford wohl nicht dazu bewegen müssen, seinen Vortrag abzusagen.

Unterbleibt eine klare Kommunikation, entstehen Spekulationen und Bedenken. Zudem wurden die Sicherheitsmängel als „durch Außenstehende schwer zu beurteilende“ „unter Laborbedingungen entstandene“ „Unregelmäßigkeiten“ bagatellisiert, die bei „normalen IT-Sicherheitsmaßnahmen kein Risiko darstellen“ und „nicht leicht von jedermann auszunutzen“ seien. Statt dieser äußerst wackeligen Argumentationsweise wäre es womöglich angebrachter gewesen, konstruktiv Risiken, betroffene Systeme und Konfigurationen sowie Möglichkeiten zur Schadensbegrenzung zu nennen und eine Problemlösung anzupacken.

Laut Beresford sei es bei den betroffene(n) Steuerunge(n) möglich

  • sie zu stoppen, sodass lediglich eine Unterbrechung der Stromzufuhr die Steuerung wieder aktivieren kann (DoS )
  • den Speicher auszulesen und zu beschreiben
  • eine Reprogrammierung durchzuführen

UPDATE 15.06.2011: Wie schon gemutmaßt betrifft das Problem S7-1200 Steuerungen (ICS-CERT Security Alert 11-161-01 , SIEMENS Security Advisory 625789 , Updates ). Die S7-1200 ist ohne das Update anfällig für das Abspielen aufgezeichneter Passwortfolgen ("Password-Replay") und kann zudem durch "Denial of Service (DoS)"-Attacken lahm gelegt werden. Das ICS-CERT konnte die Beseitigung der Probleme durch das Update bestätigen.

UPDATE 06.07.2011: Nun meldet das ICS-CERT (ALERT 11-186-01 ), dass die Passwort-Replay-Attacken offenbar doch nicht nur S7-1200er Steuerungen betreffen, sondern auch alle Modelle der S7-200er, S7-300er, und S7-400er Serien. Dies ist dem Hersteller seit 8 Wochen(!) bekannt oder wäre seitdem zumindest in 10 Minuten ermittelbar gewesen. Besonders für die größeren S7-400er hätte ein Update aufgrund der Einsatzbereiche wesentlich höhere Priorität gehabt als für die S7-1200er-Serie, bei der das Problem mittlerweile behoben ist. Hinzu kommt, dass selbst jetzt weder beim SIEMENS CERT noch auf dem Industrial Security-Portal des Herstellers vor dem Problem gewarnt wird. Das ist es, was ich mit unklarer Kommunikation und mangelnder Transparenz meinte.

UPDATE 04.08.2011: Auf der Industrial Security Seite hat SIEMENS mittlerweile einen Hinweis eingefügt, dass auch Modelle der S7-200er, S7-300er und S7-400er Serien mit ähnlichen Problemen zu kämpfen haben wie die S7-1200er Modelle. Updates stehen noch aus.

Durch die Berichterstattung zur laufenden BlackHat-Konferenz ist das Thema von offen im Internet zugänglichen Automatisierungssystemen hochgekocht, das eigentlich nur eine "Randnotiz" dieses Blog-Artikels war. Dies ist natürlich erst einmal eine Fehlkonfiguration seitens des Kunden bzw. Implementierers. Die Hersteller hätten jedoch leicht die Möglichkeit, die Geräte so vorzukonfigurieren, dass selbst eine solche Fehlkonfiguration nicht zum Desaster führen kann. Es ist häufig eine Verkettung von Fehlern auf seiten der Hersteller und der Benutzer, die zu einem potentiell angreifbaren System führen.

UPDATE 19.08.2011: Aktuellere Erkenntnisse hier , fortlaufende Berichterstattung im Blog .

Read this article in English - Google Translate sry for bad English!

Kommentare

Bitte melden Sie sich Logan oder registrieren Sie sich um kommentieren zu können.



Hier finden Sie aktuelle Themen und Hintergründe rund um Sicherheit, Internet und Recht, das Sachverständigenwesen und die Computer-Forensik.

Mon Di Mi Do Fr Sa So
1 2 3 4 5 6 7
8 9 10 11 12 13 14
15 16 17 18 19 20 21
22 23 24 25 26 27 28
29 30 31