Уязвимости в мобильных клиентах для АСУ ТП позволяют атаковать предприятия

Уязвимости в мобильных клиентах для АСУ ТП позволяют атаковать предприятия

Компания Digital Security, представляет результаты своего нового исследования, посвященного безопасности мобильных клиентов для АСУ ТП. Эксперты Иван Юшкевич и Александр Большев проанализировали 20 приложений для Android, так или иначе взаимодействующих с инфраструктурой крупных предприятий.

Включая решения для управления PLC, OPC- и MES-клиенты, клиенты для удаленного управления SCADA (системой диспетчерского контроля и сбора данных). Защищенность платформ была оценена с точки зрения OWASP Top 10 Mobile Risks, также были включены проверки на DoS и защищенность интерфейса паролем. Оказалось, что каждое приложение данного класса содержит определенные слабости и проблемы безопасности, включая критические. 

В мобильных клиентах для АСУ ТП таких известных производителей, как Siemens, GE, Schnieder Electric, Movicon, Autobase и др., доступных, в том числе, через магазин Google Play, было обнаружено 50 уязвимостей. Большинство из них – логические и архитектурные, и эксплуатировать их достаточно просто. Среди обнаруженных уязвимостей: незащищенные или недостаточно защищенные методы передачи и хранения данных (в том числе, некорректное использование SSL или «самодельные» криптоалгоритмы), удаленная атака на отказ в доступе на клиент и сервер, SQL-инъекции, использование недоверенных входных данных в качестве параметров настройки техпроцесса и др. Особую тревогу вызывает тот факт, что в приложениях удаленного доступа было найдено больше уязвимостей и слабостей, чем в клиентах для работы внутри безопасного периметра. Это недопустимо для решений, работающих через незащищенные каналы связи.

Эксплуатация перечисленных проблем ИБ потенциально позволяет реализовать ряд опасных атак как на приложение, так и на оператора. В последнем случае, реально создать ложное представление о текущем состоянии технологического процесса, что может привести к принятию неверных решений с тяжелыми последствиями для предприятия.

Целью исследователей в рамках данной работы было не только найти ошибки безопасности в мобильных приложениях для АСУ ТП, но и попытаться экстраполировать риски компрометации этих приложений на риски компрометации всей инфраструктуры АСУ ТП. Этот подход отличается от привычного взгляда на оценку безопасности мобильных приложений: уязвимости с традиционно низким уровнем опасности могут подвергнуть АСУ ТП огромному риску, а уязвимости, которые обычно считаются критичными угрозами, наоборот, бывают опасны для АСУ ТП с очень низкой вероятностью.

Резюмируя выводы, можно сказать, что ситуация в области защищенности мобильных клиентов для АСУ ТП довольно тяжелая. Качество кода в таких решениях очень низкое, встречаются поистине курьезные ошибки и уязвимости. Возможно, это связано с тем, что область АСУ ТП очень специфична, и разработчики мобильных решений просто не отдают себе отчета в происходящем. Однако, такое положение дел недопустимо для сферы критически важных объектов. И чем скорее специалисты осознают уровень опасности, тем лучше.

Специалисты рекомендуют как можно скорее заменить карты Visa и Mastercard

Карты платежных систем Visa и Mastercard сегодня хуже защищены от мошенничества, поэтому их использование несет дополнительные риски. Эксперты советуют по возможности заменить такие карты: после истечения сроков действия сертификатов безопасности проверка данных по операциям фактически не проводится, а самих защитных механизмов у них стало заметно меньше.

Проблемы с безопасностью связаны с тем, что сертификаты защиты этих карт истекли еще 1 января 2025 года. При этом российские банки после ухода международных платежных систем в 2022 году сделали карты Visa и Mastercard бессрочными, переведя их обслуживание на инфраструктуру НСПК.

Однако доцент кафедры государственных и муниципальных финансов РЭУ им. Г. В. Плеханова Мери Валишвили в комментарии для агентства «Прайм» отметила, что длительное использование таких карт повышает риск кражи данных именно из-за ослабленных механизмов защиты.

При этом базовая функциональность карт сохраняется. По оценке Мери Валишвили, лишь небольшая доля терминалов может отклонять операции по таким картам, хотя полностью исключать такую вероятность нельзя. По данным НСПК, около 1% POS-терминалов и банкоматов не поддерживают операции по картам с недействительными сертификатами безопасности.

Председатель комитета Госдумы по финансовому рынку Анатолий Аксаков в комментарии для ТАСС также подчеркнул, что риски при использовании карт Visa и Mastercard со временем только растут, поскольку их защитные механизмы устаревают. По его мнению, Банк России должен получить право устанавливать срок действия таких карт с учетом реального уровня рисков.

RSS: Новости на портале Anti-Malware.ru