Inteligentne liczniki w polskich domach. O bezpieczeństwie może przesądzić jeden element

Agnieszka Zielińska, Energetyka 24: Czy ktoś znajdujący się tysiące kilometrów od Polski może zdalnie przejąć inteligentny licznik i odłączyć odbiorcę od sieci?

Adam Jawor, emerytowany płk rez. Kontrwywiadu: 

Atak na inteligentny licznik jest technicznie możliwy. Z punktu widzenia bezpieczeństwa energetycznego ważniejsze jest jednak to, że licznik nie funkcjonuje w izolacji. Jest elementem systemu AMI — Advanced Metering Infrastructure.

Na taki system składają się nie tylko liczniki, ale również koncentratory danych, sieci komunikacyjne oraz systemy centralne operatora. Dlatego analizując bezpieczeństwo, nie można patrzeć wyłącznie na urządzenie zainstalowane u odbiorcy. Trzeba ocenić cały system, który umożliwia komunikację z milionami urządzeń.

Co może być zatem poważniejszym zagrożeniem niż przejęcie pojedynczego licznika?

Naruszenie bezpieczeństwa elementów centralnych albo mechanizmów komunikacji. Przejęcie jednego urządzenia byłoby przede wszystkim problemem konkretnego odbiorcy. Jeżeli jednak atakujący uzyskałby możliwość ingerowania w system odpowiedzialny za komunikację z dużą liczbą urządzeń, potencjalne konsekwencje mogłyby być znacznie poważniejsze.

 W prawidłowo zaprojektowanym systemie skutki przejęcia pojedynczego licznika powinny zostać ograniczone do tego urządzenia. Znacznie poważniejsze konsekwencje mogłoby mieć naruszenie elementu infrastruktury posiadającego uprawnienia do komunikacji z dużą liczbą urządzeń.

Dlatego pytanie „czy można zhakować inteligentny licznik?” jest zbyt wąskie. Ważniejsze jest to, czy można naruszyć bezpieczeństwo systemu, który łączy miliony liczników z infrastrukturą operatora.

Czy inteligentny licznik może zostać zdalnie odłączony?

Nie każdy. Zależy to od konkretnego modelu i zastosowanej architektury. Część liczników AMI może być wyposażona w zdalnie sterowany przełącznik umożliwiający przyłączenie lub odłączenie odbiorcy.

Możliwość wykorzystania takiej funkcji przez osobę nieuprawnioną jest zresztą uwzględniana w dokumentacji bezpieczeństwa systemów AMI jako jeden z potencjalnych scenariuszy zagrożenia.

Nie oznacza to jednak, że ktoś znajdujący się za granicą może po prostu „nacisnąć przycisk” i wyłączyć prąd w polskich domach.

 Sam fakt, że licznik umożliwia zdalną komunikację, nie oznacza bezpośredniego wystawienia urządzenia do publicznego internetu. Dostęp do licznika może odbywać się przez wydzieloną infrastrukturę telekomunikacyjną i systemy operatora.

Czy w takim razie problemem jest przede wszystkim chińskie pochodzenie części urządzeń?

Nie. Podatności mogą występować w sprzęcie chińskim, amerykańskim, europejskim czy koreańskim. Mogą być skutkiem błędu programistycznego, niewłaściwej konfiguracji, nieaktualnego oprogramowania czy błędu człowieka.

 Podatności nie są cechą urządzeń pochodzących z jednego państwa. Mogą wynikać z błędów oprogramowania, niewłaściwej konfiguracji, wadliwych mechanizmów uwierzytelniania czy nieaktualnego oprogramowania.

 Pochodzenie dostawcy jest jednak jednym z czynników, które powinny być uwzględniane w analizie ryzyka. W przypadku infrastruktury krytycznej trzeba wiedzieć, kto kontroluje urządzenie, jego oprogramowanie i proces aktualizacji, kto odpowiada za serwis oraz jakie zależności występują w całym łańcuchu dostaw.

Czyli kluczowe znaczenie ma właśnie łańcuch dostaw?

Tak. Nie trzeba mieć kontroli nad całym systemem. Wystarczy znaleźć element, którego przejęcie umożliwi dostęp do kolejnego.

Atak na złożoną infrastrukturę może rozwijać się etapami poprzez uzyskiwanie dostępu do kolejnych części systemu, wykorzystując uprawnienia zdobyte na wcześniejszym etapie Z tym, że nie oznacza to jednak, że przejęcie pojedynczego urządzenia automatycznie otwiera drogę do całego systemu. Właśnie segmentacja, kontrola uprawnień i kryptograficzne uwierzytelnianie mają ograniczać możliwość takiego przemieszczania się napastnika.

Dlatego bezpieczeństwo łańcucha dostaw stało się jednym z istotnych elementów cyberbezpieczeństwa. Nie możemy zakładać, że skoro urządzenie działa prawidłowo w momencie instalacji, to ryzyko zostało wyeliminowane. Urządzenie będzie przecież funkcjonowało przez wiele lat, otrzymywało aktualizacje i pozostawało częścią większego systemu.

W przypadku infrastruktury krytycznej pojawia się również pojęcie suwerenności cyfrowej. Co ono oznacza w praktyce?

Chodzi o odpowiedź na pytanie, jak dużo kontroli nad krytycznym systemem powierzamy podmiotowi, którego nie jesteśmy w stanie w pełni kontrolować.

W tym kontekście rozumiem suwerenność cyfrową jako odpowiedź na pytanie, jak dużą część kontroli nad systemem krytycznym powierzamy podmiotom, których państwo nie jest w stanie w pełni kontrolować.

 W przypadku infrastruktury krytycznej nie wystarczy sprawdzić, czy urządzenie spełnia wymagania techniczne. Należy również ocenić dostawcę, jego zależności właścicielskie, łańcuch dostaw, sposób aktualizowania oprogramowania oraz to, kto ma wpływ na technologię przez cały okres jej użytkowania.

Nie oznacza to, że urządzenie wyprodukowane w Chinach należy z góry uznać za niebezpieczne. Chodzi o coś innego: państwo powinno mieć możliwość określenia ryzyka związanego z konkretnym producentem i konkretną technologią — i powinien istnieć mechanizm, który pozwala taką ocenę przeprowadzić.

Czyli najważniejsze pytanie nie brzmi: „Czy Chińczycy mogą wyłączyć nam prąd”

Nie. To byłoby zbyt duże uproszczenie.

Najważniejsze pytanie brzmi: jak dużą kontrolę nad krytycznym systemem powierzamy podmiotowi, którego nie jesteśmy w stanie w pełni kontrolować, oraz czy przed podjęciem takiej decyzji potrafimy niezależnie ocenić związane z tym ryzyko? Natomiast najbardziej czarny scenariusz to ewentualny jednoczesny atak hakerski ze strony zarówno Chin jak i Rosji.