Dipl.-Inform. Carsten Eilers

Auf der Black Hat USA 2014 gab es gleich vier Vorträge zum Thema SCADA-Systeme und Industriesteuerungen. Los geht es mit dem Vortrag von Alexander Bolshev und Gleb Cherbov:

"ICSCorsair: How I Will PWN Your ERP Through 4-20 mA Current Loop"

Industriesteuerungen verbinden Low Level Devices wie Sender, Aktuatoren, speicherprogrammierbare Steuerungen etc. (die "Field-Devices") mit High Level Anwendungen wie Manufacturing Execution Systems (MES) oder Enterprise Resource Planning (ERP) Systems. Alexander Bolshev und Gleb Cherbov haben Angriffe über die Low-Level-Netzwerkprotokolle auf die High-Level-Anwendungen vorgestellt. Die setzen natürlich voraus, dass der Angreifer sich mit dem Low-Level-Netzwerk verbinden kann, aber wie hier ja schon des öfteren zu lesen war ist das nicht unbedingt ein Problem.

Für ihre Untersuchungen und Angriffe haben die beiden Forscher das von ihnen entwickelte ICSCorsair verwendet, ein Open Hardware Tool zur Untersuchung von Low-Level ICS-Protokollen, dass über Protokolle wie HART FSK und P8CSK, Foundation Fieldbus H1, Profibus und Modbus mit verschiedenen Systemen verbunden werden kann. Gesteuert wird ICSCorsair entweder über USB oder drahtlos über WiFi, Bluetooth oder andere drahtlose Verbindungen.

Ursache aller Probleme sind die industriellen Low-Level-Protokolle aus den 1970-1990er Jahren, in denen es weder Authentifizierung oder Autorisierung noch kryptographische Schutzmaßnahmen wie Verschlüsselung etc. gibt. Die höher angesiedelten Systeme erwarten nichts "Böses" von einem der Field-Devices wie Sensoren, Aktuatoren etc., und sind daher Angriffen darüber schutzlos ausgeliefert.

Für ihre Untersuchungen haben Alexander Bolshev und Gleb Cherbov sich das Highway Addressable Remote Transducer Protocol (HART) ausgesucht, das auf eine Kupferverkabelung als Physikalische Ebene aufbaut. HART kennt wie die meisten anderen Protokolle keine Authentifizierung/Autorisierung/Kryptographie. Aber bevor sie mit ihren Untersuchungen beginnen konnten, mussten sie sich erst mal Zugriff auf das Netzwerk verschaffen, und dazu dient der von ihnen entwickelte ICSCorsair. Außer mit HART-FSK-Netzwerken kann der auch über RS-485 mit einem Netzwerk verbunden werden. Neben der direkten Steuerung über ein Terminal ist auch die Steuerung über eine Mobile App in Entwicklung.

Plant Assets Management Systeme (PAS) liegen auf den mittleren und höheren Ebenen der Industriesteuerung und sind in MES und ERP integriert. Sie basieren meist auf den Standards FDT und DTM: FDT standardisiert das Kommunikations- und Konfigurationsinterface zwischen den Field Devices und den Host-Systemen. DTM definiert eine einheitliche Struktur für den Zugriff auf Device-Parameter, die Konfiguration und den Betrieb der Devices sowie die Diagnose von Problemen.

Zurück zu HART: Als Adressen für die Anwendungsschicht werden das "HART Tag" (8 Bytes ASCI gepackt) und "HART Long Tag" (32 Bytes ASCII) verwendet. Die darin gespeicherten Daten werden ungefiltert an die höheren Netzwerkschichten weitergeleitet.

FDT und DTM basieren auf XML, so dass über die HART Long Tags XML eingeschleust werden kann, zum Beispiel zum laden eines externen XML Schemas. Das führt zu Server-Side Request Forgery (SSRF), über die andere Systeme in lokalen Netz angegriffen werden können. Als Beispiel wurde über ein HART Long Tag ein Exploit für eine Remote Command Execution auf einem SAP-System eingeschleust. Außerdem sind XSS-Angriffe auf die Web-basierten Oberflächen der Industriesteuerung möglich.

ICSCorsair erlaubt noch eine Reihe weitere Angriffe, für die teilweise auch Metasploit-Module bereit stehen.

In der nächsten Folge geht es weiter um Vorträge von der Black Hat USA 2014.

Carsten Eilers

Übersicht über alle Artikel zum Thema

Die Heimautomation auf Sicherheitskonferenzen - als Thema, nicht im Einsatz

SCADA-Systeme und Industriesteuerungen auf den Sicherheitskonferenzen ab 2010

SCADA-Systeme und Industriesteuerungen auf den Sicherheitskonferenzen ab 2011

SCADA-Systeme und Industriesteuerungen auf den Sicherheitskonferenzen ab 2012

SCADA-Systeme und Industriesteuerungen auf den Sicherheitskonferenzen ab 2013

SCADA-Systeme und Industriesteuerungen auf den Sicherheitskonferenzen ab 2013, Teil 2

SCADA-Systeme und Industriesteuerungen auf den Sicherheitskonferenzen ab 2013, Teil 3

SCADA-Systeme und Industriesteuerungen auf den Sicherheitskonferenzen ab 2013, Teil 4

SCADA-Systeme und Industriesteuerungen auf den Sicherheitskonferenzen ab 2013, Teil 5

SCADA-Systeme und Industriesteuerungen auf den Sicherheitskonferenzen ab 2013, Teil 6

SCADA-Systeme und Industriesteuerungen auf den Sicherheitskonferenzen ab 2013, Teil 7

SCADA-Systeme und Industriesteuerungen auf den Sicherheitskonferenzen ab 2013, Teil 8

SCADA-Systeme und Industriesteuerungen auf den Sicherheitskonferenzen ab 2013, Teil 9

SCADA-Systeme und Industriesteuerungen auf den Sicherheitskonferenzen 2014, Teil 1

SCADA-Systeme und Industriesteuerungen auf den Sicherheitskonferenzen 2014, Teil 2

SCADA-Systeme und Industriesteuerungen auf den Sicherheitskonferenzen 2014, Teil 3

SCADA-Systeme und Industriesteuerungen auf den Sicherheitskonferenzen 2014, Teil 4

SCADA-Systeme und Industriesteuerungen auf den Sicherheitskonferenzen 2014, Teil 5