Bagdør fundet i kritiske systemer til styring af kraftværker

En canadisk virksomhed er blevet taget med fingrene nede i den kagedåse, som ingen virksomheder, der udvikler kritiske systemer til industriel brug, ønsker at blive taget med fingrene nede i.

Virksomheden RuggedCom, der udvikler systemer til styring af kritiske infrastrukturer, ser ud til i flere produkter at have installeret en såkaldt bagdør. Det vil sige, at enhver med kendskab til bagdøren i princippet kan logge ind i systemer, der bliver brugt på blandt andet kraftværker.

Ifølge den uafhængige sikkerhedsforsker Justin W. Clarke, som arbejder i energisektoren, er enhederne fra virksomheden udstyret med en konto med standardbrugernavnet 'factory', som ikke kan ændres.

Kodeordet til kontoen er ganske vist forskellige fra enhed til enhed, men det kan gættes, hvis man kender enhedens fysiske hardware-adresse, den såkaldte MAC-adresse, skriver det amerikanske teknologitidsskrift Wired.

MAC-adresserne kan ifølge Wired eksempelvis opsnuses ved at anvende et værktøj, som søger efter industrille kontrolsystemer, som er forbundet til internettet.

Justin W. Clarke opdagede bagdøren, da han købte to produkter fra RuggedCom på auktionstjenesten eBay - en RS900-switch og en RS400 seriel server. Sikkerhedsforskeren rettede allerede i april sidste år henvendelse til virksomheden for at fortælle om sin opdagelse.

RuggedCom stoppede dog med at svare på henvendelserne, og til sidst valgte Justin W. Clarke at offentliggøre sin viden.

Ud over flere elselskaber er en del militære virksomheder kunder hos RuggedCom, blandt andet Boeing, Lockheed Martin og den amerikanske flåde. Se et udpluk af firmaets kunder her.

Af RuggedComs hjemmeside fremgår det desuden, at virksomheden i december er blevet købt af Siemens. Den tyske virksomhed har også en historie i forhold til standard-login og kontrolsystemer.

Det var netop et industrielt kontrolsystem fra Siemens, der var mål for computerormen Stuxnet. Ormen havde angiveligt til opgave at skade anlæg til uranberigelse i Iran. Den kom blandt andet ind i systemerne via kendte kodeord i Siemens' produkter.

Dokumentation

Wired: Equipment Maker Caught Installing Backdoor Account in Control System Code