SCADA systemen op het internet

Het probleem is de mens. En ShodanHQ. Allereerst de mens. Die is lui. Te beroerd om die gevoelige verbindingen te beveiligen. Of het überhaupt met een uniek wachtwoord te omsingelen. En zo blijkt dat veel van deze verbindingen met bijvoorbeeld windmolenparken zo open als het doel van Ajacied Vermeer zijn. Wagenwijd. Het betekent dat iedereen met standaard-instellingen kan inloggen. Maar hoe kom je daar? Dat is het moment waarop ShodanHQ om de hoek komt kijken. Het webadres is een grote zoekmachine die meta-data van servers of internetadressen indexeert. Of voorschotelt. Wat wil zeggen dat het data die servers naar de computer terugstuurt bijhoudt. En SCADA-systemen hebben hele specifieke headers. Wanneer je in Google "rode vlekken" en "jeuk" intikt kom je vanzelf op Eczeem. Of netelroos. In ShodanHQ tik je de specificaties van de verscheidene SCADA-systemen in. "i.LON" als je klimaatsystemen zoekt. "Jetty" voor windturbineparken. "country:SD port:5060" voor als je het Soedanese Skypeverkeer zou willen beluisteren. ShodanHQ in essentie is dus de Google van SCADA. En door de lui ingestelde mens met standaardwachtwoorden is het niet onmogelijk dat jij of ik zo achter de controleknoppen van een vaag bedrijf in Roemenië kunnen komen. Of alle op het internet aangesloten D-Link IP-camera's kunnen inzien. De eloquente hacktivist @ntisec geeft tegenover VKMag.com aan met zijn onthullingen voornamelijk te willen aantonen hoe eenvoudig de beveiliging te omzeilen is. En zal blijven. "Die hardware blijft meestal een jaar of 10/20 in gebruik en over 2 weken blijkt iemand ineens weer een nieuwe 0-day (beveiligingslek zonder oplossing red.) gevonden te hebben." Want wie vervangt er nu om de 2 jaar een windturbine of sluissysteem? Precies, niemand. Een "airgap" zou beter zijn. Kritieke systemen loskoppelen van het internet. Want "alles is mee te luisteren, te ontcijferen en daarna te spoofen, DDOS-en en misbruiken etc. Gewoon kabels leggen en desnoods ouderwets iemand die fysiek controleert." Vooralsnog blijven de systemen van gemeentes en semi-overheden wagenwijd openstaan. De crux zit hem in het feit dat er in Nederland te laks met deze lekken wordt omgegaan. "Mijn frustratie richt zich vooral op papierschuivende ambtenaren, bureautjes en politici die ons belastinggeld besteden aan het schrijven van rapporten over gevaren en van alles en nog wat waarna deze rapporten ergens op een stapel belanden dan wel verstoffen in een kast maar verder niets bijdragen aan het oplossen van een probleem." En door de lekken openbaar te maken "mensen bewust maken van het gemak waarmee vooral Nederland onder water te zetten is." Tevens wijst ntisec erop dat er in ons land een uitvoerend orgaan mist die verregaande bevoegdheden heeft hier adequaat op in te springen. Desnoods "ingrijpen en actief als dit nodig blijkt zonder overleg het netwerk moet mogen betreden, veilig stellen en de instantie die het netwerk hoort te beveiligen beboeten." We wachten op de dag dat hackers Essent's E-thermostaat van de Tweede Kamer op 35°C weten te krijgen.