|
Siemens солгала прессе насчет серьезных ошибок, которые могли повлиять на
критическую инфраструктуру. Об этом заявил эксперт в области безопасности,
который опубликовал пароль к системам Siemens.
Билли Риос – инженер безопасности в компании, производящей ПО. В своем личном
блоге он написал, что системы SIMATIC компании Siemens может взломать и удаленно
управлять любой, у кого есть доступ в интернет.
Риос утверждает, что PR отдел Siemens сообщил журналисту Reuters, что "в
Siemens нет никаких проблем с багами, которые бы позволили обойти системы
аутентификации". Риос уверен в обратном.
"В мае этого года", - написал он, "я сообщил о возможности обхода
аутентификации в системах SIMATIC от Siemens. Эти системы используются для
управления критической инфраструктурой и системами промышленного контроля. Я
терпеливо ждал исправления ошибки, от которой может пострадать любой покупатель
SIMATIC".
Затем инженер опубликовал имя пользователя и пароль для систем SIMATIC. Он
сказал следующее: "Если пользователь меняет свой пароль на новый, и вписывает
туда определенный знак, пароль может автоматически сброситься и превратиться в
"100". Да, тебе не показалось".
Системы SIMATIC не так давно были атакованы червем Stuxnet, который сумел
внедриться в компьютерные системы Siemens.
В интервью, которое он дал Sunday Times в начале этого месяца, Ральф Лангнер,
аналитик, расшифровавший Stuxnet, сказал: "Все сходят с ума от наступательных
возможностей и способностей, которые дает Stuxnet. Люди не понимают, насколько
просты подобные атаки. Не обязательно иметь ресурсы целой страны, чтобы их
совершать".
Риос продолжил объяснять, и рассказал, что cookie сессии, который
возвращается от SIMATIC после того, как пользователь вошел, выглядит защищенным.
Но он обнаружил, что почти идентичный cookie возвращается каждый раз, как
пользователь входит. Будучи декодированы, значения cookie оказываются "абсолютно
предсказуемы".
Риос продолжил: "Тем, кто не разбирается в технике, нужно сказать, что можно
сделать с этим несуществующим багом. Его можно использовать для получения
удаленного доступа к системам SIMATIC HMI, которые управляют различными
системами промышленного контроля и критической инфраструктурой по всему миру.
Можно захватить систему контроля не зная имени пользователя и пароля. Однако
волноваться не стоит, ведь "в Siemens нет никаких проблем относительно багов,
которые бы позволили обойти системы аутентификации".
Инженер подвел итог: "В следующий раз Siemens стоит дважды подумать, прежде
чем открыто врать об ошибках, которые могут сказаться на безопасности
критической инфраструктуры. Все остальных - с Рождеством".
|
, 
