Közel kétezer magyar napelemes eszköz érhető el védtelenül az interneten
Legalább 1916 magyarországi, fotovoltaikus termeléshez kapcsolódó eszköz érhető el szabadon a nyílt interneten keresztül, és a hozzáférhető felületek jelentős része sérülékenységektől hemzseg – állapította meg a hazai napelemes rendszerek kitettségét felmérő kiberbiztonsági szakértő. A vizsgálat eredményeit hosszabb tanulmányban részletezte, a legfontosabb megállapításokat pedig blogbejegyzésben is összefoglalta.
A napenergiás termelés már a hazai villamosenergia-termelés felét teszi ki. A termelőeszközök jellemzően néhány nagy, többségében kínai gyártótól származnak. Ez a technológia-koncentráció a kiberbiztonsági kockázatokkal és sérülékenységekkel, valamint a látott technológiai architektúrával és annak hiányosságaival együtt olyan probléma, amelyre megoldást kell találni – összegezte a tanulságokat a szakértő.
A vizsgálatot követően egy holland biztonsági cég október elején publikált kutatása is felhívta a figyelmet a jelenségre: eszerint 8500 uniós nap- és szélenergiás termelőeszköz – inverter, adatgyűjtő, vezérlő és hasonló – érhető el az interneten keresztül, amelyből 514 magyar. A cég saját fejlesztésű keresőjével kereste az internetről elérhető eszközöket egészen a konkrét terméktípusok szintjéig.
A szakértőnek korábbi kutatásai alapján túl kevésnek tűnt a védtelen magyar eszközök száma, ezért felvette a kapcsolatot a holland céggel, és segítségükkel elvégzett egy kifejezetten Magyarországra fókuszáló adatgyűjtést. Mint írta, minden ilyen eszközkereső-alapú kutatás lehet tökéletlen, de még így is 1916 olyan hazai fotovoltaikus energiatermelő szolgáltatás került azonosításra, amely elérhető a publikus internet felől.
Pontosabban legalább 1916 ilyen eszközt – invertereket, adatgyűjtőket, tárolókat, termelésmenedzsment eszközöket – talált. Megjegyezte: ennél biztosan csak több van, mert nem ismer minden lehetséges eszközt, ezért ezt csak a minimumnak kell tekinteni, ráadásul jó néhány eszköz az adatgyűjtés után bukkant fel, ezeket már bele sem számolta. A védtelen eszközök között olyan típusúakat is azonosított, amelyeket nem házi napelemrendszereknél, hanem kifejezetten a nagyobb napelemparkokban használnak.
A megtalált eszközök webes adminfelületei tele voltak sérülékenységekkel. Ezek között akadtak olyanok is, amelyeket 2016-ban fedeztek fel, tehát több mint egy évtizede nem foltozta be frissítéssel senki. Az alkalmazott kereső összesen 9554 sérülékenységet talált, ebből 1610 kritikus volt, további 3239 pedig magas besorolású.
A szakértő megjegyezte, hogy míg az IT világában a frissítések naprakész telepítése kulcsfontosságú, a termelőeszközökre jellemző kiberfizikai rendszerek esetében más a helyzet, mert ezeknél a zavartalan és folyamatos működés a prioritás. Ezért itt nem maga a frissítések elmaradása a nagyon problémás, hanem az, hogy ezek az eszközök védtelen formában elérhetők a nyílt interneten keresztül.
Legalább 647 olyan fotovoltaikus szolgáltatást is azonosított, amelyre nemcsak rálátni lehet, hanem a hitelesítés nélkül hozzáférhető MODBUS ipari hálózati protokolljukon keresztül jó eséllyel távolról ki-be kapcsolgathatók rajtuk keresztül a napelemek inverterei. Sőt néhány olyan webes felületet is talált, amelyek bármiféle hitelesítés nélkül hozzáférhetők, azaz ezeken keresztül is be lehet avatkozni az érintett eszközök működésébe.
A hazai és a nemzetközi szakemberek évek óta pedzegetik, hogy szerintük kellene valamit csinálni, mert a kipublikált eszközök, a sérülékenységek és a rossz konfigurációk széleskörű, sok termelőt érintő kihasználása már a rendszerszintű szolgáltatást veszélyeztethetik – írta a szakértő. Szerinte itt már nem elég a felhasználói tudatosság, szélesebb összefogással lehetne csak kezelni a helyzetet.
Bár leírta, hogy ne publikálják ki ezeket az eszközöket, legyen jelszóvédelem, hozzáférés-kontroll és behatolásvédelem, úgy véli, nem itt kell elkezdeni a dolgot. A villamosenergia-rendszer jeles képviselőinek – aggregátoroknak, elosztói engedélyeseknek, rendszerirányítónak, integrátoroknak –, valamint a kormányzati kibervédelemnek és az illetékes hatóságoknak közösen kell elkezdeniük tevékenykedni, méghozzá gyorsan.
A részletesebb tanulmány további példákkal mutatja be a nap- és szélenergia-termelő és -tároló rendszerek kiberbiztonsági kockázatait, illetve ezek lehetséges hatását és következményeit a villamosenergia-rendszerre.
