Nem feltétlen sci-fi, de Shadowrunba tökéletes concept lenne egy mammut cég szívatására, úgyhogy muszáj vagyok írni róla. Meg nem utolsó sorban: marhára nevetséges. Hogyan halhat meg egy cég teljes gyártókapacitása hála egy szerszámnak?

Épp tegnap posztoltam az "Okok, hogy gyűlöld az IOT világát" albumunk harmadik montázsát (minden egyes ilyenre egyre nő a megemlített céges suttyóságok és idióta digitalizmusok száma). Abban megemlékeztünk egy elektromos nyomatékkulcsról, mely szintén digitális és internetre kötött. Szerintem kitaláljátok, hogy hová fog fordulni a sztori. Igen, nem lenne immúnis a zsarolóvírus támadás ellen. De az elején leszögezem: nem, nem történt valós támadás. De az elméleti sík az megvan.

Szóval adott egy akkus nyomatékkulcs, Rexroth Handheld Nutrunner (egy betűre vannak a cyberpunk világ dekás megnevezésétől és ez lett a vesztük), melynek 5 millió forintos árcédulája mellé társul 23 hiba, mely végezetül megakaszthatja a gyártósort. Miket lehet ellene elkövetni? Íme néhány:

• Nos lezárhatják az eszközt, és még a ravaszt is letilthatják
• Klasszikus zsarolóvírus képernyő az ilyenkor kötelező küldj 0.1 BTC-t üzenettel (igazából bármilyen szöveg megjeleníthető (jobbra látható, még cuki kis logót is tettek bele).
• A fedélzeti szoftver visszajelzéseinek módosítása, úgy, hogy közben mást mutat az üzemelőnek, értsd, a spec sheet szerint 0.15 Nm nyomatékkal kell meghúzni valamit, a képernyő NEKED ezt is mutatja, de valójában mondjuk csak 0.054 Nm-rel húzza a csavart ami mondanom sem kell: nem ugyan annyi.
• Nem védett az úgynevezett directory traversal támadás ellen, mely kihasználásával ki lehet nyerni az eszközben tárolt jelszavakat. Amik ráadásul beégetettek és gyengék (CVE-2023-48250 & CVE-2023-48257)!
• SQL injection ellen sem védett (ami majdnem 25 éves támadási vektor)...

És mi kellett ehhez? Néhány kamu adat packett amit hálózaton keresztül küldtek rá a központi managment szoftverre, majd onnan szana-szét a hálózatban, amihez pedig semmi különleges jogosultság nem kellett, cserébe root szintű futtatási környezethez jutottak. Nem értem a felesleges digitalizációs vágyat a cégek részéről, mert az itt felsorolt problémákon kívül még bele se mentünk azokba az apró tényekbe, hogy mi van ha elavult a firmware a gépen? Ha nincs csere alaplap a fedélzeti géphez, ha nem frissítik a management szoftvert, kicsit megborult az akku cellák egyensúlya, mert a BMS épp nyaralni ment? Személyes példával élve, van egy robotunk melynek ára kb.: 4 millió forint, a mai napig aktívan gyártják. Az interaktív vezérlést egy android tablet adja. 2023-ban vettük meg, szerintetek milyen verziójú androiddal szállították? Nos egy 12 éves változattal: Android 4.0-val. És nem frissíthető. Persze a gyártó cég úgy hirdeti magát, hogy folyamatosan frissítik az android platformjukat. Ja csak a baseline droidot nem, és egy csomó hasznos és amúgy fontos funkció hiányzik belőle. De jó, hogy meg lehet venni. Hasonlóan ez a csavarkulcs, tekintve a mai elévülési időket és javítás ellenességet, mi az amit ez tud adni egy manuális nyomatékkulccsal szemben? Míg maga az ötlet nem földtől elrugaszkodott a központilag kezelt eszközökkel kapcsolatban, főleg ahol komoly betartandó tolerancia szabályok vannak és minden betekert csavar jegyzőkönyvezendő. Továbbá megelőzhetőek lennének az olyan balesetek, mint a Boeing legutóbbi balesete amit valószínűleg egy nem jól meghúzott anya okozott, különben miért gondol egyet és válik le az ajtó, és az FAA ügynökei miért találnak laza anyákat? De ezen potenciális sebezhetőségek mind érvénytelenítik a feltételezett előnyöket. Oké, hogy ezen sebezhetőségek kihasználásához előbb hozzáférést kell szerezni a telephely hálózatához (valamint amúgy nem mennek ki a nyílt internetre, csak csupán hálózatban vannak és vezeték nélkül kommunikálnak, ami meg MITM támadásra ad lehetőséget), meg az elemzők szerint, ha már bent vannak a rendszerben a támadók szaftosabb célpontok után néznek, de a lehetőség adott hogy masszív méretű, effektíve felderíthetetlen baleseteket okozzanak világszerte a nyomaték adatok megváltoztatásával. Fontos kiemelni, hogy valós kár okozás még nem történt vagy nem tudunk róla, és a Nozomi előbb lelt rá a lyukakra, de a tény, hogy léteznek,  az egy ilyen árcédula mellé elfogadhatatlan. Öröm az ürömben (amellett hogy semmi dekás nem használta ki szimpla szívatásra), hogy a Bosch azonnal megkezdte a mitigálását a problémának, és 2024 Q1-re jön a patch. Gondolom az első a sok közül. Ha valaki Shadowrun sztorit mesélne és felhasználja ezt az ötletet, majd azért meséljétek el, hogy nálatok hogy zajlott :D

via.: Arstechnica