Sistemi industriali SCADA, un italiano scova falle

Il ricercatore italiano Luigi Auriemma ha scoperto e segnalato almeno una dozzina di falle di sicurezza relative ai sistemi SCADA (Supervisory Control and Data Acquisition), largamente impiegati nella gestione di infrastrutture critiche. Le vulnerabilità sarebbero tali da consentire a terzi l'esecuzione di codice da remoto e di perpetrare attacchi di tipo DoS.

Fra i sistemi a rischio, secondo Auriemma ci sarebbero quelli della Rockwell Automation e di altre aziende quali Cogent, DAQFactory, Progea e Carel. La gravità delle falle è stata reputata tale da spingere il ricercatore a mettere in allerta il governo degli Stati Uniti. Alcuni dei sistemi SCADA interessati, infatti, sarebbero impiegati nella distribuzione elettrica, nel sistema idrico, negli impianti petroliferi, nel controllo dei gasdotti e nei progetti militari e aerospaziali.

Il ricercatore italiano Luigi Auriemma ha scoperto vulnerabilità nei sistemi SCADA

In alcuni casi è stata rilevata una vulnerabilità che consentirebbe di intrufolarsi nella rete tramite una richiesta del tipo http://server/ .. \ .. \ .. \ .. \ .. \ .. \ boot.ini al server Web vulnerabile, in modo da recuperare i file al di fuori della directory principale del web server. In questo caso il malintenzionato potrebbe, per esempio, scaricare il file boot.ini di Windows: si tratterebbe di un'azione del tutto innocua, ma utile come prova della vulnerabilità e della facilità con cui questa potrebbe essere sfruttata.

Il ricercatore italiano, infatti, nel corso di una intervista a Cnet ha rivelato che le vulnerabilità sono state molto facili da trovare, senza nemmeno perderci troppo tempo. Justin Searle di UtiliSec è dell'idea che la vulnerabilità più grave fra quelle segnalate da Auriemma colpisca i sistemi PLC (Programmable Logic Controller), ossia  computer digitali che effettuano misurazioni tramite i sensori a cui sono collegati.

I sistemi SCADA sono impiegati anche per funzioni critiche come il controllo delle centrali elettriche e idriche

Nell'avviso di Auriemma ci sono le note riguardanti ciascuna vulnerabilità rivelata e codici exploit di esempio per far capire quali sono i problemi da cercare e risolvere. I prodotti delle cinque aziende sopra citate rientrano tutti nella categoria SCADA, che comprende i sistemi di controllo industriale per il monitoraggio di infrastrutture o di processi industriali, come confermato da Joseph Weiss di Applied Control Systems. Del resto, tuttavia, Weiss ha sottolineato che "le vulnerabilità in sistemi HMI (Human Machine Interface) non sono nuove".

Weiss non esclude a priori che le brecce nella sicurezza scoperte da Auriemma possano essere usate per prendere il controllo dei sistemi, ma ammette che senza ulteriori analisi è troppo presto per dire se le falle segnalate siano davvero critiche o no: "molto dipende dal tipo di applicazioni per le quali vengono utilizzati i sistemi interessati". Infatti, se è vero che alcuni dei sistemi prodotti da Rockwell sono sfruttati in applicazioni critiche, ci sono anche prodotti di routine.

La sicurezza dei sistemi SCADA era salita alla ribalta con l'emergenza Stuxnet

I problemi di sicurezza relativi ai sistemi SCADA sono saliti alla ribalta lo scorso anno quando si è palesata l'emergenza Stuxnet, un worm altamente specializzato che si sospetta sia stato impiegato per gli attacchi di sabotaggio ai danni degli impianti nucleari in Iran. Tra i maggiori imputati della creazione di Stuxnet ci sono Stati Uniti e Israele.

Secondo alcuni esperti era solo una questione di tempo, gli hacker prima o poi avrebbero iniziato a prendere di di mira sistemi SCADA. Per questo motivo bisogna fare pressione affinché chi li produce presti più attenzione alla loro sicurezza. Le segnalazioni di Auriemma sono proprio volte a questo scopo.