Am zweiten Tag der 22. DFN-Konferenz stehen Pen-Tests im Vordergrund. Gerade Hersteller von Rechnern, die Industrieanlagen steuern, sollten Sicherheit groß schreiben. Das aber scheinen sie gerade erst zu lernen.

Computer die Maschinen steuern heißen auf Englisch Programmable Logic Controller (PLC), auf Deutsch speicherprogrammierbare Steuerungen (SPS). Maik Brüggemann und Ralf Spenneberg haben in einem Vortrag auf der DFN-Konferenz gezeigt, wie sich solche PLC aus der Ferne oder aus demselben Netzwerk manipulieren lassen.

Dazu setzen die beiden Sicherheitsexperten die ICShell ein, eine selbst entwickelte Python-Shell, die bislang die proprietären Protokolle von Siemens und Mitsubishi beherrscht. Diese haben die Vortragenden per Reverse Engineering nachgebildet. Das soll ihnen dabei helfen, Sicherheitslücken im Protokoll selbst und in der Implementierung aufzudecken.

Hauptsächlich drei Faktoren machen solche Industrienetzwerke unsicher: Sie lassen sich per IP steuern, ihnen fehlt eine Authentifizierungsmöglichkeit und sie werden zum Teil per Gateway über das Internet bedient. Das macht sich die ICShell zunutze. Über sie kann ein Angreifer Netzwerke nach solchen Steuerrechnern scannen, sich als Mittelmann installieren und bestimmte Variablen dieser Maschinen auslesen und per Exploit verändern. Die Software wollen die Redner in den nächsten Wochen auf http://icshell.os-s.net unter einer Open-Source-Lizenz veröffentlichen und um weitere Protokolle erweitern.

Konkret fanden Brüggemann und Spenneberg heraus, dass bewusst falsch gesetzte Werte die Maschinen zum Absturz bringen. Im besseren Fall bei Mitsubishi betrifft dies nur die Kommunikation mit den Maschinen, während diese weiterarbeiten, im schlechteren (Siemens) legte das auch die Maschine selbst lahm. In beiden Fällen müssen die entsprechenden Firmen Mitarbeiter vor Ort schicken, um die Maschinen manuell neu zu starten – natürlich sind auch andere Manipulationen möglich.

Siemens habe allerdings schnell auf die Fehler reagiert und ihre Protokoll aktualisiert, Mitsubishi sei etwas schwerer erreichbar gewesen und es dauerte etwas, um den Mitarbeitern, die eher aus Elektroingenieuren und Maschinenbauern bestehen, das Problem deutlich zu machen.

Generell, so das Fazit der Vortragenden, sei es eine eher schlechte Idee, die Steuerung von Industrieanlagen aus Bequemlichkeit ins Internet zu verlagern. Nicht nur machen es Suchmaschinen wie Shodan mittlerweile einfach, solche Systeme zu finden. Dank fehlender Sicherheitsmechanismen und einem noch schlecht entwickelten Problembewusstsein in der Industrie bleiben solche Schwachstellen häufig länger offen.