Remote controlled zwembad

EenVandaag kwam er vorige week mee: sluizen, gemalen en bruggen zijn slecht beveiligd. En vandaag meldde webwereld dat in Stichtse Vecht een zwembad op afstand bestuurd kon worden. Nieuwe trend?!

Security
Het is ondertussen wel bekend bij bedrijven dat Internetverbindingen een risico vormen. Dus wordt er een firewall geïnstalleerd tussen het bedrijfsnetwerk en de boze buitenwereld. Zodat interne gebruikers wel op Internet kunnen surfen, maar hackers van buitenaf niet op het bedrijfsnetwerk kunnen.

Niet veel later begonnen organisaties met het bouwen van internetapplicaties, zodat klanten (of burgers bij gemeentes) op de website bestellingen konden doen of specifieke gegevens konden opvragen. Dat is wat lastiger dan het interne bedrijfsnetwerk afschermen van de buitenwereld, want interne informatie moet aan de buitenkant beschikbaar worden. Hiervoor worden vaak DMZ’s ingezet: een afgeschermd stukje netwerk tussen de interne netwerken en Internet waar de portals of webwinkels werden gepositioneerd. Na gaat dat nog best vaak fout, maar men denkt in ieder geval aan beveiliging.

Industrieel
Bij het installeren van industriele netwerken wordt nog beperkt gedacht aan beveiliging. Op zich niet zo vreemd, want vaak zijn dit losstaande netwerken, die via een intern beheersysteem (een Industrial Control System, waarvan SCADA de meest bekende is) bediend kunnen worden. Dat kan wel eens fout gaat (Stuxnet), maar dan moet men dan wel heel erg zijn best voor doen. Totdat iemand bedacht: het zou wel erg handig zijn om op afstand de industriele netwerken te bedienen. Waarom gebruiken we daar Internet niet voor?

En daar ging het fout. Ten eerste zijn industriele control systemen niet ontworpen met security in mind. Ten tweede is Internet best onveilig. En ten derde is men vanuit de industriele wereld nog niet helemaal gewend beide aan elkaar te koppelen (geen beveiliging + Internet = probleem). En dat blijkt in de praktijk dus mis te kunnen gaan, ondanks diverse waarschuwingen vanuit de Rijksoverheid.

SCADA
Zo bleek uit een rapportage van EenVandaag dat via een nieuwe zoekmachine (Webwereld geeft hier een linkje) slecht beveiligde apparatuur, waaronder SCADA netwerken, op te zoeken zijn. En dat het erbarmelijk slecht is gesteld met de beveiliging daarvan: soms geen wachtwoord, soms het standaard wachtwoord en soms een wel heel eenvoudig te raden wachtwoord. En dat terwijl via deze SCADA netwerken ‘echte’ dingen zijn te bedienen: een sluis of gemaal of bruggen bijvoorbeeld. Vandaag kwam daar een remote controlled zwambad bij, waar onder meer de hoeveelheid chloor kon worden bijgesteld.

En dan is het treurig om te lezen dat het vaak stukloopt op knulligheid (verbinding niet dichtgezet na onderhoud), kosten en gebrek aan kennis. Want de risico’s gaan een stapje verder dan het lekken van klantgegevens: men kan op afstand echte industriele systemen bedienen. En als die systemen gevaarlijk gebruik toelaten, dan is de financiële schade groot en komen er levens in gevaar!!! Denk aan overstroming of giftige chloordampen.

Leering
En dat terwijl – we hebben het al vaker gezegd – het vaak draait om eenvoudige beveiligingskeuzes. Ten eerste: koppel geen beheersystemen aan Internet als dat gevaar op kan leveren (via een SCADA netwerk een kerncentrale remote bedienen…). Ten tweede: kies voor een VPN oplossing met sterke authenticatie als je dat toch verantwoord vindt – en dat hoeft echt niet duur te zijn. En ten derde: als het dan toch zonder VPN oplossing moet, kies dan een complex wachtwoord. En niet “Veere” als wachtwoord voor het bedienen van de sluizen van gemeente Veere…