Александр Захарченко

Slammer blackout

Итак, свершилось. Шансы хакеров порулить реакторами атомных электростанций вовсе не так уж призрачны. Интернет усеян ссылками на исследование SecurityFocus [1], перед которым бледнеют фантазии г-на Лукацкого [2], благодаря которому в Рунете гуляет поразительно живучая байка о кибертеррористах 11-го сентября [3]. Во внутреннюю сеть атомной электростанции в Огайо проник червь Slammer и вызвал нарушения функциональности контрольного оборудования, а это значит, что и хакерам туда была открыта беспрепятственная дорога. Событие стоит того, чтобы рассмотреть его по порядку.

16 февраля 2002 года атомная электростанция Davis-Besse, Огайо, принадлежащая First Energy Nuclear Operating Company, была остановлена после того как обнаружилось, что борная кислота почти насквозь прогрызла 6-дюймовую стальную крышку корпуса реактора (а это 15,24 см). До разрушения и, соответственно, разгерметизации корпуса оставалось чуть менее сантиметра. Переполошившиеся федеральные чиновники затеяли следствие, в ходе которого на свет божий всплыл отчет бывшего инспектора комиссии по ядерному регулированию, нанятого в 1988 году владельцами станции для ее обследования. В нем проверяющий указал, что высшие менеджеры станции пренебрегает нуждами и мнением обслуживающего персонала и фактически не владеют обстановкой на электростанции. Естественно, что такого зануду послали куда подальше вместе с его выводами [4]. Однако, когда в 1996 году реактор «потек», то это всем оказалось до лампочки, и, не смотря на явные признаки коррозии, причину никто не искал, хотя до момента остановки станции в феврале 2002 появилось немало проблем с различным оборудованием [5].

Итак, реактор встал на прикол, дорогостоящий ремонт затягивается сверх всякого ожидания, но компьютерные сети работают в прежнем режиме, поскольку заглушенный реактор требует не меньшего внимания, чем работающий. Вот только, если к физической безопасности отношение персонала на всех уровнях более чем наплевательское, то почему лучше должны обстоять дела с безопасностью компьютерной?

Уже не первый год, вопреки элементарной логике, но зато в согласии с бюрократическими директивами, практикуется соединение корпоративных (офисных) сетей и управляющих сетей электростанций. Погоню за призрачной экономией не может остановить даже неутихающая истерика по поводу кибертерроризма, так как дело в итоге касается миллионных сумм, оседающих в конкретных карманах [6]. Посему случаи, которые должно бы рассматривать с точки зрения клинического идиотизма становятся нормой, а рекомендации «мозговых центров» по снижению уровня риска [7] выбрасываются на помойку с приходом очередной ковбойской администрации.

Более того, системы диспетчерского управления и сбора данных также строятся на базе сетей публичного доступа и в итоге оказываются уязвимыми для вирусов [8]. Втихаря также ведутся эксперименты по удаленному управлению электростанциями через Интернет [9]. В результате даже непреднамеренная атака на провайдера может привести к совершенно неожиданным побочным последствиям.

В общем, нет ничего удивительного в том, что корпоративная сеть на злополучной электростанции оказалась связана с технической сетью. Этот тандем был прикрыт межсетевым экраном, настройки которого могли бы защитить от Slammer’ской атаки. Но по какой-то большой нужде бизнес-сеть была соединена линией класса T1 с неким анонимным подрядчиком, причем от большого ума подключение было произведено в обход межсетевого экрана и о нем знал ограниченный круг сотрудников службы сетевой поддержки.

Подрядчик не заботился о компьютерной безопасности вовсе, поэтому мгновенно подцепил Slammer. Дальнейшее было делом техники и, в конце концов, семена Slammer’а оказались в служебной сети электростанции, где их дожидался «по крайней мере один незаштопанный Windows сервер». Последовавшее за инцидентом разбирательство показало, что станционные «компьютерные инженеры» не имели понятия об SQL-уязвимости и о соответствующей заплате полугодичной давности от Microsoft.

Под натиском червя последовательно рухнули две подсистемы, отслеживающие критические параметры атомного реактора и состояние управляющей сети. Хотя для обеих подсистем имелись дублирующие аналоговые службы, которые не мог поразить вирус, но недоступность привычных цифровых сервисов держала обескураженный персонал станции в стрессовом состоянии на протяжении пяти часов пока шла борьба с червяком. Понятно, что находись реактор в штатном режиме, его скорее всего пришлось бы аварийно останавливать и шуму было бы на весь мир.

Происшествие не получило широкой огласки, поскольку время отключения мониторинговых систем не превысило критических восьми часов, а управляющие системы не были (и утверждается, что по своему построению не могли быть) затронуты вовсе. Информация распространялась в ведомственном бюллетене по безопасности, с целью подготовки персонала других электростанций к вирусным вторжениям. Если бы не очередное Великое Затмение, устроенное (не)радением все той же First Energy, то мы бы так и гадали в потемках о том, какой все-таки же идиот додумается подключить атомный реактор к Интернету? Теперь этот идиот имеет конкретные имя и фамилию. И, к слову сказать, он оказался не один, хотя реальные масштабы высокотехнологичного кретинизма эксперты оценить пока что не могут [10].

Теперь в рамках расследования Затмения 2003 приходится доказывать, что червь Blaster/LoveSun не причастен к неполадкам аварийной сигнализации, которая не предупредила диспетчеров о повреждении высоковольтных ЛЭП. В любом случае, спекуляции на эту тему появились в Сети сразу же после аварии [11]. Уже первые заявления экспертов и политиков [12] свидетельствуют, что мы имеем дело с очередным проявлением «альпийского [13]. Несомненно, что всплывшие факты вопиющей халатности на атомной электростанции Davis-Besse окажут значительную услугу лоббистам кибертеррористической угрозы. А если выявится, что во время отключения электричества хотя бы один компьютер в сетях энергосистемы был заражен каким-либо вирусом, то в законодательстве США смертная казнь останется единственным наказанием для вирусописателей.

Выводы из случившегося однозначны: большой бизнес интересуют только биржевые котировки. Проблемы общественной безопасности (а не подлежит сомнению, что компьютерная безопасность – составной элемент общественной) пускай общество решает само, отдельно и за свой, естественно, счет.

В свете вышеизложенного совсем другой оттенок приобретают «усилия» американских компаний по «наведению порядка» на атомных электростанциях СНГ [14]. Пока речь идет о цифровых системах контроля, аналогичных уже применяемых в США, но неугасимо желание испытать и цифровые системы управления. По крайней мере в США уже ожидают разрешения комиссия по ядерному регулированию на внедрение таких систем. Американский институт ядерной энергетики готовит секретное руководство по кибербезопасности для атомных электростанций. По утверждению представителя этого института, проведенное обследование четырех станций не выявило никаких угроз для безопасности и здоровья нации [1]. За исключением разве что идиотов у пульта управления реактором.

Существуют объективные причины, по которым теоретически невозможно создать полностью безопасные компьютерные системы. Главная их беда – отсутствие дуракоустойчивости, что является принципиальным для безопасного функционирования критических инфраструктур. В то же время углубляющаяся компьютеризация и автоматизация систем, обеспечивающих существование современного общества, – вещь неизбежная. Нужно только помнить, что цивилизация держится сегодня на тоненьком проводке. Развалить энергосистему по плечу одному человеку, а для восстановления может не хватить усилий целого государства и тогда оно обречено на стремительную деградацию [15].

1. Kevin Poulsen. «Slammer worm crashed Ohio nuke plant net.» http://www.theregister.co.uk/content/56/32425.html
2. Алексей Лукацкий. «Хакеры управляют реактором.» http://www.infosec.ru/press/pub/p140.htm
3. Подробности см. в моей «Защите от информации» (http://az13.mail333.com/2/duck4w.htm) Последний пример неистребимой утки см. в http://www.crime-research.org/library/Vagif.html

4. «'88 Warning Was Rejected at Damaged Nuclear Plant» http://www.nytimes.com/2002/09/30/national/30NUKE.html
5. «Nuke Plants Aging Disgracefully» http://www.wired.com/news/technology/0,1282,57486,00.html
6. Если верить голливудским россказням, то не существует такого преступления, которое не совершил бы истинный американец за миллион долларов. Удивительно, но К. Маркс писал аналогичные вещи о трехстах процентах прибыли на капитал.

7. «Electric Power Risk Assessment» http://www.ncs.gov/n5_hp/Reports/EPRA/electric.html
8. «SQL Slammer worm lessons learned for consideration by the electricity sector» http://www.esisac.com/publicdocs/SQL_Slammer_2003.pdf
9. http://www.runet.ru/news/860.html
10. «Critical Infrastructure: Control Systems and the Terrorist Threat», Report for Congress. RL31534.
11. http://www.securitylab.ru/?ID=39688,
http://exploit.ru/news/view/?id=9&PHPSESSID=5c37db87e32f717a3707d22664d668b7,
http://www.crime-research.ru/news/2003/08/1602.html

12. «New York struggles to recover from blackout» http://www.crime-research.org/eng/news/2003/08/Mess1603.html

[13] И. Ильф, Е. Петров «Двенадцать стульев», глава «Землетрясение» (http://www.lib.ru/ILFPETROV/dwenadcatx.txt)

[14] http://www.zerkalo-nedeli.com/ie/show/420/36849/

[15] Примерами могут послужить многие республики СНГ.