Frysere skal liksom være den kjedeligste delen av en dagligvarebutikk. Denne uken ble de en sikkerhetssak. Kjølesystemer hos dagligvarekjeder i seks europeiske land sviktet, og enkelte frysertemperaturer steg til 122°F (50°C), noe som tvang butikkene til å kaste mat. Hendelsen er et antatt supermarked-fryser-cyberangrep, og den har fornyet bekymringen for sårbar eldre programvare som kjører i den fysiske verden.

Tilskrivningen beskrives fortsatt som antatt, så det er verdt å være forsiktig med hva som er kjent og hva som ikke er det. Det som er klart, er mønsteret: programvare som styrer fysisk utstyr sviktet på en måte som virker bevisst, og konsekvensene ble målt i ødelagt varelager snarere enn stjålne data.

Hva som skjedde med supermarkedfryserne

Ifølge rapporteringen sluttet kjølesystemer hos dagligvarekjeder i seks land å oppføre seg normalt. I noen tilfeller klatret frysertemperaturene til 122°F. Butikkene måtte kaste mat som ikke lenger kunne holdes trygg for salg.

Dekningen av den franske delen av hendelsen beskriver at hackere fikk kontroll over programvaren som regulerer kjøleenheter og tvang noen til å varmes opp over natten. Noen rapporter anslår antallet rammede franske enheter til hundreder. Danfoss, en produsent av kjøleutstyr, skal ha fortalt AFP at mesteparten av det rammede utstyret var «eldre» produkter som «ikke lenger mottar programvare- eller sikkerhetsoppdateringer». Vi har ikke uavhengig verifisert disse tallene, og etterforskningen ser ut til å pågå.

Skadene i dette tilfellet var hovedsakelig økonomiske og driftsmessige: tapt varelager, forstyrrede butikker og ansatte som håndterte oppryddingen. Men samme type tilgang kan i prinsippet påvirke ethvert system som styrer varme, kulde, vann eller strøm.

Hvorfor eldre programvare gjør et supermarked-fryser-cyberangrep mulig

Kjølekontrollere tilhører en kategori som kalles operasjonell teknologi (OT). I motsetning til en bærbar PC eller telefon er disse enhetene bygget for å kjøre i mange år med minimal oppmerksomhet. De installeres, kobles til et nettverk slik at teknikere kan overvåke dem, og blir deretter i stor grad glemt.

Den utformingen skaper flere kjente svakheter:

  • Ingen flere oppdateringer. Når en produsent slutter å utstede sikkerhetsoppdateringer for et produkt, forblir enhver feil som oppdages etterpå permanent åpen. Den rapporterte Danfoss-uttalelsen peker direkte på dette problemet.
  • Fjernstyring i designet. Sentraliserte systemer lar teknikere diagnostisere problemer og sende endringer uten å besøke hver butikk. Den bekvemmeligheten gir også en angriper ett enkelt sted å sikte på hvis systemet er tilgjengelig fra internett eller dårlig beskyttet.
  • Lang levetid. Utstyr kjøpt for et tiår siden kan fortsatt fungere perfekt som fryser, mens det er umulig å forsvare som en nettverksdatamaskin.
  • Sikkerhet fremfor sikring. Disse systemene ble ofte designet for å holde seg pålitelig i drift, ikke for å motstå en bestemt inntrenger.

Ingenting av dette er unikt for supermarkeder. Sykehus, fabrikker og bygningsstyringssystemer deler samme avveining mellom oppetid og oppdatering.

Hva dette betyr for deg

De fleste lesere driver ikke en dagligvarekjede, men mange driver mindre versjoner av samme oppsett. Et hjem eller en liten bedrift kan ha en ruter, et nettverkskamera, en smart termostat, et tilkoblet kjøleskap, en NAS-stasjon eller en betalingsterminal. Hver av dem er en liten datamaskin koblet til internett, og mange ble kjøpt for år siden og aldri oppdatert.

Lærdommen fra fryserhendelsen er ikke at kjøkkenapparatet ditt snart kommer til å koke maten din. Det er at internett-eksponerte enheter med utdatert programvare er en realistisk vei inn i et nettverk, og at konsekvensene kan strekke seg utover data til fysisk drift. For en liten kafé, restaurant eller butikk med et kjølerom på en fjernovervåkningstjeneste er scenariet ikke fjernt. Ødelagt varelager skader en liten bedrift langt mer enn en stor kjede.

Ruteren din betyr mest her. Den er porten for alle andre enheter. Hvis den er gammel, uoppdatert eller administrert med et standardpassord, arver alt bak den den risikoen.

Hvordan sikre tilkoblede enheter og rutere

Du trenger ikke spesialverktøy for å redusere eksponeringen din. En kort gjennomgang kommer langt:

  1. List opp hva som er tilkoblet. Sjekk ruterenhetens liste over enheter og noter alt du ikke kjenner igjen eller ikke lenger bruker. Koble fra det du ikke trenger.
  2. Oppdater fastvaren. Installer de nyeste oppdateringene på ruteren og alle tilkoblede enheter. Slå på automatiske oppdateringer der det tilbys.
  3. Sjekk for status som utgått levetid. Slå opp om produsenten fortsatt støtter hver enhet. Hvis et produkt ikke lenger mottar sikkerhetsoppdateringer, planlegg å erstatte det, eller i det minste isolere det.
  4. Endre standardpåloggingsinformasjon. Erstatt fabrikkbrukernavn og -passord med unike, sterke passord, og bruk en passordbehandler for å holde oversikt.
  5. Slå av fjern tilgang du ikke bruker. Deaktiver ekstern administrasjon, portvideresending og UPnP på ruteren med mindre du har en spesifikk grunn til å beholde dem.
  6. Segmenter nettverket ditt. Sett smartenheter, kameraer og utstyr på et gjestenettverk eller separat nettverk borte fra bærbare PC-er og arbeidsfiler. Hvis én enhet kompromitteres, holdes skadene begrenset.
  7. For små bedrifter, still leverandører direkte spørsmål. Hvis en leverandør fjernstyrer kjøleutstyret ditt eller annet utstyr, spør hvordan tilgangen er sikret, hvem som kan logge inn, og om maskinvaren fortsatt støttes.

Konklusjonen

Supermarked-fryser-cyberangrepet er en levende påminnelse om at eldre programvare ikke forblir et problem bare for kontoradministrasjonen. Når gamle, uoppdaterte systemer er tilgjengelige fra internett, kan et angrep bli til smeltet varelager og tomme hyller. De samme prinsippene gjelder hjemme og i en liten butikk: vit hva som er tilkoblet, hold det oppdatert, pensjoner det som ikke lenger kan oppdateres, og skill risikable enheter fra resten av nettverket ditt. Sett av en time denne uken til å gjennomgå ruteren og de tilkoblede enhetene dine. Det er en liten oppgave sammenlignet med kostnaden ved å kaste en hel fryser full av mat, eller verre.