Denne klumme er et debatindlæg og er alene udtryk for skribenternes synspunkter.
Vi står lige nu over for en ny industriel revolution, som kaldes smart manufacturing eller Industry 4.0.
Danmark er helt i front med en global sjetteplads på listen over lande med flest industrirobotter.
Kernen i revolutionen er en sammensmeltning af automatisering og moderne it-systemer.
Resultatet er, at fremstillingen af et fysisk produkt i stigende grad udføres af maskiner med minimal eller ingen menneskelig indblanding.
Mere konkret betyder det, at vi ser blandt andet programmerbare industrirobotter, transportmaskiner og komplette produktionsanlæg få forbindelse til internettet. For første gang i historien.
Kan nu hackes og misbruges udefra
Det betyder også, at fabrikssystemer, der før var isolerede fra omverdenen, nu kan hackes og misbruges udefra. Er industrien klar til den udfordring?
For at undersøge det spørgsmål har Trend Micros researchteam netop færdiggjort en stor smart manufacturing-undersøgelse i samarbejde med Italiens største tekniske universitet, Politecnico di Milano, i sit Industry 4.0-laboratorium.
Målet med undersøgelsen var at belyse, hvor sikkerhedssårbarhederne i smart manufacturing-miljøerne ligger, og om industriens egne fagfolk er bevidste om udfordringerne.
Konklusionerne er både interessante og skræmmende.
Farlig antagelse om tillid
De fleste har en klar opfattelse af, hvad it er, mens OT (Operational Technology) er et mere diffust begreb.
Kort sagt er OT en samlebetegnelse for den hardware og software, som holder fysiske systemer, eksempelvis fabrikker og kraftværker, kørende.
OT har traditionelt været designet til at fungere isoleret fra virksomhedens it-systemer og netværk.
En stærk tendens i smart manufacturing er imidlertid, at it- og OT-systemerne bliver mere og mere integrerede, fordi det giver åbenlyse muligheder for at optimere og strømline produktionsprocessen fra ide til færdigt produkt leveret til slutbrugeren.
For eksempel ser vi ERP-systemerne (Enterprise Resource Planning) i industrien udvikle sig fra at fokusere på virksomhedens egne, interne arbejdsprocesser til at være SCM-systemer (Supply Chain Management), som fungerer med input og leverancer fra eksterne parter.
Går på tværs
Det betyder, at virksomhedens it-systemer nu går på tværs af både organisatoriske og nationale grænser for at indsamle input, udlicitere udvikling og produktion af komponenter og håndtere transport og betaling mellem mange forskellige lokaliteter over hele verden.
Selvom ERP- og SCM-systemerne stadig typisk kører på deres egne netværk, som er isolerede fra OT-systemerne, skal hele produktionsmiljøet, inklusive it og OT, ud fra en sikkerhedssynsvinkel betragtes som en helhed.
Det er nemlig sådan, hackerne ser på det, når de skal finde en vej ind.
Industriens OT-systemer bygger groft sagt på blind tillid, fordi man grundlæggende antager, at systemerne er isolerede. Imidlertid viser vores undersøgelse, at der er mange veje ind i moderne OT-systemer.
Bl.a. betyder de komplekse EPR/SCM-systemer, at der er adskillige svage punkter, hvor data fra ERP/SCM-systemet kan manipuleres udefra, så manipulationen senere har indflydelse på den data, der bliver loadet ind i OT-systemerne.
Her er det et stort problem, at grundantagelsen i industrien stadig er, at OT-systemerne er umulige at manipulere, fordi de kører lukkede netværk. På den måde er man blind for de sikkerhedstrusler, der ligger upstream i forsyningskæden.
Fejl i open source forplanter sig til produktionen
Vores undersøgelse viser også, at industrien i høj grad har taget open source-software fra tredjepart til sig, når de skal programmere maskinerne på gulvet.
Mere end halvdelen af de industrifagfolk, vi interviewede som en del af vores undersøgelse, bekræftede, at de bruger robotprogrammeringssprog, som bygger på software fra tredjepart. Software, som typisk er tilgængelig online på internettet.
Udfordringen med tredjepartssoftware er, at den kan have latente fejl eller fejl, der bevidst er skjulte, og som først viser sig, når softwaren bliver implementeret i sårbare OT-produktionsmiljøer.
Hvem tester foreksempel den software, som millioner af udviklere henter fra GitHub eller appstores?
De mulige sikkerhedskonsekvenser af at implementere kode med skjulte fejl på fx en industrimaskine er skræmmende.
Robotter er designede til isolation
Lad os tage industrirobotter som eksempel.
De programmeringsprotokoller, industrirobotterne benytter, er udformet på ovennævnte OT-præmis om, at de eksisterer i et miljø med fuld tillid. Én controller er designet til at styre maskinerne på én lokalitet.
Eftersom forbindelsen mellem controlleren og de robotter, den styrer, ofte er hardwired, er der ikke behov for at benytte authentication til at tjekke operatørens identitet eller til at verificere de beskeder, robotterne modtager.
Hvis en hacker researcher sig frem til, at en fabrik benytter en bestemt type open source-software eller en extension fra tredjepart til at styre en robot, behøver hackeren ikke have direkte adgang til OT-systemerne for at ramme fabrikken.
Han eller hun kan bare gå direkte efter at manipulere den bagvedliggende software, som hackeren kan finde på nettet.
Den manipulerede software kan så eksempelvis placeres i fabrikkens OT-miljø via en insider eller via et trådløs device, som bruges til at styre robotterne med.
Vores undersøgelse peger nemlig også på, at der er pres på moderne fabrikker for at bruge trådløse enheder som fx tablets og smartphones som HMI (Human-Machine Interfaces) i OT-miljøerne.
Man sparer kablerne, og samtidig slipper man for at skulle bruge et fysisk joystick til at styre robotterne med. En søgning på Google Play Store viser, at der allerede findes flere end 170 HMI-apps.
Problemet er bare, at mange HMI’er til trådløse enheder stadig er designet til at fungere på lukkede netværk, selvom de trådløse enheder har både wi-fi og Bluetooth, som kan hackes udefra.
Også her har hackeren mulighed for at manipulere koden til appen, fordi den er offentlig tilgængelig via en appstore.
Avanceret i dag, mainstream i morgen
De hackerangreb, vi indtil nu har set i industrimiljøer, har været bygget på traditionel malware, som kan detekteres og stoppes af traditionel sikkerhedssoftware.
Men selvom malware, som er udviklet specielt til at ramme OT-miljøer, stadig hører ind under avanceret hacking, ved vi også af erfaring, at de trusler, der er avancerede i dag, vil være mainstream om få år.
Som vores Industry 4.0-undersøgelse viser, bliver det første vigtige skridt, at industrien indser, at OT-miljøerne ikke længere eksisterer i et vakuum, men er ved at blive en del af et komplekst og åbent netværkssystem på godt og ondt.
Klummer er læsernes platform på Computerworld til at fortælle de bedste historier, og samtidig er det vores meget populære og meget læste forum for videndeling.
Har du en god historie eller har du specialviden, som du synes trænger til at blive delt?
Læs vores klumme-guidelines og send os din tekst, så kontakter vi dig - måske bliver du en del af vores hurtigt voksende korps af klummeskribenter.