Stuxnet y la seguridad industrial (I)

Martes 04 de Octubre de 2011 12:53 |

Escrito por Marcos González

Puede que Stuxnet nos haya hecho un favor a todos. Aunque el gusano parece que no se ha utilizado más allá del programa nuclear de Irán, la peligrosa familia de software de control industrial que tan fácilmente puede ser atacada controla las fábricas y empresas de servicios públicos más importantes del mundo. Y precisamente este éxito ha llevado a muchos investigadores de seguridad a buscar puntos débiles en los sistemas críticos. En poco tiempo se han revelado docenas de vulnerabilidades en el control de supervisión y adquisición de datos (SCADA) de software del que dependen muchas infraestructuras nacionales y la industria manufacturera.
Al poco tiempo, expertos en informática en Italia, Rusia y los EE.UU. publicaron datos sobre un puñado de vulnerabilidades que han encontrado en varios paquetes SCADA utilizados para automatizar instalaciones tan diversas como las centrales eléctricas, plantas de depuración de agua, refinerías de petróleo, fábricas de alimentos, cervecerías y acerías. Ninguna de las debilidades han sido explotadas por los gusanos aún, pero el código de demostración ha demostrado que las vulnerabilidades son reales.

Si fueran aprovechados por un atacante, los agujeros de seguridad podrían hacer que los SCADAs provocasen accidentes o denegasen a los operadores acceso a datos críticos. O permitir el acceso de los saboteadores al proceso industrial en sí mismo. Las vulnerabilidades fueron lo suficientemente graves como para provocar una serie de alertas en el US Department of Homeland Security's Computer Emergency Readiness Team (US-CERT), instando a los autores del software SCADA a tapar los agujeros.

Las vulnerabilidades de SCADA comenzaron a ser reveladas el 17 de marzo por la empresa de seguridad GLEG en Moscú, Rusia, que dio a conocer 11 ejemplos. GLEG fue rápidamente seguido por Luigi Auriemma, un analista de riesgos freelance con sede en Milán, Italia, que publicó una lista de otras 34 vulnerabilidades, alegando que el software industrial elaborado por Siemens de Erlangen, Alemania, ICONICS de Foxborough, Massachusetts, 7-Technologies de Birkerød, Dinamarca y Datac de Dublín, Irlanda, es susceptible a diversos ataques. A continuación, en US-CERT se descubrieron agujeros en un sistema hecho por Ecava en Kuala Lumpur, Malasia.

Los problemas encontrados en SCADA incluyen malos diseños de software que permiten, por ejemplo, el envío de cadenas de datos demasiado largas para ser aceptadas como entradas válidas. El desbordamiento de buffer resultante hace que se pueda dañar la memoria y permitir la ejecución de comandos que podrían dar a un atacante el control remoto mediante el escalado de sus derechos de acceso, según informa Rik Ferguson, un investigador de seguridad de Trend Micro en Marlow, Reino Unido.

Aunque los crackers vender esta información de vulnerabilidades en foros underground, los investigadores de seguridad honestos a menudo se las revelan al propio autor del software con la esperanza de que tapen todos los agujeros. Aunque otros como GLEG y Auriemma, han puesto la información en línea para impulsar la acción. Hay una larga discusión sobre lo que es mejor: una divulgación responsable o la divulgación completa.

Sin embargo, está claro que hasta que los agujeros se tapen, su utilidad es evidente. Sakir Sezer, un ingeniero de seguridad de red de la Universidad Queen en Belfast, Reino Unido, dice que podría ser utilizado por los rivales de la empresa para el espionaje industrial, sabotaje e incluso chantaje. O podrían pagar un equipo para atacar a sus competidores, lo que retrasara la llegada de su producto al mercado.

¿Cómo respondieron todos los actores ante esta situación? Lo veremos con detalle en el siguiente artículo.