חוקרי אבטחת מידע מישראל גילו ליקויים במערכות השקיה חכמות המהווים פרצה לתוקפי סייבר
מאת: מערכת Telecom News, 14.8.18, 17:30
 
חוקרי אבטחת מידע מאוניברסיטת בן-גוריון מזהירים מהתקפת סייבר מבוזרת נגד שירותי מים עירוניים המופעלים באמצעות מערכות השקיה חכמות בערים ובערים חכמות.
 
חוקרי סייבר מאוניברסיטת בן-גוריון בנגב מזהירים מפני התקפות פוטנציאליות על שירותי המים העירוניים באמצעות שימוש ב-BOTNET של מערכות השקיה חכמות המופעלות במקביל. BOTNET הוא רשת של תוכנות הפועלת על מחשבים או התקנים רבים הנגועים בפוגען (BOT) ונשלטים מרחוק באמצעות שרת פקודות ובקרה המופעל ע"י התוקף ללא ידיעת הבעלים.
 
החוקרים ניתחו ומצאו פגיעויות במספר מערכות השקיה חכמות, שמאפשרות לתוקפים להפעילן מרחוק לסירוגין. הם בחנו 3 מערכות השקיה חכמות נפוצות בשוק: BlueSpray, GreenIQ ו-RainMachine.
 
 סרטון הסבר - כאן. 
 
בן נשיא, חוקר ב-Cyber@BGU, דוקטורנט בהנחייתו של פרופ' יובל אלוביץ במחלקה להנדסת מערכות תוכנה ומידע באוניברסיטה, בין עורכי המחקר "התקפות על מערכות השקיה חכמות": "באמצעות ביצוע התקפות מבוזרות המנצלות פגיעויות במספר רב של מערכות השקיה, יכולה תשתית BOTNET, שמאגדת 1,355 מערכות השקיה חכמות, לרוקן מגדל מים עירוני בשעה בודדת, בעוד תשתית BOTNET של 23,866 מערכות השקיה חכמות יכולה לרוקן את מאגר המים העירוני תוך לילה.
 
במהלך החודש וחצי האחרונים יצרנו קשר עם יצרניות של מערכות השקיה חכמות כדי להתריע על ליקויי אבטחה חמורים במוצריהן, שמהווים פרצה לתוקפים, לצורך שדרוג הקושחה של המערכות.
 
מערכות ייצור והפצה של מים נחשבות לתשתית קריטית ועפ"ר מערכותיהן מאובטחות כדי למנוע מהתוקפים לפגוע בהן. אולם, צרכנים רבים וערים חכמות אימצו טכנולוגיה ירוקה חדשה של מערכות השקיה חכמות כתחליף לממטרות המסורתיות, שאינן עומדות בתקני אבטחת המידע הנדרשים".
 
על אף שהדור הנוכחי של מכשירי IoT (Internet of Things) מווסת משאבים כמו מים וחשמל, שנצרכים מתשתיות קריטיות, כגון חברת המים והחשמל העירוניות, הם מכילים פגיעויות אבטחה רציניות ועתידים להפוך ליעדים מרכזיים עבור תוקפים".
 
במחקר הנוכחי, החוקרים מציגים התקפה מסוג חדש על שירותי מים עירוניים, שאינה דורשת הדבקה של תשתית המים העירונית. במקום זאת, ההתקפה מיושמת באמצעות תשתית BOTNET של מערכות השקיה חכמות, שמהוות "טרף קל" עבור תוקפים. החוקרים הראו, ש-BOT, שפועל על מכשיר מודבק, יכול לזהות מערכת השקיה חכמה המחוברת לרשת ה-LAN שלו תוך פחות מ-15 דקות באמצעות ניתוח תקשורת של כתובות IP ברשת וכן ליזום השקיה באמצעות תקיפה של המערכת השקיה החכמה שזוהתה.
 
צוות המחקר כלל גם את הדוקטורנט יאיר מידן, ואת המנחה שלו ד"ר אסף שבתאי וכן 2 חוקרי אבטחת מידע - משה סרור ועידו לביא.