黑帽大會(huì)演示智能電網(wǎng)安全風(fēng)險(xiǎn)

摘要：智能電網(wǎng)（smart grid）技術(shù)打開了能源保護(hù)和有效操作可能性世界的大門。但是也給智能電網(wǎng)的黑客創(chuàng)造的巨大的機(jī)會(huì)。

    智能電網(wǎng)（smart grid）技術(shù)打開了能源保護(hù)和有效操作可能性世界的大門。但是也給智能電網(wǎng)的黑客創(chuàng)造的巨大的機(jī)會(huì)。

    FYRM Associates的負(fù)責(zé)人Tony Flick把正在形成的智能電網(wǎng)安全標(biāo)準(zhǔn)和PCI DSS作對(duì)比。PCI DSS的目標(biāo)是保護(hù)支付卡。

    Flick認(rèn)為這是好事。他說美國(guó)國(guó)家標(biāo)準(zhǔn)技術(shù)研究所（National Institute of Standards and Technology，NIST）設(shè)置的PCI DSS規(guī)則的不足是因?yàn)樗麄兎浅Ｄ：?，并允許行業(yè)自定義策略。這就造成了配置的不確定性，以及缺乏防護(hù)措施和其他問題的情況下認(rèn)為合規(guī)的執(zhí)行情景。

    Flick說：“我不是說（PCI DSS）是失敗的——任何安全措施都比沒有要好——但是同時(shí)，也有對(duì)這個(gè)標(biāo)準(zhǔn)的有理有據(jù)的批評(píng)。”

    公用公司已經(jīng)開始采用和互聯(lián)網(wǎng)連接的電力測(cè)量設(shè)備，并收集家庭和商業(yè)的用電情況。這種設(shè)備和變電站相連接，使公用公司更有效地傳遞電力。目的是為了通更緊密地監(jiān)控能源消耗而降低成本，節(jié)約能源。

    Flick在7月30日的黑帽大會(huì)上發(fā)表題為“攻擊智能電網(wǎng)"的演講，他還說規(guī)則創(chuàng)建還沒有作出最后決定。他建議NIST不要采用PCI DSS的不干涉的方法。

    Flick說：“我們需要足夠的政府法規(guī)以及詳細(xì)的情況，確保公司做到了足夠強(qiáng)大的安全等級(jí)。”

    但是在有些情況下，可能就會(huì)完了。公用公司采用智能電網(wǎng)，可能就不能遵守隨后的標(biāo)準(zhǔn)了。

    他說：“如果開始已經(jīng)過去了，你不可能從開始就整合。”

    早期的跡象是安全確實(shí)是個(gè)大問題。IOActive公司也出席了大會(huì)，他們將對(duì)一些智能電網(wǎng)設(shè)備進(jìn)行測(cè)試演示。IOActive的高級(jí)安全顧問Mike Davis沒有透漏測(cè)試的細(xì)節(jié)。在這家公司發(fā)現(xiàn)的智能電網(wǎng)的所有漏洞中，設(shè)備上安全性的全面缺乏出現(xiàn)在新的加密健上。他指出媒體對(duì)智能電網(wǎng)的關(guān)注使安全廠 商說他們正在注意安全型，而且他希望也是如此。Davis的演講名為：“可恢復(fù)的高級(jí)測(cè)量架構(gòu)”也確定在7月30日。

    智能電網(wǎng)技術(shù)將從根本上覆蓋現(xiàn)有的電力網(wǎng)絡(luò)管理系統(tǒng)。不安全的智能電網(wǎng)技術(shù)就會(huì)給黑客提供他們所附屬的不安全網(wǎng)絡(luò)的快速通道。預(yù)智能電網(wǎng)架構(gòu)的不安全性 是今年春天很熱的話題，當(dāng)時(shí)華爾街時(shí)報(bào)報(bào)道說，美國(guó)網(wǎng)絡(luò)被中國(guó)和其他國(guó)家的黑客攻擊。雖然專家對(duì)這件事情很不屑，但是還有條主論調(diào)，也就是主要的結(jié)論—— 網(wǎng)絡(luò)很危險(xiǎn)——達(dá)成了一致。

    互聯(lián)網(wǎng)安全顧問組 （Internet Security Advisors Group）的總裁，同時(shí)也是《Spies Among Us: How to Stop the Spies, Terrorists, Hackers, and Criminals You Don't Even Know You Encounter Every Day.》 這本書的作者的Ira Winkler說：“情況非常嚴(yán)重。現(xiàn)在電力網(wǎng)絡(luò)只是受到了惡意人士的意愿和創(chuàng)造性的限制。”

    智能電網(wǎng)的不安全性增加了由多種原因在長(zhǎng)時(shí)間內(nèi)形成的問題的難度。根本問題是電力公司使用公共互聯(lián)網(wǎng)來傳輸重要數(shù)據(jù)，而且在很多情況下對(duì)這些系統(tǒng)的保護(hù)不恰當(dāng)。

    還沒有好消息出現(xiàn)。輸電網(wǎng)和運(yùn)行輸電網(wǎng)的控制網(wǎng)絡(luò)都依賴于微軟的Windows 操作系統(tǒng)，而專家稱Windows也很危險(xiǎn)。很多公共事業(yè)只是不知道敏感數(shù)據(jù)存在在那里，而且不會(huì)有計(jì)劃地掃描通常很脆弱的網(wǎng)絡(luò)，他們可以構(gòu)成本質(zhì)上是自己造成的拒絕服務(wù)（DoS）攻擊。

    負(fù)責(zé)輸電網(wǎng)安全的公司——The North American Electric Reliability Corporation (NERC)讓公共事業(yè)部門自己評(píng)估他們的“關(guān)鍵網(wǎng)絡(luò)資產(chǎn)”?？梢灶A(yù)料到結(jié)果是公共事業(yè)部門說他們的關(guān)鍵網(wǎng)絡(luò)資產(chǎn)不多。這正是Flick所說的針對(duì)新型的智能電網(wǎng)系統(tǒng)的思考方式。