L'automate a répondu. Ce n'est pas un pont qui se détraque

Les systèmes de contrôle des ponts mobiles devraient être invisibles depuis l'internet public. Les résultats des recherches passives suggèrent le contraire.

Si vous avez grandi aux États-Unis devant un téléviseur, vous avez déjà vu un pont se détraquer. Le film du pont de Tacoma Narrows, tourné en 1940, est l'extrait auquel tout le monde pense, même sans le savoir : « Galloping Gertie » qui ondule, le tablier transformé en ruban, une voiture abandonnée sur la chaussée comme un jouet oublié. Ces images montrent un véritable effondrement, filmé en plein jour, et elles n'ont rien à voir avec EtherNet/IP. C'était le vent, et un tablier qui avait trouvé une fréquence à son goût. Le public se souvient du ruban. Ceux qui conçoivent des tabliers se souviennent du flottement.

La première version de cette page empruntait cette image pour son titre. Un moteur de recherche avait renvoyé quelques bannières industrielles, dont certaines contenaient le mot anglais « lock », et le titre s'est empressé de vous offrir une travée devenue folle. Les commentaires qui ont suivi étaient peu aimables. Ils n'avaient pas tort non plus sur l'ampleur de l'affirmation. Un résultat Shodan n'est pas Galloping Gertie, et il ne le devient pas parce que le titre a faim.

Ce que j'avais réellement, et que j'ai toujours, est plus discret qu'une affiche, ce qui ne revient pas à dire que ce n'est rien.

Face à l'index

Avec un compte Shodan de niveau développeur, sans aucun scan actif et sans aucun paquet envoyé vers l'automate de qui que ce soit, j'ai demandé à l'index public les bannières industrielles sur les ports que ces protocoles annoncent déjà. EtherNet/IP sur le 44818. Modbus TCP sur le 502. L'index a répondu. C'est une phrase plus terne que ce qu'un titre réclame. C'est aussi toute la méthode de terrain, et une fois qu'on cesse d'habiller le résultat pour une bande-annonce, c'est tout le constat.

Équipements Rockwell répondant sur le port 44818 :

• 37 en Alabama
• 49 dans l'agglomération de La Nouvelle-Orléans
• 6 dans l'ensemble de l'index dont la bannière contenait le mot « lock »

Équipements Modbus répondant sur le port 502 :

• 91 en Alabama
• 218 dans l'agglomération de La Nouvelle-Orléans
• 12 dans l'ensemble de l'index dont la bannière contenait le mot « lock »

Arrêtez-vous un instant sur ces deux derniers chiffres. Ce n'est pas un inventaire du Mississippi. Ce n'est pas un recensement des ponts mobiles. C'est une poignée de chaînes de caractères qu'un équipement acceptait de dire à voix haute. « Lock » dans cette chaîne peut désigner une écluse de navigation, une étiquette de consignation, un nom de produit fournisseur, ou un mot qu'un intégrateur a tapé en 2009 parce qu'il tenait dans le champ de vingt caractères et que personne n'a modifié ce champ depuis. Je ne me suis connecté à aucun de ces équipements. Je ne les ai rattachés à aucun pont, aucune écluse ni aucun exploitant nommé. Je n'ai pas prouvé qu'un équipement compromis permettrait de lever une volée, de faire pivoter une travée ou de retenir une barge contre le courant. Quiconque vous affirme le contraire projette un film d'actualités sur un champ de recherche.

Ce que je peux affirmer sans mentir est plus modeste, et mérite tout de même d'être dit. Du matériel à protocoles industriels, des mêmes familles que celles utilisées autour des ponts mobiles, des écluses de navigation et de mille autres installations, figure dans un index de recherche public, y compris une poignée de bannières qui contiennent par hasard le mot « lock ». Les équipements sont joignables. Leur nom, leur propriétaire et la question de savoir si une écriture déplacerait une travée sont autant de questions auxquelles cette recherche n'a pas répondu, et prétendre le contraire relèverait du théâtre.

Un port qui répond ressemble davantage à une lampe de porche allumée qu'à un effondrement. Vous savez que quelqu'un a relié quelque chose à la rue. Vous ne savez pas s'il s'agit de l'entraînement de la travée, d'une baie de rechange dans un abri, d'un laboratoire fournisseur ou d'un honeypot doté d'un certain sens de l'humour. La lampe de porche reste un fait. Ce n'est simplement pas le film.

Ce que le chemin est censé être, et ce que l'équipe de nuit installe réellement

Dans une usine, sur une écluse ou sous une travée d'autoroute, le chemin de contrôle-commande n'est pas censé répondre depuis l'internet public. Si l'IEC 62443 et le NIST 800-82 veulent dire quelque chose une fois le classeur refermé, c'est ceci : la supervision peut sortir, et les commandes ne doivent pas entrer simplement parce qu'un moteur de recherche l'a demandé. Une passerelle unidirectionnelle est la façon de tenir cette promesse au niveau matériel. L'état sort. La rue n'a pas voix au chapitre. Waterfall et les autres spécialistes des diodes de données le répètent en réunion depuis des années, et ils ont raison sur la physique, même quand la réunion budgétaire porte sur autre chose.

Le parc installé est plus ancien que ces phrases, et il a le don de le rester. Une règle de diagnostic héritée d'une saison des ouragans, un VPN fournisseur, une NAT temporaire qui a survécu à la panne, un modem cellulaire installé pour que quelqu'un puisse vérifier une cuve depuis son camion : chacun de ces éléments était une demande raisonnable le jour où elle a été traitée. Puis la travée a dû bouger à 2 heures du matin, et le chemin qui l'a fait bouger est celui qui est resté. Les sites renoncent à la diode non pas parce que c'était une idée absurde, mais parce que l'accès fournisseur est déjà en place et que l'arrêt, c'est ce soir. Les tickets de commodité restent la langue maternelle des réseaux industriels. J'ai été dans des salles où tout le monde s'accordait à dire que l'ancienne règle avait été supprimée, alors que la bannière répondait toujours, ce qui est une autre façon de dire qu'un consensus n'est pas une mesure de sécurité.

Rien de tout cela n'exige de prétendre que j'ai vu un pont précis se dérégler. Il suffit de remarquer que les protocoles qu'il faudrait utiliser pour le dérégler sont, à certains endroits, assez polis pour saluer des inconnus.

Si vous exploitez quelque chose qui bouge, la vérification la plus utile est aussi la plus simple. Demandez-vous si Modbus, EtherNet/IP ou la famille de protocoles que vous utilisez réellement répond depuis l'extérieur de la zone censée en avoir la charge. Si c'est le cas, vous avez une porte que vous ne vouliez pas laisser ouverte. Sinon, cette page ne concerne pas votre installation. Dans les deux cas, un mot dans une bannière n'est pas un verdict sur le parc américain de ponts mobiles. C'est une lampe de porche. Le film du ruban est une autre histoire, et elle était déjà vraie en 1940.

Le chemin d'accès à distance que l'on retrouve sur les ponts et les écluses est le même que partout ailleurs en OT. Si vous voulez la méthode (serveur de rebond, MFA et fenêtres d'accès limitées pour les fournisseurs) en un seul téléchargement, rendez-vous sur otfeed.com.

Toutes les données de cet article ont été collectées par des requêtes de recherche Shodan passives. Aucun scan actif, aucun sondage, aucune interaction avec les systèmes cibles n'a été effectué. Les résultats représentent des bannières d'équipements indexées publiquement, et non des évaluations de vulnérabilité. Cette recherche n'attribue pas d'équipements spécifiques à des installations spécifiques.

← Retour à Control Systems Security