互联网

荷兰白帽黑客轻松攻破电网控制系统 捧走其第四座Pwn2Own奖杯

在本周于佛罗里达州迈阿密举办的 Pwn2Own 2022 大会上,两名来自荷兰的白帽黑客获得了第四次胜利。作为这场年度黑客大会的大赢家,Dean Keuper 和 Thijs Alkemade 获得了 90000 美元奖励、且捧走了冠军奖杯。此前这对搭档曾于 2012、2018 和 2021 年创下过佳绩。

1.jpg

本次挑战期间,俩人将目标瞄向了名为“OPC UA”的工业控制软件。其采用的开源通信协议,被广泛应用于连接全球电网和其它关键基础设施等工业系统。

尽管攻破 OPC UA 已经让外人感到相当不安,Keuper 和 Alkemade 仍声称这是他们能够搞定的“最简单”的系统。

Keuper 在接受 MIT 科技评论采访时称:“在工业控制系统中,仍有许多隐患可被轻松利用,该领域的安防已经严重落后于现实世界”。

Alkemade 补充道,在工控环境中的操作相当容易得逞。事实上,俩人还攻击了其它几套基础设施系统,但仅耗时两天就攻破了 OPC UA 。

2.jpg

Daan Keuper 和 Thijs Alkemade 收到了 Master of Pwn 奖杯与夹克

Keuper 指出:“OPC UA 被用于连接世界各地的基础设施,作为典型的工业网络核心组件,我们可绕过通常需要读取或修改任何内容的身份验证”。

正因如此,他们才花了几天时间就找到了突破口,并最终成功入侵了被世人认为相当重要的工控系统。

联想到俄乌冲突期间发生的针对能源、水利、以及核基础设施系统的网络攻击,相关行业显然需要打起十二分精神去巩固安全措施。

最后,虽然报道未提及开发者是否已经修补了 OPC UA 漏洞,但考虑到 Pwn2Own 赛事主办方 Zero Day Initiative 的“私下披露奖励政策”,目前暂可推定它是安全的。

[!--page.stats—]
希望看到您的想法,请您发表评论x