Közel kétezer magyar napelemes eszköz érhető el védtelenül az interneten

Legalább 1916 magyarországi, fotovoltaikus termeléshez kapcsolódó, azaz napelemes eszköz szabadon hozzáférhető a nyílt interneten keresztül, és számos ilyen elérhető felület hemzseg a sérülékenységektől – állapította meg a hazai napelemes rendszerek kitettségét felmérő Kocsis Tamás kiberbiztonsági szakértő, a Kiberblog szerzője. A kutakodása eredményeit hosszabb tanulmányban részletezte, de a legfontosabb megállapításokat egy blogbejegyzésben is összefoglalta.

„A napenergiás termelés már a hazai villamosenergia-termelés felét teszi ki. A termelőeszközök jellemzően néhány nagy és többségében kínai gyártótól származnak. Ez a technológia-koncentráció a kiberbiztonsági kockázatokkal és sérülékenységekkel, valamint a látottak alapján, a technológiai architektúrával (és hiányosságaival együtt) olyan probléma, amelyre megoldást kell találni” – összegezte a tanulságokat a szakértő.

Kocsis azután fogott hozzá a hazai napelemes rendszerek vizsgálatához, hogy a Modat nevű holland biztonsági cég október elején publikált a témában egy kutatást, amely „megállapította, hogy 8500 EU-s nap- és szélenergiás termelőeszköz (inverter, datalogger, vezérlő, stb.) férhető hozzá az interneten keresztül, amelyből 514 magyar”. A cég a saját maga által fejlesztett keresőt használta ehhez, amellyel összetett módon lehet egészen a konkrét terméktípusok szintjén keresni az internetről elérhető eszközök között.

Kocsisnak viszont korábbi saját kutatásai alapján túl kevésnek tűnt a védtelen magyar eszközök száma. Egy hasonló korábbi kutatásáról mi is írtunk: 2021-ben a hazai webkamerák biztonságának nézett utána, és arra jutott, hogy több mint ezer magyar kamera képe érhető el védtelenül a neten, azaz a hekkerek akadálytalanul nézegethették idegenek otthonában a hálószoba vagy a gyerekágy élő képét, esetleg irodák belsejét.

„Ha nem ismeri valaki, milyen eszközöket használ az adott szektor vagy célterület (például milyen eszközök jellemzőek a hazai termelésre), akkor bizony sok eszközt nem fog tudni megtalálni” – írta Kocsis, ezért felvette a kapcsolatot a Modattal, és a segítségükkel, illetve az eszközük használatával elvégzett egy kifejezetten Magyarországra fókuszáló adatgyűjtést.

„Mint minden ilyen eszközkereső-alapú kutatás, az enyém sem lehet tökéletes, én sem ismerek minden eszközt, azonban még így is 1916 olyan hazai fotovoltaikus energiatermelő szolgáltatás került azonosításra, amely elérhető a publikus internet felől.”

Pontosabban legalább 1916 ilyen eszközt – invertereket, adatgyűjtőket, tárolókat, termelésmenedzsment eszközöket – talált. „Ennél biztosan csak több van, mert én sem ismerek minden lehetséges eszközt. Szóval tessék ezt csak a minimumnak tekinteni” – jegyezte meg, hozzátéve, hogy „jó pár már az az adatgyűjtés után jött szembe velem, úgyhogy azokat már bele sem számoltam”. A védtelen eszközök között olyan típusúakat is azonosított, amelyeket nem házi napelemrendszereknél, hanem kifejezetten nagyobb napelemparkokban használnak.

A megtalált eszközök webes adminfelületei tele voltak sérülékenységekkel. Ezek között akadtak olyanok is, amelyeket 2016-ban fedeztek fel, tehát több mint egy évtizede nem foltozta be frissítéssel senki. A Modat keresője összesen 9554 sérülékenységet talált, ebből 1610 kritikus volt, további 3239 pedig magas besorolású.

Kocsis megjegyezte, hogy míg az IT (information technology) világában a frissítések naprakész telepítése kulcsfontosságú, az OT (operational technology), azaz a termelőeszközökre jellemző kiberfizikai rendszerek esetében más a helyzet, mert ezeknél az eszközök zavartalan és folyamatos működése a prioritás, hiszen egy gyárban nem lehet csak úgy leállítani a gépeket egy-egy frissítés kedvéért. Épp ezért itt nem maga a frissítések elmaradása a nagyon problémás, hanem az, hogy ezek az eszközök ebben a védtelen formában elérhetők a nyílt interneten keresztül.

Kocsis legalább 647 olyan fotovoltaikus szolgáltatást is azonosított, amelyre nemcsak rálátni lehet, hanem a hitelesítés nélkül hozzáférhető MODBUS ipari hálózati protokolljukon keresztül jó eséllyel távolról ki-be kapcsolgathatók rajtuk keresztül a napelemek inverterei. Sőt néhány olyan webes felületet is talált, amelyek bármiféle hitelesítés nélkül hozzáférhetők, azaz ezeken keresztül is be lehet avatkozni az érintett eszközök működésébe.

„A hazai (és persze a nemzetközi) szakemberek évek óta pedzegetik, hogy szerintük kellene valamit csinálni, mert a kipublikált eszközök, a sérülékenységek és a rossz konfigurációk – illetve ezek széleskörű, sok termelőt érintő kihasználása – már a rendszerszintű szolgáltatást veszélyeztethetik” – írta Kocsis. Szerinte itt már nem elég a felhasználói tudatosság, szélesebb összefogással lehetne csak kezelni a helyzetet. „Persze, leírtam, hogy ne publikáljuk ki ezeket az eszközöket. Az is leírtam, legyen jelszóvédelem, hozzáférés-kontroll, behatolásvédelem és a többi. De azt hiszem nem itt kell elkezdeni a dolgot. […] Azt gondolom, hogy itt a villamosenergia-rendszer jeles képviselőinek (aggregátorok, elosztói engedélyesek, rendszerirányító, integrátorok) és a kormányzati kibervédelemnek és az illetékes hatóságoknak közösen kell elkezdenie tevékenykedni. De gyorsan.”

Kocsis a részletesebb tanulmányban további példákkal mutatja be a nap- és szélenergia-termelő és -tároló rendszerek kiberbiztonsági kockázatait, illetve ezek lehetséges hatását és következményeit a villamosenergia-rendszerre.