Czy chińskie komponenty infrastruktury stanowią zagrożenie bezpieczeństwa cybernetycznego?
Pojawiające się często w mediach teorie o zagrożeniu jakie stanową różnego rodzaju Chińskie komponenty używane do budowy istotnych części różnego rodzaju infrastruktury, w tym np. dotyczące liczników energii są w istocie dyskusją prowadzoną obok rzeczywistych zagrożeń. Warto pamiętać, że w miarę jak systemy energetyczne stają się coraz bardziej zautomatyzowane i połączone, rośnie również ryzyko ataków cybernetycznych na infrastrukturę energetyczną, w tym także na inteligentne liczniki energii. Jednak samo używanie komponentów, które zostały wyprodukowane w Chinach nie przekłada się wprost na większe lub mniejsze zagrożenie ataku cybernetycznego.
W dzisiejszym świecie technologicznym, gdzie urządzenia elektroniczne stanowią integralną część naszego życia, pojawiają się różne teorie spiskowe i bardzo uproszczone obawy dotyczące zagrożenie „wrogim oprogramowaniem” umieszczonym np. w chińskich urządzeniach, które pewnego dnia miałby zadziałać w sposób – mówiąc metaforycznie – podobny do tajnego „Clone Protocol 66” po wykonaniu, którego armia klonów zwróciła się w jednym z odcinków Gwiezdnych Wojen przeciwko rycerzom Jedi.
Takie rozumowanie – w świetle rzetelnej analizy – wydaje się zdecydowanie zbyt daleko idące przede wszystkim dlatego, że byłoby dla Chin gospodarczo śmiertelnie ryzykowne. W opinii publicznej krąży przekonanie, że Europa Zachodnia i Stany Zjednoczone są uzależnione od Chin. Czy rzeczywiście? W 2022 roku do Europy Zachodniej przybyło z Chin 6,4 mln kontenerów. Była w nich głównie elektronika, meble i ubrania. Europa z kolei sprzedała w 2022 r. do Chin towary, które zmieściły się tylko w 1,6 mln kontenerów. W skrócie – nadwyżka Chin w handlu z UE w 2022 roku wyniosła 400 mld USD. Chiny były trzecim na świecie partnerem exportowym EU (9% eksportu), ale pierwszym importowym (20,8% importu). Jeśli chodzi o USA w 2022 r. 7,5% całkowitego eksportu USA (2,1 bln USD) wyeksportowano do Chin a 16,5% całkowitego importu USA (3,2 bln USD) pochodziło z Chin. Na Chiny przypadło 32,4% całkowitego deficytu handlowego USA – dokładnie 382,9 mld dolarów.
Widać wyraźnie, że to chińscy producenci są bardziej zależni od europejskich konsumentów niż odwrotnie. Dodatkowo, o ile Europa inwestuje w Chinach relatywnie niewiele – od siedmiu do dziewięciu miliardów euro rocznie, to USA już ponad 160 mld euro. Łączna nadwyżka handlowo-inwestycyjna Chin ze światem Zachodu jest bliska 1000 mld USD.
Relacja ta ze względu na swoją skalę to tak naprawdę współzależność i odcięcie Chin od zachodnich pieniędzy nie byłoby proste ani nawet realnie możliwe, a istotne ograniczenie handlu z USA i Europą Zachodnią nie mogłoby się dla Chin skończyć dobrze. Trzeba pamiętać, że PKB Chin urósł w 2022 r. jedynie o 3%, a w tym roku, wbrew nadziei na szybkie odbicie gospodarki po usunięciu ograniczeń covidowych wzrost na poziomie 5% będzie bardzo trudny, jeśli w ogóle osiągalny. I wszystko to w kraju, w którym szacunki mówią o rekordowym zadłużeniu przekraczającym 300% PKB. Znalezienie przez Zachodnich specjalistów wprost implantowanego na przemysłową skalę – wrogiego kodu w stylu „Protokołu 66” w urządzeniach importowanych z Chin mogłoby ograniczyć czy wręcz załamać chiński eksport na Zachód w stopniu, którego gospodarka mogłaby nie przetrwać.
Rzeczywiste zagrożenie jest znaczenie bardziej skomplikowane i kryje się gdzie indziej
Prawdziwe wyzwanie to zabezpieczenie i kontrola całego szeregu komponentów systemów infrastruktury krytycznej – obszaru nazywanego po angielsku „surface of attack” – czyli w wolnym tłumaczeniu „obszarem potencjalnego ataku”. Tworzy go bardzo wiele różnorodnych elementów składających się na systemy informatyczne. Zarządzanie bezpieczeństwem takiej „powierzchni ataku” jest niezwykle trudne i skomplikowane. Zadanie polega tu raczej nie na próbie wykrycia wprost szkodliwego kodu w oprogramowaniu, ale na zarządzaniu scenariuszami typu – jeśli np. liczniki energii zostaną w ten czy inny sposób „skompromitowane” to do czego atakujący zespół uzyska dostęp? Jakie otworzą się przed nim możliwości? I najważniejsze – jak sprawić by takie tzw. „skompromitowanie” nie było w stanie doprowadzić do katastrofalnych skutków. Jak by temu zapobiec tak monitorować całą „powierzchnię potencjalnego ataku” tak by zagrożenie szybko wykryć i „wyizolować”?
Przeciwnik jest niestety niezwykle wyrafinowany. Są nim grupy hakerskie wspierane przez rządowe i wojskowe instytucje w Rosji, Chinach, czy Korei Północnej. Starają się one znaleźć podatności nazywane popularnie „zero – day – exploits” czyli w uproszczeniu takie, które nie zostały nigdy użyte, a kryją się w powszechnie używanych systemach uważanych za bezpieczne. Zagrożenia znajdują nie koniecznie w samym kodzie, ale często np. w konfiguracji tych systemów.
Przeciwnicy są przy tym naprawdę dobrze przygotowani. Tylko w ciągu ostatnich 2 miesięcy do publicznej wiadomości przekazano informacje o co najmniej kilku wrogich inicjatywach, prowadzonych niezwykle profesjonalnie, bez odniesienia do jakiegokolwiek „ukrytego przez producentów przemysłowych wrogiego kodu”. Kilka przykładów buduje znaczenie lepszy obraz realnych toczącego się dziś konfliktu i wynikających z niego realnych zagrożeń:
25 maja maju 2023 Specjaliści z Mandiant Cyber Security odkryli nowe złośliwe oprogramowanie powiązane z Rosją, nazwane CosmicEnergy. Może ono fizycznie uszkodzić sieci energetyczne. Oprogramowanie to zostało zainstalowane w 2021 roku w szeroko używanym antywirusowym narzędziu Google o nazwie „Virus Total”, przy wykorzystaniu rosyjskiego adresu IP. Jest podobne do Industroyer, używanego w atakach na infrastrukturę energetyczną Ukrainy. Jest ono powiązane z rosyjskim projektem „Solar Polygon” oficjanie dotyczącym szkolenia specjalistów ds. cyberbezpieczeństwa.
Z kolei 19 czerwca SocRadar przekazał informację dotyczącą szeroko zakrojonego śledztwa, dotyczącego grupy Cadet Blizzard, której poczynania specjaliści z Microsoft śledzili od połowy grudnia 2022 r. Grupa ta odegrała istotną rolę w cyber atakach na infrastrukturę energetyczną Ukrainy, ale okazało się, że jej działanie dotyczą także „bardzo zróżnicowanej grupy celów w wielu państwach – od rządowych stron internetowych i agencje rządowe, po dostawców usług IT, producentów łańcucha dostaw oprogramowania, organizacje pozarządowe, służby ratownicze i organy ścigania.”
12 czerwca 2023, Jen Easterly, dyrektor Agencji Bezpieczeństwa Cybernetycznego i Infrastruktury – najwyższy amerykański urzędnik ds. cyberbezpieczeństwa powiedział wprost, że „Zdolności Chin w zakresie cyberszpiegostwa i sabotażu są „zagrożeniem definiującym epokę”. Jego stwierdzenie było odpowiedzią na pytanie o dotyczące niedawno ujawnionej chińskiej infiltracji amerykańskiej armii i infrastruktury sektora prywatnego. Infiltracja ta została wykryta przez Microsoft, a jej autorem jest – zdaniem Microsoft chińska grupa atakująca o nazwie „Volt Typhoon”, „jawnie powiązana ze zdolnościami chińskiego rządu do cyberofensywy”. Easterly ostrzegł, że w przypadku otwartego konfliktu między USA a Chinami „Amerykanie powinni spodziewać się, że podobne grupy hakerskie zaatakują rurociągi i linie kolejowe i będzie nam bardzo, bardzo trudno zapobiec zakłóceniom”.
Zobacz także: Cyberataki na Polskę przybrały na sile. Wśród atakujących prorosyjscy haktywiści
W świetle tych doniesień pytanie czy chińskie liczniki energetyczne mogą potencjalnie stanowić zagrożenie dla cyberbezpieczeństwa powinno być zastąpione pytaniem „jak dobrze systemy energetyczne są testowane na wszystkie możliwe podatności?” Infiltracja korespondencji mailowej dużej grupy ważnych urzędników z ponad 20 organizacji w Europie i USA (w tym wielu rządowych), o której poinformowali 12 lipca 2023 specjaliści Microsoft, a która została dokonana przez chińskich hakerów z grupy Sorm-0558, nie wynikała z tego, że jakieś elementy infrastruktury miały napis „Made In China”, ale z podatności znalezionej przez nich w microsoftowym serwisie chmurowym.
Jak widać zagrożenie jest znacznie szersze i poważniejsze niż sugerują entuzjaści teorii spiskowej. Wg ocen specjalistów od cyberbezpieczeństwa prawdziwą piętą achillesową jest bowiem kwestia aktywnego monitorowania, sprawdzania i zabezpieczania kluczowych systemów – przy użyciu wystarczających zasobów i z należytą uwagą takie działania obejmują tylko ok. 15% tzw. „potencjalnego obszaru ataku” tych kluczowych systemów. Pozostałe 85% monitorowane jest niewystarczająco – przede wszystkim ze względu na skomplikowanie tego zadania i ogromne środki jakie należałoby przeznaczać na ciągłe testowanie scenariuszy „co się wydarzy, kiedy taka czy inna część systemu zostanie skompromitowana”. Wiedzą o tym hakerzy powiązani ze służbami wywiadowczymi i właśnie na tym polu szukają nieustannie słabych punktów.
Artykuł jest wyrazem prywatnych poglądów autora
