Fjern cellulærmodemet. Ikke deaktiver — fjern

Factory Acceptance Test, dag tre. Anleggseierens igangkjøringsingeniør går rundt en åpen kabinett som inneholder vindturbinens hovedkontroller, og sammenligner det som ligger foran dem med produsentens dokumentasjon. Kabinettet er rent, godt utformet, profesjonelt bygget. Dokumentasjonen er fullstendig og nøyaktig.

Så legger ingeniøren merke til noe dokumentasjonen ikke nevner. En liten SMA-kontakt på den ene kanten av hovedkontrollkortet, og, tredd bak en kabelbunt, en koaksial-pigtail som leder til en liten antenne montert på innsiden av kabinettdøren.

De følger pigtail-en tilbake. Et datterkort koblet til en mezzanin-kontakt på hovedkortet, som bærer en LTE-modemmodul av en type som vanligvis brukes i industrielle rutere.

Produsentens ingeniør blir kalt over. De bekrefter at modemet er til stede. De bekrefter at det er deaktivert i firmware. De tilbyr å demonstrere at ingen trafikk flyter gjennom det under normale forhold. De forklarer at modemet er montert «for nødstøtte, i tilfelle tilkoblingen på stedet er utilgjengelig under igangkjøring».

Anleggseierens ingeniør skriver et notat i FAT-rapporten. Notatet er kort: modemet må fjernes fysisk. Ikke deaktiveres. Fjernes.

Prinsippet er kort. Maskinvare som er til stede er en kapabilitet som eksisterer. Maskinvare som er fraværende er en kapabilitet som ikke gjør det. De to tilstandene er ikke utskiftbare, og forskjellen mellom dem er forskjellen mellom en kontrollert arkitektur og en ukontrollert. Out-of-band-kanaler — cellulærmodemer, Bluetooth-grensesnitt, Wi-Fi-adaptere, skjulte USB-administrasjonsporter, udokumenterte serielle konsoller, baseboard management-kontrollere, NFC-tagger, proprietære radiolenker — er den enkelte mest vanlige arkitektoniske overraskelsen i OT-akseptansetesting. Botemiddelet er ikke konfigurasjon. Det er fjerning.

Hvorfor «deaktivert» ikke er nok

En deaktivert komponent kan reaktiveres. Firmware er ikke uforanderlig. En fremtidig firmwareoppdatering — inkludert en som anvendes gjennom den legitime oppdateringsprosessen — kan reaktivere modemet, enten med vilje fordi en funksjon er gjeninnført, eller utilsiktet fordi en regresjon har sluppet forbi testingen. Produsentens forpliktelse om at ingen fremtidig firmware vil reaktivere en bestemt kapabilitet, er ikke håndhevbar på tvers av firmwareversjoner, leverandørfusjoner, endringer i produktstrategi, eller menneskelig feil i en utgivelsesgren. Fem år inn i en tjuefem-års anleggslevetid er de folkene som ga den forpliktelsen ikke lenger i selskapet, og forpliktelsen er ikke lenger i endringsloggen.

Deaktivert betyr ikke inert. En cellulær-modem-chip på kortet, selv med firmware som deaktiverer radioen, har fortsatt fysisk RF-kapabilitet hvis antennen er koblet til. Den har fortsatt strøm- og klokkesignaler. Den vises fortsatt i sårbarhetslandskapet — CVE-er som retter seg mot den modem-brikken gjelder fortsatt for enheten som leveres med den, uansett om radioen er i bruk eller ikke. Hvis enheten har et SIM-kort, kan SIM-et fortsatt svare på visse kommandoer. En vedlikeholdstekniker, en turbin-klatrer, eller en hvilken som helst kontraktør med fysisk tilgang i et kabinett, har flere alternativer for å reaktivere en deaktivert radio enn for å installere en som aldri var der.

Verifisering er ikke gjennomførbart. Anleggseieren kan ikke bevise en negativ gjennom inspeksjon av en black-box-enhet. De kan ikke verifisere at firmware faktisk deaktiverer modemet under alle forhold og på tvers av alle vedlikeholdsmodi. De kan ikke verifisere at ingen spesifikk UART-kommando, ingen spesifikk GPIO-sekvens, ingen spesifikk debug-bygg, ingen spesifikk gjenopprettings-prosedyre vil reaktivere radioen. Den eneste verifiserbare tilstanden er fysisk fravær.

Dette er forsvar-i-dybden-prinsippet anvendt på maskinvarelaget: fjern kapabiliteten som ikke er nødvendig, snarere enn å konfigurere den undertrykt. Kapabiliteten som ikke er på kortet kan ikke aktiveres, kan ikke utnyttes, kan ikke reaktiveres av en fremtidig firmwareversjon, kan ikke vises i en fremtidig CVE, og kan ikke reaktiveres av en angriper med fysisk tilgang. Kapabiliteten som er på kortet, uansett konfigurasjon, kan være alle disse tingene.

Komponentene som ankommer uinvitert

Inventaret er konsistent på tvers av bransjen.

Cellulære radioer — ofte 4G eller LTE, iblant 5G — ofte beskrevet i datablad som «valgfri» eller «for service-støtte». Bluetooth, ofte posisjonert som et diagnose- eller konfigurasjons-grensesnitt, i økende grad paret med en produsents mobilapplikasjon. Wi-Fi, iblant for service-ingeniørens bekvemmelighet, iblant for aktiva-sporing, iblant for produsentens sky-tilkobling. Skjulte USB-administrasjonsporter på administrerte svitsjer, RTU-er og HMI-er, merket «kun service», som typisk eksponerer konsoll-tilgang som omgår enhver nettverkskontroll. Debug serielle konsoller på PCB-er — UART-header eksponert på kortet, iblant dokumentert, iblant ikke, iblant med standard-legitimasjon. Baseboard management-kontrollere og out-of-band-administrasjonsgrensesnitt på industrielle PC-er og SCADA-servere, som kjører sine egne innebygde operativsystemer med sine egne angrepsflater. Proprietære radiolenker til værstasjoner, tilstandsovervåkingssensorer, eller leverandørens «økosystem»-enheter. NFC-tagger for konfigurasjon via telefon. ZigBee eller LoRaWAN for lav-effekt sensor-mesher.

To ytterligere kategorier fortjener spesifikk omtale.

Mezzanin-kontakter og utvidelses-spor er i seg selv et problem, separat fra ethvert kort som måtte populere dem. En kontroller levert uten et cellulærmodem, men med mezzanin-kontakten intakt, antenne-rutingen montert og strøm-skinnen tilrettelagt, er en kontroller som et cellulærmodem kan installeres i på femten minutter av hvem som helst med fysisk tilgang. En administrert svitsj med et tomt SFP-bur som anleggseieren ikke trenger, er en svitsj med en installasjonssti for et uventet uplink. Innkjøps-spesifikasjonen bør utelukke sporet, ikke bare kortet.

«Out-of-band» er et uttrykk som krever forsiktig håndtering. I nettverksingeniørarbeid er et out-of-band-administrasjonsnettverk vanligvis en god ting — en separat, kontrollert sti for å administrere infrastruktur som overlever feil i produksjonsnettverket. I OT-sikkerhet beskriver «out-of-band» alt som omgår den kontrollerte tilgangsarkitekturen, og er generelt en dårlig ting. Det samme ordet, brukt i to fellesskap, peker i motsatt retning. Når en produsents datablad beskriver en funksjon som «out-of-band-administrasjon» eller «out-of-band-diagnostikk», leser anleggseieren det som en defekt snarere enn en fordel, og ber om at det fjernes.

Hvor denne samtalen hører hjemme

Tre stadier, tre svært ulike kostnader.

På spesifikasjons-stadiet koster samtalen nesten ingenting. Innkjøps-spesifikasjonen utelukker eksplisitt cellulær, Bluetooth, Wi-Fi, NFC og proprietær radio. Den utelukker skjulte USB-administrasjonsgrensesnitt. Den utelukker valgfrie utvidelses-spor som senere kan være vert for slike komponenter. Den krever at produsenten erklærer hver trådløse kapabilitet — til stede, fraværende, populert, upopulert — i samsvars-dokumentasjonen. Produsentens produktvariant for prosjektet konfigureres deretter på fabrikken, og varianten vises i stykklisten.

På factory acceptance test blir samtalen dyr. Anleggseierens igangkjøringsingeniør inspiserer fysisk hver produktvariant. En spektrum-analysator brukes for å oppdage aktive radioer i laboratoriet. PCB-er inspiseres for datterkort, populerte chips, RF-spor og antenne-tilkoblinger. Funn resulterer i en avvik, utstyret returneres til produksjonslinjen, og tidsplanen glir mens modifikasjoner gjøres. Kostnaden måles i uker med programforsinkelse og iblant i re-sertifisering av det modifiserte utstyret under produsentens kvalitetssystem.

På site acceptance test er samtalen mest kostbar. Utstyr er på stedet. Iblant er det hundrevis av enheter installert. Ettermontering betyr enten å returnere enheter til fabrikken med betydelig logistikk-kostnad, eller å sende fabrikkingeniører til stedet for å utføre modifikasjoner under felt-forhold, med alle kvalitetskontroll-implikasjonene som feltarbeid bringer. Programpåvirkning er alvorlig; kommersiell påvirkning kan være alvorlig nok til å true finansierings-milepæler.

Mønsteret er konsistent på tvers av mange av temaene i denne serien, men det er sterkest her. Spesifikasjon er billig, FAT er kostbar, SAT er smertefull. Disiplinen med å flytte samtalen til det billigste stadiet er, på mange måter, hele innkjøps-læringen for ikke-EU-produsenter som selger inn i EU-finansierte prosjekter.

På forslagsstadiet

Et produsents bud som ankommer med en trådløs-og-out-of-band-kapabilitet-matrise allerede vedlagt — som erklærer hver brikke på kortet med noen RF-kapabilitet, hver kontakt som kan være vert for én, hvert administrasjonsgrensesnitt, hver debug-port, med en klar uttalelse om hvilke som er populert, hvilke som ikke er, hvilke som kan fjernes for prosjektvarianten, og hvilke som ikke kan — er et bud som har spart alle flere måneder. Samtalen som følger handler om hvorvidt produsentens standardvariant kan leveres eller om en prosjekt-spesifikk bygging trengs, og hvis det siste, hva tidsplan- og kostnadsimplikasjonene er.

Et produsents bud som ikke nevner noe av dette, på grunnlag av at utstyret «støtter» fjernadministrasjon eller diagnostisk tilgang, er et bud som signaliserer en arkitektonisk antagelse — at produsentens idé om en fullstendig levering inkluderer kapabiliteter anleggseieren vil trenge å trekke fra. Den subtraksjonen vil skje på det verst mulige punktet i programmet.

Prinsippet er ett produsentens eget produktteknisk team vil gjenkjenne ved ettertanke. Hver brikke på kortet er et vedlikeholds-ansvar, en CVE-eksponering, et strømtrekk, en termisk last, en regulatorisk byrde, en leverandørkjede-avhengighet. Å fjerne de som utrullingen ikke trenger er ikke en innrømmelse. Det er sunn ingeniørarbeid. Anleggseieren som ber om at modemet fjernes ber om samme slags disiplin som produsentens eget value engineering-team ville anvende av en annen grunn.

Den neste artikkelen plukker opp et tema produsentens innkjøpsteam vil gjenkjenne umiddelbart, selv om sikkerhetsorganisasjonen deres ennå ikke har brakt det til dem: IEC 62443-3-2 sone- og kanalrisikovurderingen som L0/L1-systemintegratoren forventes å produsere for prosjektet, og hva den faktisk inneholder.

Denne artikkelen reflekterer ingeniør- og innkjøpspraksisen som er vanlig i EU-finansierte fornybar energi-prosjekter ved publisering. Spesifikke eksempler på komponenter og grensesnitt er illustrative; prinsippet om fysisk fjerning over firmware-deaktivering gjelder uansett hvilke spesielle teknologier som vises i et gitt produkt. Hvis et sitat har råtnet eller en klausul har flyttet seg, er LinkedIn veien å flagge det på.