Kereső toggle

Meghekkelhető-e a paksi atomerőmű?

Interjú Dr. Bencsáth Boldizsár rendszerbiztonsági szakértővel

Továbbítás emailben
Cikk nyomtatása

Ma még inkább a tudományos fantasztikum világába tartozik, hogy a terroristák internetes támadások révén fizikai károkat okozzanak, ugyanakkor a magyar kormányzati szervek kitettsége aggodalomra adhat okot – mondta a Heteknek Dr. Bencsáth Boldizsár. A Budapesti Műszaki Egyetemen működő CrySys labor kutatásvezetőjét az elmúlt hetek önkormányzati-, civil- és médiahonlapok elleni támadások kapcsán kérdeztük.

A weboldalak feltörésére irányuló terrorista (vagy annak tűnő) támadások szakmai szemmel mennyire veszélyesek, milyen kockázatot hordoznak magukban?

– A konkrét esetek analízise nélkül ezt nehéz megítélni, de általában elmondható, hogy egy-egy honlap feltörése nem igényel professzionális informatikai tudást. Valószínűleg nem is célirányos támadásokról lehetett szó az elmúlt időben, hanem inkább arról, hogy egy automatizált kereséssel feltérképezték azokat a honlapokat, amelyeknek azonos hibáik, biztonsági réseik voltak, és ezeken keresztül behatolva a támadók közzétették a saját tartalmaikat. Ennek a pszichológiai hatása jelentősebb, mint a konkrét informatikai kockázat.

Be lehet azonosítani, hogy kik voltak a támadók?

– Ezt nagyon nehéz meghatározni, hiszen az elkövetők jellemzően olyan technikai megoldásokat alkalmaznak, amelyek lehetővé teszik, hogy ők maguk homályban maradjanak. A szolgáltató segítségével például be lehet azonosítani, hogy mondjuk melyik háztömb IP-címéről érkezett a támadás, ám könnyen lehet, hogy valaki a parkolóban ülve csatlakozott az adott wifi-hálózatra. De ennél komolyabb megoldások is léteznek arra, hogy úgy tűnjön, valaki Ausztriából indította a támadást, miközben Szíriában, az ISIS területén tartózkodik. Sokszor még akkor sem lehetünk biztosak a támadó kilétében, ha felfedi magát, hiszen akár a megtévesztés is lehet a célja. 

A honlapfeltörések nemzetbiztonsági szempontból elérik az ingerküszöböt? Egyáltalán jelenteni kell az ilyen támadásokat?

– Általában az incidensek bejelentése nem kötelező, bár a hazai információvédelemről szóló törvény bizonyos esetekben előírja ezt. Nemzetközi szinten is változóban van az ezzel kapcsolatos gyakorlat, hiszen mindenkinek jól felfogott érdeke, hogy például kritikus ipari létesítményekben ne tudjanak kárt okozni külső behatolók.

Egyébként sok országban működnek az úgynevezett CERT-ek (Cyber Emergency Response Team), ahová jelenteni lehet a támadásokat, és a szakértők segítséget nyújtanak az incidensek kezelésében azzal, hogy összekötik az „áldozatokat” a megfelelő szervezetekkel. Magyarországon ilyen például a Kormányzati Eseménykezelési Központ (a GovCERT) is.

A szakmán belül van arról információjuk, hogy a honlapfeltöréseknél jóval komolyabb támadások érték-e már Magyarországot?

– Ez nehéz kérdés, hiszen egyfelől a kormány ezekkel nem dicsekszik, másfelől pedig csak azokról a támadásokról lehet tudomást szerezni, amelyek kiderülnek. Vannak olyan műveletek, amelyek akár tíz éven keresztül zajlanak a háttérben. A honlapok elleni támadások ilyen szempontból a legkevésbé kellemetlenek, hiszen a hackerek célja ebben az esetben éppen az, hogy a működésük láthatóvá váljon. Sőt, azzal, hogy egy biztonsági rést kihasználnak, „segítenek” a rendszergazdáknak, hogy azokat befoltozzák, magának az oldalnak a visszaállítása pedig legtöbbször 15 percnél nem tart tovább. Ha viszont a támadó nem írja át a honlapot, hanem azon keresztül eléri a háttéradatbázisokat vagy más számítógépeket, rendszereket, akkor akár éveken keresztül kényelmesen hozzáférhet az ott tárolt adatokhoz.

Az internet általános „háttérsugárzásán” túl – egy gépet akár naponta több száz automatikus támadás is érhet – alapvetően két támadási típust különböztetünk meg. Az egyik a cyber crime, vagyis a kiberbűnözés kategória, amikor bűnözői csoportok pénzhez akarnak jutni banki adatok megszerzésével, vagy mondjuk azzal, hogy egy cégnél vagy nonprofit szervezetnél lekódolnak egy számítógépet, és csak bizonyos összeg átutalását követően teszik újra elérhetővé.

A másik vonal az államközi célzott támadások (vitatott elnevezéssel cyber war, vagyis az államok közötti csatározás). Ide tartozik például a diplomáciai, katonai, vállalati adatok ellopása, vagy az ipari létesítmények elleni támadások. Az ISIS terroristái a kettő között vannak.

Ők egyébként mennyire aktívak?

– Az internet kiváló közeg a terroristák számára, de elsősorban a kommunikáció szempontjából. Az, hogy az interneten keresztül fizikai károkat okozzanak, vagy emberéleteket oltsanak ki, egyelőre még inkább a tudományos fantasztikum világába tartozik. Ugyanakkor, ha történik egy katasztrófa, például lezuhan egy repülőgép, akkor automatikusan felmerül a kérdés, hogy vajon nem számítógépes támadás áll-e a háttérben. Ma már ezt sem lehet teljesen kizárni, hiszen egyre nagyobb a számítógépek szerepe. Egyes jelentések éveken belülre jósolják azt, hogy valaki pusztán számítógépes támadások miatt meg fog halni.

Mi lenne a legrosszabb forgatókönyv Magyarország szempontjából? Fel lehetne robbantani mondjuk a Paksi Atomerőművet egy hackertámadás eredményeként?

– Ez elég valószerűtlen, mégpedig azért, mert egy erőműben több informatikai rendszer működik egymástól elkülönítve, és a legfontosabb eszközöket nem számítógépek, hanem hagyományos elektronika vezérli. A legrosszabb forgatókönyv az lehetne, hogy bejutnak valamelyik alrendszerbe, és emiatt az erőművet le kell állítani. Ez óriási gazdasági kárt jelentene, hiszen az átvizsgálás és az újraindítás százmilliókba kerülhet. Ugyanakkor van példa arra is, hogy olyan rendszereket tettek tönkre számítógépes vírussal, amelyek nincsenek csatlakoztatva az internetre. Az iráni urándúsító centrifugák vezérlőprogramját felülíró Stuxnet nevű kórokozót egy fertőzött pendrive-on keresztül tudták bejuttatni és fizikailag tettek tönkre berendezéseket.

Mit gondol, mennyire vannak felkészülve a magyar állami szervezetek egy-egy komolyabb hackertámadásra?

– Ennek megítélése nem az én tisztem. Sajnos számos olyan minisztériumi, intézményi informatikai hálózat van, amelyben régebbi és frissebb rendszerek szedett-vedett és átláthatatlan módon vannak összekötve. Vannak törvényi előírások arra vonatkozóan, hogy ez javuljon, és már történtek is pozitív változások, ám korántsem mondhatnám, hogy nyugodtan feküdnék le, ha egy ilyen intézmény vezetője lennék.

Egy lépéssel előrébb?

Március végén az amerikai képviselőház hírszerzési bizottsága egy cyberfenyegetettségekkel kapcsolatos törvényjavaslatot nyújtott be a törvényhozásnak. A régóta várt szabályozás célja, hogy fokozza az információáramlást a privát szektorban tevékenykedő cégek és a hírszerzési és titkosszolgálati ügynökségek között. Az elmúlt évtizedben az amerikai Kongresszus több mint 40 hasonló törvényjavaslatot nyújtott már be a személyes adatokat érintő „szabálysértésekkel” kapcsolatban, de ezek közül sajnos egyet sem ratifikált a törvényhozás, miközben a cyberbűncselekmények éves szinten 100 millió dollár kárt okoznak. Titkosszolgálati értesülések szerint ezek a virtuális térben elkövetett bűn - cselekmények elsősorban pénzügyi csalásokat takarnak, így megfelelő törvényi háttér és szabályozás hiányában az általuk okozott kár a következő tíz évben akár évi több milliárd dollárra is felszökhet. A törvényjavaslat arra koncentrál, hogy elvágja a hackerek hozzáférését a személyes adatokhoz, mindamellett ez tűnik az első érdemi lépésnek azon az úton, amely védelmet biztosítana az amerikai fogyasztók és cégek számára a cyberbűnözőkkel szemben.
A kétpárti előterjesztés célja egy nemzeti szabvány (standard) létrehozása a már meglévő törvényekre alapozva. A javaslat erős végrehajtási jogkörökkel kombinálja a biztonsági elvárásokat, mind szövetségi, mind állami szinten. A magánszektor szempontjából azért sem elhanyagolható a törvényjavaslat szerepe, mivel az elmúlt időszakban a közösségi hálózaton keresztül jó néhány olyan támadás történt, mint például a Sony Pictures vagy a Home Depot elleniek, melyek során 50 millió vásárló hitelkártyaadatait hozták nyilvánosságra. A Szilícium-völgyben található cégek ellenállása nem könnyíti meg a kormányzat e téren kifejtett erőfeszítéseit. Az érintett vállalkozások – érthető okokból – nem hajlandóak a kormány által javasolt átvizsgálási (nemzetbiztonsági átvilágítási) procedúrákat alkalmazni. Érdekes szempont a vitában, hogy a jobbára fiatal „titánok” által vezetett high-tech cégek együttműködési hajlandóságának hiánya éles kulturális és generációs szakadékra is utal a cybervédelmet szorgalmazó, általában már a negyvenes– ötvenes éveikben járó washingtoni szakértőkkel való viszonyban. A világháborúk vagy akár a hidegháború idején ez a szembenállás gyakorlatilag nem létezett, igaz, akkor nem a semmiből dollármilliárdos bevételeket elérő start up cégek vezetőivel kellett alkudoznia az állam képviselőinek. Éppen ezért a kialakult helyzetben a kormányzat nagyon óvatos, hiszen el szeretné kerülni annak látszatát, hogy rá akarja erőszakolni igazát a kritikus vállalatokra. Megemlítik ugyanakkor azt is, hogy a start up birodalmak dolgozói a cégvezetők kontrollja alatt élnek azáltal, hogy már átestek a vállalat által alkalmazott átvilágításon. (Csapó Zoltán)

Olvasson tovább: