Obrona przed cyberatakami. "Fuzzing to metoda poszukiwania dziur"

• Laboratorium Cyberbezpieczeństwa Narodowego Centrum Badań Jądrowych opracowało nowatorską metodę wczesnego wykrywania słabych punktów w elektronice
• Fuzzing to inaczej fuzz testing
• Eksperci szukają słabych punktów w sterownikach elektrowni jądrowej, ale mogą to robić także w systemach zakładów przemysłowych, banków czy przesyłu prądu elektrycznego

Jaką rolę spełniają sterowniki w systemie? - To jest komputer przemysłowy przeznaczony do sterowania jakimiś procesami produkcyjnymi lub robotami. Ten procesor jest prostym komputerem, pozwalającym wykonywać podstawowe działania matematyczne, logiczne, kontrolne i, co ważne, potrafi pobierać i wydawać dane - mówi dr Jacek Gajewski z NCBJ.

Ekspert Jedynki zwraca uwagę, że cyberprzestępcy najczęściej doprowadzają do zatrzymania procesora lub strumienia wychodzących danych.

Nad czym pracują eksperci?

W Narodowym Centrum Badań Jądrowych poszukuje się luk w sterownikach. Można je wyłapać za pomocą techniki o nazwie fuzzing. Co kryje się pod tą tajemniczą nazwą?

- To jest metoda poszukiwania tych dziur, a nie ich załatania. Fuzzing pozwala nam znaleźć błędy, których dopuścili się konstruktorzy na etapie konstruowania czy producenci na etapie produkowania. Ta metoda polega na tym, że działając trochę na oślep, tworzymy miliardy różnych dziwnych zapytań i bombardujemy ten sterownik ogromną ilością danych, licząc, że przy pewnej kombinacji danych, których nie przewidział producent czy konstruktor, sterownik przestanie działać albo zacznie działać źle - wyjaśnia dr Jacek Gajewski.

Dr Jacek Gajewski przyznaje, że fuzzing służy do znalezienia "zwariowanej, nietypowej kombinacji, która powoduje zazwyczaj zatrzymanie takiego sterownika, bo jeżeli cyberprzestępcy znajdą ją wcześniej niż my, mogą przecież jej użyć do ataków". - Patrzymy na ręce producentom, bo gdyby wszystko, co oni zrobili, było idealne, to metoda fuzzingu nie wykryłaby nic - słyszymy.

Szukanie igły w stogu siana

Naukowcy z NCBJ znaleźli metodę szybkiego redukowania miliardów różnych zapytań do niewielkiej ilości danych, które rzeczywiście "wyprowadzają z równowagi" sterownik.

- Potrafimy w miarę efektywnie badać te sterowniki i znajdować dziury, a także redukować problem tych miliardów do określonej sekwencji trzech tysięcy znaków czy komend. Ta liczba, którą trzeba wysłać, żeby ogłupić sterownik, jest już szukaniem igły w stogu siana i znajdowaniem tego jednego złego słowa, które powoduje wywrócenie się sterownika - mówi dr Jacek Gajewski.

Fuzzing może być bronią w walce z cyberprzestępcami włamującymi się nie tylko do elektrowni jądrowych, ale także do zakładów przemysłowych, banków, systemów kolejowych, lotniczych czy stacji przesyłu prądu elektrycznego.

W audycji również:

Wszechświat po polsku na Wystawie Światowej Expo 2020 w Dubaju: kwiaty z włocławskiego fajansu jako panele słoneczne w skafandrach astronautów, kryształowy strój do spacerów w kosmosie, hełm astronauty powstały dzięki odkryciu przez Jana Czochralskiego monokryształów. To niektóre elementy wystawy przygotowanej przez Jana Świerkowskiego, popularyzatora nauki przez sztukę (czynna od 3 do 9 lutego), astronoma, twórcy Instytutu B61.

Czytaj także:

• Licealiści zbudowali prototyp minisatelity
• Kosmiczna misja "Athena". Jedno z największych przedsięwzięć ESA

***

Tytuł audycji: Eureka

Prowadziła: Dorota Truszczak 

Goście: dr Jacek Gajewski (Narodowe Centrum Badań Jądrowych), Jan Świerkowski (astronom, twórca Instytutu B61)

Data emisji: 8.02.2021

Godzina emisji: 19.29

DS