到處都是Wi-Fi，在我們的家里、辦公室里、甚至在工廠環(huán)境里?，F(xiàn)在它成了通訊的支柱，在大多數(shù)與以太網(wǎng)通訊有關(guān)的方面已經(jīng)取代了傳統(tǒng)的有線以太網(wǎng)。由于其費(fèi)率更低、性能更高以及安全性更好，在很多情況下也取代了基于手機(jī)的通訊。
盡管Wi-Fi無處不在，可是看起來很少人真的了解它是如何工作的，或者如何提供安全的通訊。這種情況在過程工廠里表現(xiàn)得更為明顯。為什么會出現(xiàn)這種狀況？無線技術(shù)在為你帶來工作便利的同時(shí)，你是否對它進(jìn)行了足夠的保護(hù)？
Wi-Fi的歷史
嚴(yán)格來講，Wi-Fi是一種使用IEEE 802.11標(biāo)準(zhǔn)的無線局域網(wǎng)(LAN)，這個(gè)特定的名稱屬于Wi-Fi聯(lián)盟。IEEE(電氣和電子工程師協(xié)會)在1999年出版了802.11b標(biāo)準(zhǔn)，首次提供了以相對較快的（至少是在當(dāng)時(shí)）1到2 Mbps的速度進(jìn)行無線數(shù)據(jù)傳輸?shù)臋C(jī)制。它就很快得到了廣泛的應(yīng)用，因?yàn)榻^大多數(shù)過去的數(shù)據(jù)連接都是有線方式。
在Wi-Fi出現(xiàn)之前，無線通訊通常是基于專有的模擬無線電協(xié)議的，速度很慢，只能以0.0096Mbps的速度通訊，這意味著Wi-Fi要快100多倍。不僅如此，老的系統(tǒng)幾乎沒有嵌入的數(shù)據(jù)完整性協(xié)議，這需要用戶增加這些功能。
對于工業(yè)應(yīng)用場合，盡管終端設(shè)備基本上仍然在使用專有的串口協(xié)議，但Wi-Fi創(chuàng)造了實(shí)施復(fù)雜的高速通訊的可能性。早期，安全對于無線通訊來說還算不上一個(gè)大問題。當(dāng)時(shí)的無線通訊都是使用Modbus遠(yuǎn)程終端設(shè)備(RTU)或者類似的產(chǎn)品來進(jìn)行的。盡管黑客可能想要通過擾亂控制系統(tǒng)來證明其價(jià)值，但結(jié)果可能是幾乎沒有值得竊取的數(shù)據(jù)。
■ 這是一個(gè)你可能看到的安裝在你的工廠里面的典型工業(yè)路由器。還是它已經(jīng)在那工作了多少年嗎？它能為你的網(wǎng)絡(luò)安全提供足夠的保護(hù)嗎？圖片來源：Moxa
技術(shù)進(jìn)步
隨著個(gè)人計(jì)算機(jī)和其他信息科技在工業(yè)自動化領(lǐng)域變得越來越常見，以太網(wǎng)正推動著工廠的科技進(jìn)步。以太網(wǎng)使用的傳輸控制協(xié)議/互聯(lián)網(wǎng)協(xié)議（TCP/IP）變成了標(biāo)準(zhǔn)，不過在其之上仍然具有專有工業(yè)協(xié)議，例如EtherNet/IP，Modbus TCP/IP，Profinet等其他協(xié)議。這些與傳統(tǒng)的IT網(wǎng)絡(luò)很像，企業(yè)級別的網(wǎng)絡(luò)與工業(yè)網(wǎng)絡(luò)的連接變得越來越緊密，將原來的自動化信息孤島連接起來，創(chuàng)造一個(gè)直接從低級別現(xiàn)場設(shè)備到商業(yè)網(wǎng)絡(luò)的連接路徑。
現(xiàn)在從工業(yè)網(wǎng)絡(luò)里竊取數(shù)據(jù)更加容易了，因?yàn)楹诳蛡兛梢允褂迷贗T網(wǎng)絡(luò)中學(xué)到的相同的手段。不過慶幸的是，在絕大多數(shù)情況下沒有什么值得竊取的。黑客們確實(shí)認(rèn)識到工業(yè)網(wǎng)絡(luò)經(jīng)常沒有企業(yè)IT網(wǎng)絡(luò)那么安全。他們可以使用已經(jīng)建立的相同渠道將生產(chǎn)制造數(shù)據(jù)轉(zhuǎn)移到管理級IT系統(tǒng)，而且這樣的轉(zhuǎn)移通常做起來很簡單。
將Wi-Fi引入工廠
過去，在大多數(shù)工業(yè)環(huán)境下，Wi-Fi常因?yàn)橐鉀Q特定的應(yīng)用問題而開始被采用。一般來說，它們以前只是在接線不可行或太昂貴的情況下的點(diǎn)到點(diǎn)通訊。因?yàn)樾碌目萍技夹g(shù)更經(jīng)濟(jì)更容易使用，因此取代了老的專有系統(tǒng)。盡管在進(jìn)行網(wǎng)絡(luò)掃描時(shí)可能發(fā)現(xiàn)無線網(wǎng)絡(luò)已經(jīng)在可用的網(wǎng)絡(luò)連接清單之列，企業(yè)的IT人員通常對于發(fā)生了什么并沒有概念。
早期的Wi-Fi網(wǎng)絡(luò)已經(jīng)對安全有了規(guī)定，不過通常的默認(rèn)值是設(shè)置網(wǎng)絡(luò)不受保護(hù)，這樣可以避免輸密碼的麻煩。在2003年以前，系統(tǒng)采用的是有線等效保密（WEP）協(xié)議，它是包含在最初的IEEE 802.11標(biāo)準(zhǔn)中的且目標(biāo)是消費(fèi)者市場。
對于家用網(wǎng)絡(luò)，將鄰居們屏蔽在網(wǎng)絡(luò)之外也許就足夠了，可是突破家用網(wǎng)絡(luò)的工具很快就出現(xiàn)了。到2003年，使用臨時(shí)密鑰完整性協(xié)議(TKIP)的Wi-Fi保護(hù)接入（WPA）出現(xiàn)了。如果使用高級加密標(biāo)準(zhǔn)(AES)代替TKIP會好得多，這又是另一種提高。不過，不久以后，這些也一樣會被突破。
在2006年，通過引入WPA2，大體上解決了易受攻擊的問題。它使用AES和計(jì)數(shù)器模式密碼塊鏈消息完整碼協(xié)議（CCMP）來代替TKIP。盡管要突破這個(gè)保護(hù)需要大量的時(shí)間和努力，對大多數(shù)黑客來說不可行，但是這也證明它仍可能被突破。
草率的安全實(shí)踐
也許在技術(shù)上WPA2解決了黑客的問題，但是實(shí)際情況也不都是這樣。大多數(shù)Wi-Fi路由器按規(guī)定具有向后兼容，因此一位用戶可以使用過去的某一項(xiàng)技術(shù)來進(jìn)行安全設(shè)置的配置。
甚至在惡劣的工廠環(huán)境下，一部高質(zhì)量的工業(yè)增強(qiáng)型路由器也可以工作很多年，因此今天發(fā)現(xiàn)2002年安裝的硬件還在工作的情況也很常見。不幸的是，一部運(yùn)行12年之久的路由器意味著只能提供一種安全設(shè)置，即WEP，因?yàn)楫?dāng)它被建造的時(shí)候只有這一種設(shè)置可以用。
許多在工廠里安裝這個(gè)硬件的人是維護(hù)人員，而不是IT部門。他們安裝一部新的路由器并設(shè)置其WEP來與現(xiàn)有硬件相匹配，并沒有意識到在安全功能方面的差別。安全就是安全，對吧？網(wǎng)絡(luò)在可用的網(wǎng)絡(luò)列表中顯示為安全，那么我們就是被保護(hù)的，對吧？
有一些無線連接甚至都不是公司安裝的。在工廠里工作的服務(wù)人員可能將一臺無線路由器連接到PLC或者以太網(wǎng)網(wǎng)絡(luò)上，來幫助解決故障診斷的問題。具有很強(qiáng)的安全文化的公司是禁止做這樣的事情的，可是在很多公司里這是一種常見做法。
一位認(rèn)真負(fù)責(zé)的技術(shù)員會確保在工作結(jié)束時(shí)將設(shè)備移除，可是如果一臺設(shè)備被留下了，很少有技術(shù)人員會付出特別的努力來取回它。工作結(jié)束很久以后該設(shè)備可能還保留在現(xiàn)場，并且一直保持著不安全的連接。如果一位黑客發(fā)現(xiàn)這個(gè)小型的有漏洞的網(wǎng)絡(luò)，上面的做法就為其提供了一種新的入侵途徑，有可能由此入侵整個(gè)公司的IT基礎(chǔ)設(shè)施。
為什么安全如此重要？
一位想要侵入一家公司網(wǎng)絡(luò)的黑客會選擇阻力最小的路徑。例如，在一個(gè)過程工廠里，主要的目標(biāo)是沒有安全防護(hù)或者防護(hù)水平最低的無線網(wǎng)絡(luò)。對于黑客來說最能限制他們的是距離工廠足夠近才能獲取無線電信號。由于大多數(shù)的信號發(fā)生器都是在圍墻界限以內(nèi)工作的，這也許會不方便，但并不足以能成為黑客們的阻礙。
如果一位黑客只能進(jìn)入一個(gè)被隔離的工廠網(wǎng)絡(luò)，潛在的損害程度應(yīng)該還是有限的。 更加嚴(yán)重的問題是成功入侵工廠網(wǎng)絡(luò)為進(jìn)入企業(yè)IT網(wǎng)絡(luò)提供了一條路徑，更多重要的數(shù)據(jù)會存儲在企業(yè)IT網(wǎng)絡(luò)上。
工廠網(wǎng)絡(luò)與企業(yè)網(wǎng)絡(luò)的連接通常允許數(shù)據(jù)向數(shù)據(jù)鏈的上游傳輸。為了避免辦公室里的人可能會干預(yù)工廠里的設(shè)置，以及防止黑客通過企業(yè)網(wǎng)絡(luò)對工廠發(fā)動攻擊，向下游的數(shù)據(jù)傳輸通常被限制。不過有一些公司希望或需要進(jìn)行雙向通訊，例如下載想要的生產(chǎn)操作說明等。
大多數(shù)企業(yè)的IT團(tuán)隊(duì)會在IT和工廠網(wǎng)絡(luò)之間設(shè)置隔離，一般是防火墻、隔離區(qū)或指定服務(wù)器，用來控制在兩個(gè)網(wǎng)絡(luò)之間來回傳輸?shù)膬?nèi)容。不過正如前面所提到的，企業(yè)對于從IT部門到工廠方向上的數(shù)據(jù)流的關(guān)注相比反方向要多得多。
此外，除非負(fù)責(zé)配置這些系統(tǒng)的人員對于工業(yè)網(wǎng)絡(luò)和常見的生產(chǎn)制造硬件具有高水平的了解，否則控制數(shù)據(jù)流的規(guī)則很少會被按照應(yīng)有的方式進(jìn)行配置。所以，如果一個(gè)黑客想要通過一個(gè)工廠Wi-Fi網(wǎng)絡(luò)入侵到一個(gè)更大的系統(tǒng)，他經(jīng)常需要在物理上足夠接近才能建立通訊。如果他想辦法進(jìn)入到企業(yè)網(wǎng)絡(luò)中并且技術(shù)嫻熟，以致于他可以創(chuàng)建一道“門”，他就可以在后續(xù)的訪問中通過互聯(lián)網(wǎng)進(jìn)入。
如果IT網(wǎng)絡(luò)的安全監(jiān)控非常嚴(yán)密，無法創(chuàng)建一個(gè)新的入口，黑客可能不得不在工廠附件安裝一臺小型設(shè)備用于與Wi-Fi網(wǎng)絡(luò)進(jìn)行通訊，再將信息通過手機(jī)連接發(fā)送到一個(gè)更加方便的地點(diǎn)。 在任何情況下，有多種方式通過Wi-Fi網(wǎng)絡(luò)都可以在企業(yè)網(wǎng)絡(luò)內(nèi)部建立一個(gè)更加長久的據(jù)點(diǎn)。
解決方案是什么？
解決這些安全隱患需要工廠人員對下面內(nèi)容多加注意。
替換所有2006年以前生產(chǎn)的Wi-Fi路由器。雖然年頭太久的路由器還能正常工作，但是如果它們不支持WPA2安全功能，就應(yīng)該使用最新的設(shè)備替換它們。此外，僅僅看到某個(gè)設(shè)備是在2006年生產(chǎn)的，并不一定保證它支持WPA2功能，因此要先確認(rèn)該產(chǎn)品是否具備這種功能。
使用WPA2安全功能配置所有的網(wǎng)絡(luò)。當(dāng)所有的路由器都配有WPA2功能時(shí)，將其設(shè)置為你的默認(rèn)安全協(xié)議并在所有的路由器上都執(zhí)行它。
使用強(qiáng)密碼。路由器需要設(shè)置密碼，而且必須是有效的密碼。關(guān)鍵的因素是長度和變化。使用不同類型的字符數(shù)越多越好，最少為16個(gè)字符。包括數(shù)字和符號會更有幫助，但是字符數(shù)的絕對數(shù)量才是最重要的。創(chuàng)建短語會有幫助，例如“MyHouseHasPurpleShutters”有24個(gè)字符，但是也容易記憶和打字。
管理密碼。如果把密碼打印在一張紙條上并貼在路由器上，那這個(gè)密碼毫無幫助。所有的密碼都應(yīng)該記錄在紙上，并保存在工廠以外的某個(gè)地方。辦公室的負(fù)責(zé)人應(yīng)該將其放在一個(gè)安全的文件柜內(nèi)。當(dāng)知道密碼的員工離開公司后，必須立即修改密碼并重新登錄。不要等到一個(gè)更方便的時(shí)間，而是在員工離開以后盡快修改。情緒不滿的員工遠(yuǎn)比技術(shù)熟練的黑客更危險(xiǎn)，因?yàn)樗麄冊敿?xì)了解每個(gè)設(shè)備是如何工作的以及設(shè)備是如何配置的。 可能出現(xiàn)的最壞組合是抱怨的前員工為技術(shù)熟練地黑客提供指導(dǎo)。
上面提到的這些安全措施簡單有效，不會為企業(yè)增加太多費(fèi)用，而且可以在不需要IT人員介入的情況下由工廠人員完成。如果負(fù)責(zé)工廠Wi-Fi和其他網(wǎng)絡(luò)的人員可以維持適度水平的安全，他們對公司將做出重要的貢獻(xiàn)。
如何保護(hù)你的工廠網(wǎng)絡(luò)？
與網(wǎng)絡(luò)安全相關(guān)的一個(gè)常見討論是保護(hù)敏感生產(chǎn)制造數(shù)據(jù)的必要性。如果有些情況下來自于工廠的信息涉及到飛機(jī)部件的關(guān)鍵CNC程序或者嚴(yán)密戒備的化學(xué)過程，這些信息是非常有價(jià)值的。
然而，大多數(shù)生產(chǎn)制造運(yùn)行中可以獲得的數(shù)據(jù)沒什么價(jià)值，不值得竊取，例如反應(yīng)器的溫度或沖壓機(jī)在一個(gè)班次里生產(chǎn)多少個(gè)部件。那么黑客們?yōu)槭裁匆秩牍I(yè)網(wǎng)絡(luò)？
有一些黑客僅僅是為了以一種或另一種方式擾亂生產(chǎn)；關(guān)閉一臺關(guān)鍵的設(shè)備、從PLC中刪除程序或錯(cuò)開一個(gè)閥門來制造環(huán)境災(zāi)難。這些都有可能發(fā)生，不過重要的是要保持這些狀況透明。最壞的情況下，網(wǎng)絡(luò)罪犯會可能做什么？如果一個(gè)工廠的控制系統(tǒng)的運(yùn)行方式會帶來潛在的安全和健康隱患，那說明這些系統(tǒng)設(shè)計(jì)得不好，應(yīng)該重新評估。
這個(gè)結(jié)論看起來也許讓人覺得驚訝，不過如果工作在控制室內(nèi)的操作員或從外面來的網(wǎng)絡(luò)罪犯可以制造真正危險(xiǎn)的狀況，而安全系統(tǒng)卻無法將工廠過渡到一個(gè)安全狀態(tài)，那確實(shí)說明該系統(tǒng)存在嚴(yán)重的缺陷。在一個(gè)設(shè)計(jì)正確的控制系統(tǒng)中，黑客可以立即制造問題，不過不會產(chǎn)生長遠(yuǎn)的效果。
雖然網(wǎng)絡(luò)攻擊不是每天發(fā)生，但這并不是讓工廠級別的網(wǎng)絡(luò)不受保護(hù)的借口，尤其是無線網(wǎng)絡(luò)。一套網(wǎng)絡(luò)安全防御計(jì)劃應(yīng)該反映被保護(hù)對象的價(jià)值。一套設(shè)計(jì)正確的控制系統(tǒng)的安全防御機(jī)制應(yīng)當(dāng)不能被擾亂，不管是通過故意的行為還是人為的錯(cuò)誤造成的。（作者：Bruce Billedeaux）
關(guān)注本刊微信訂閱號