Výskumníci varujú: Hekerský útok môže vyvolať blackout v celej Európe

Nedávny ransomvérový útok na servery katastra nehnuteľností ukázal, že hybridné hrozby môžu vážne ochromiť ekonomiku, aj politickú scénu krajiny. Čerstvejší hekerský útok na systémy VšZP bol síce len slabším odvarom, ale ukázal, že riziko existuje v mnohých oblastiach. Čo by sa však dialo, ak by takýto útok spôsobil niekoľkodňový blackout, si dokážeme sotva predstaviť. Toto riziko má pritom reálne základy, ako odhalili výskumníci Fabian Bräunlein a Luca Melette a neočakávaným „vinníkom“ sú obnoviteľné zdroje elektriny (OZE). Teda aspoň niektoré.

Zariadenia na výrobu energie z obnoviteľných zdrojov v celej strednej Európe používajú nešifrované rádiové signály na prijímanie príkazov na odvádzanie energie do alebo zo siete, ktorá obsluhuje približne 450 miliónov ľudí na celom kontinente. Vedci narazili na svoj objav náhodou, keď pracovali na úplne inom projekte. Po pozorovaní rádiových prijímačov na stĺpoch pouličného osvetlenia v celom Berlíne sa začali pýtať: Bolo by možné, aby ich niekto s centrálnym vysielačom hromadne ovládal, a ak áno, mohol by vytvoriť celomestskú svetelnú inštaláciu podľa vzoru Projekt Blinkenlights? Ten v roku 2001 v Berlíne svetlá vo veľkej budove synchronizoval tak, aby sa zapínali a vypínali tvoriac obrovskú monochromatickú obrazovku s nízkym rozlíšením.

Na 38. kongrese Chaos Communication Congress v Hamburgu sa minulý mesiac pýtali, či by mohli ovládať pouličné osvetlenie v Berlíne, aby vytvorili verziu pre celé mesto.

Po rozsiahlom procese spätného inžinierstva Bräunlein a Melette zistili, že môžu skutočne ovládať pouličné osvetlenie jednoducho pomocou správ šírených rádiovými vlnami. S prekvapením však zistili, že rovnaký systém sa používa v celej strednej Európe aj na ovládanie ďalšej regionálnej infraštruktúry vrátane prepínačov, ktoré regulujú množstvo energie z obnoviteľných zdrojov elektrickej energie dodávanej do siete.

Vedci odhadujú, že len v Nemecku by zariadenia mohli spoločne generovať až 40 GW výkonu a cez tieto prijímače je riadených aj 20 GW záťaže, ako sú tepelné čerpadlá a nástenné boxy pre elektroautá. Až 60 GW tak možno ovládať prostredníctvom rádiových signálov, ktoré môže poslať teoreticky ktokoľvek. Podľa ich výpočtu by optimálne vytvorená séria správ odoslaných za určitých podmienok stačila na zrútenie celej európskej siete, aj keď iní odborníci to spochybňujú.

Celokontinentálny riadiaci systém známy ako Radio Ripple Control je odvodený od staršieho protokolu Ripple Control. Ten sa používal na začiatku 20. storočia a pozostával zo série decentralizovaných vlnových injektorov v trafostaniciach. Dnešná bezdrôtová verzia Radio Ripple Control používa na odosielanie správ frekvenčnú moduláciu. Podobnú technológiu používali analógové modemy. Na túto službu dohliada spoločnosť EFR so sídlom v Mníchove, ktorá prevádzkuje tri vysokovýkonné vysielacie stanice na dlhých vlnách – dve v Nemecku a jednu v Maďarsku. Oblasť príjmu sa rozprestiera v okruhu približne 500 kilometrov okolo vysielačov v Mainflingene pri Frankfurte nad Mohanom, Burgu pri Magdeburgu a Lakihegy pri Budapešti.

Zákazníci – spoločnosti na dodávku elektrickej energie (EVU) – používajú buď webovú aplikáciu, alebo desktopovú aplikáciu VPN na odoslanie inštrukcií vysielaču,  aby buď dodal energiu do siete, alebo ju z nej odviedol. Vysielač zase posiela pokyny ako telegram do prijímača v elektrárni, ktorú chce EVU ovládať. Tieto signály nie sú šifrované a nepoužívajú autentifikáciu, takže ktokoľvek ich môže monitorovať, nahrávať a prehrávať na rovnakých frekvenciách. Bräunlein a Melette nakúpili deväť prijímačov FRE pre Radio Ripple Control od rôznych výrobcov. Potom vytvorili emulátor skutočného vysielača, vďaka čomu mohli posielať a prijímať dáta vo svojom laboratóriu.

Reverzné inžinierstvo poskytlo výskumníkom takmer dokonalú plynulosť vysielania pomocou protokolov Versacom a Semagyr, ktoré sa používajú v správach posielaných do FRE. Výskumníci demonštrovali odstavenie skutočného fotovoltaického systému s výkonom 40 kWp v dodávaní energie do siete.

Aké maximálne škody by mohli spôsobiť hekeri? Výskumníci skúmali kapacitu energie, ktorú by malé a stredné obnoviteľné zdroje mohli dodávať do siete. Dospeli k odhadu 40 GW, čo v kombinácii s teoretickou 20 GW záťažou predstavovalo nevyváženú kapacitu 60 GW. To by stačilo na napájanie zhruba celého Nemecka. Náhla zmena, ktorá pridá alebo odoberie takéto množstvo elektriny zo siete naraz, by spôsobila totálny kolaps siete.

Sieť je potrebné stabilizovať už vtedy, keď sa jej frekvencia odchýli od nominálnych 50 Hz. Ak dosiahne 50,2 Hz a viac, spustia sa zásahy na zníženie dodávky, napríklad vypnutie solárnych parkov. Ak frekvencia klesne pod 49,8 hertzov, dôjde k aktivácii energetických rezerv alebo odpojeniu priemyselných podnikov. Pri frekvencii 47,5 Hz sa elektrárne odpájajú od siete, aby sa chránili pred poškodením.

Teoreticky, plne zaťažená sieť s výkonom 300 GW na zmenu o 1 Hz vyžaduje nerovnováhu 18 GW . Takáto veľká nerovnováha však nebola nikdy zaznamenaná. Pri udalosti z roku 2021, keď sa v Poľsku nečakane stratili približne 3 GW výkonu, nastal pokles frekvencie siete o 0,16 hertzov. Ale pri nerovnováhe 18 GW alebo 60 GW, či viac, by vznikol problém aj s prenosom energie.

Spôsobenie takéhoto katastrofického prerušenia hekerským útokom by bolo náročné, podľa experta na rozvodnú sieť až nepravdepodobné. Takýto útok musí kontrolovať dostatočný počet GW – koľko, je otázne. Po druhé, musí prekonať legitímne signály vysielané tromi zariadeniami na vysielanie EFR. A po tretie, muselo by k nemu dôjsť v optimálnom čase.

Diagram znázorňujúci podmienky potrebné na vytvorenie vážnej nestability v sieti.

Najjednoduchší spôsob, ako spustiť takéto katastrofické narušenie, by bolo ovládnuť tri vysielače EFR – na diaľku, alebo fyzickým zásahom. Predstava takéhoto útoku síce vyzerá hrozivo, ale experti na bezpečnosť siete pochybujú, či je možné ho uskutočniť v reálnom svete. A ak aj áno, spochybňujú, či je odhad 60 GW presný. Navyše vznik anomálií v sieti by viedol k ďalším dispečerským zásahom riadenia siete, ktoré sa dejú bežne na dennej báze. Schopnosť opísaného útoku zničiť stredoeurópsku sieť je veľmi sporná. To však neznamená, že nie je načase vyradiť systém Rádio Ripple Control a nahradiť ho niečím lepšie zabezpečeným.

Jednou z možných náhrad môže byť iMSys (Integrated Measurement Systems) používaný na kontrolu, riadenie a snímanie inteligentných meračov vody, plynu, elektriny a pod. Využíva technológiu LTE, rovnako ako siete 4G. LTE používa šifrovanie na zabezpečenie dôvernosti a ochrany proti spoofingu. LTE síce nie je odolné voči hekerom, ale obsahuje robustnú bezpečnostnú architektúru, ktorá by pridala významnú vrstvu ochrany oproti Radio Ripple Control.

Regulačné orgány zvažujú plány na spustenie iMSys v LTE v pásme 450 MHz, vyhradenom pre kritickú infraštruktúru. Výhodou pásma, ktoré sa aj u nás využívalo v sieťach NMT (1G) a neskôr v sieti Flash-OFDM (tzv. „Flarion“) na prenos dát u vtedajšieho T-Mobilu, je niekoľkonásobne väčšie pokrytie z jednej základňovej stanice oproti vyšším frekvenciám.

Zdá sa, že šance hekerov vyvolať európsky blackout skrz nabúranie sa do ovládania solárnych a veterných elektrární sú diskutabilné. Nemali by sme sa však utešovať tým, že dnešný stav ovládacích systémov je úplne v pohode. Používanie nešifrovaných rádiových signálov, ktoré môže ktokoľvek poslať na riadenie energie odosielanej z elektrární OZE do siete (alebo ich naopak vypnúť), je v rozpore s požiadavkami na ochranu kritickej infraštruktúry a predstavuje potenciálne riziko. Pokusy o hekerské útoky na rozvodne elektriny tu už v minulosti boli, takže by sme kyberzločincom nemali nechávať pootvorené ďalšie dvierka.