Cena za życie w inteligentnym mieście

Inteligentne, naszpikowane czujnikami miasta są coraz częściej na celowniku cyberprzestępców. Katarzyna Bielińska

Smart city

„Cyberterroryści zhakowali sieć energetyczną zaopatrującą metropolię w energię elektryczną. Budynki i ulice toną w mroku, szpitale przechodzą na zasilanie awaryjne. Miasto jest sparaliżowane. Władze miasta odkrywają w skrzynce pocztowej e-mail z żądaniami hakerów. Suma jest bardzo wysoka. Do akcji wkracza zespół informatyków z sekcji zarządzania kryzysowego magistratu”.
Nie jest trudno wyobrazić sobie taki „breaking news”.
Ale bez paniki, w każdym razie jeszcze nie teraz. News nie jest prawdziwy. Nie jest to też scena z Watch Dogs, intensywnie reklamowanej gry Ubisoftu sprzed kilku lat, w której haker Aiden Pearce przejmuje kontrolę nad infrastrukturą Chicago (od świateł po prywatne dane) za pośrednictwem smartfonu w swojej kieszeni.
Czy to znaczy że ten scenariusz nie jest możliwy? Wręcz przeciwnie. Z każdym rokiem jest coraz bardziej prawdopodobny. Dlaczego? Bo nasze miasta stają się coraz bardziej smart.
Inteligentne parkingi i oświetlenie, zarządzanie ruchem drogowym w czasie rzeczywistym, monitoring przestrzeni publicznej, platformy otwartych danych miejskich, na bazie których start-upy opracowują aplikacje ułatwiające życie mieszkańcom, zautomatyzowane systemy miejskich bicykli i pojazdów elektrycznych, zdalne odczyty liczników, a w efekcie tego wszystkiego lepsza jakość życia, uwzględniająca również aspekty ekologiczne – tak zmieniają się miasta dzięki wdrażaniu systemów z obszaru smart city. Z ideą inteligentnych miast nierozerwalnie związany jest internet przedmiotów (ang. Internet of Things, IoT), czyli koncepcja połączonych w sieć inteligentnych urządzeń, mogących zbierać, przetwarzać oraz wymieniać informacje za pośrednictwem sieci elektrycznej lub komputerowej.

Imponują inteligencją

Z nowoczesnej techniki digitalizującej przestrzeń publiczną korzysta na świecie coraz więcej miast. Również w Polsce. Nasz kraj pnie się do góry we wszystkich światowych rankingach miast w wersji smart. W Katowicach działa Inteligentny System Monitoringu i Analizy, który na podstawie analizy danych z ponad 250 kamer potrafi wykryć kolizję drogową, zbiegowisko lub leżącego człowieka, co pozwala szybko reagować na niebezpieczne sytuacje. Wrocław wdrożył nowoczesny system zarządzania siecią wodociągową SmartFlow, który m.in. pozwala szybciej wykryć wycieki z sieci.

źródło: MPWiK SA we Wrocławiu/YouTube

Oprogramowanie do inteligentnego zarządzania siecią wodociągową zbiera dane ze 100 czujników, ulokowanych w sieci wodociągowej, monitorujących przez całą dobę ciśnienie i ilość przepływającej wody, automatycznie analizuje i przetwarza te informacje, a zakłócenia w przepływie sygnalizuje na mapie w postaci alertów. W ubiegłym roku miasto zaoszczędziło w ten sposób prawie pół miliarda litrów wody. Władze Wrocławia podpisały umowę z jednym z operatorów komórkowych na opracowanie systemu – opartego na internecie rzeczy – pozwalającego dokładnie lokalizować miejskie autobusy, tak aby poprzez dostosowanie sygnalizacji świetlnej na skrzyżowaniach, na których się znajdują, skrócić czas ich przejazdu. Z kolei dzięki projektowi CityLab (tożsamemu z budowanym w Warszawie Living Labem), przedsiębiorcy, start-upy i naukowcy mogą testować autorskie i niespotykane do tej pory w przestrzeni publicznej systemy odpowiadające na potrzeby mieszkańców.

Raj dla cyberprzestępców

Analitycy Grand View Research przewidują, że globalny rynek systemów z zakresu smart city do 2028 roku zwiększy swoje przychody prawie ośmiokrotnie w porównaniu do roku 2020. Z kolei według danych World Economic Forum w 2022 roku wydatki na ten cel osiągną poziom ponad 150 mld dolarów.
Cyfrowe ekosystemy pozwalają samorządom sprawnie zarządzać skomplikowanym miejskim organizmem – odinfrastruktury krytycznej po przetwarzanie miejskich danych. A hakerom ułatwiają pracę. Bo im bardziej inteligentne stają się miasta, a funkcjonujące w nich systemy zintegrowane, tym szersze pole do popisu mają cyberprzestępcy. Rosnącemu entuzjazmowi wokół wszystkiego, co „smart” nie towarzyszy świadomość, że zmiany te mogą pociągać za sobą realne zagrożenie dla bezpieczeństwa. A ataki, wykorzystujące luki w zabezpieczeniach inteligentnego miasta, mogą dotknąć już nie jedną osobę czy rodzinę, ale miliony mieszkańców.
Jakie mogą być faktyczne skutki działań hakerów i schemat ich poczynań pokazuje atak ransomware’u na amerykańskie miasto Baltimore w 2019 roku. Cybeprzestępcom udało się zablokować kilka tysięcy komputerów należących do miejskich służb i instytucji, a także uniemożliwić dostęp do systemu monitoringu i automatycznego poboru opłat za media. W efekcie praca samorządu została całkowicie sparaliżowana. Przestępcy za odblokowanie urządzeń zażądali okupu w wysokości kilkunastu milionów dolarów. W marcu 2018 r. cyberatak na słabo zabezpieczone publiczne systemy komputerowe w Atlancie – mieście znanym z inwestycji w inteligentne aplikacje – spowodował wyłączenie wielu funkcji miasta, w tym niektórych na miesiące. Atlanta oszacowała koszt odbudowy infrastruktury na prawie 10 milionów dolarów. Lista miast dotkniętych cyberatakami stale się wydłuża, a do Baltimore i Atlanty, dołączyły Nowy Jork, San Francisco, Frankfurt, La Rochelle, Angers i Liege.

Zmiana sygnalizacji to bułka z masłem

Kilka lat temu Cesar Cerrudo, badacz systemów bezpieczeństwa z argentyńskiej firmy IOActiv Labs, postanowił sprawdzić, czy i jak szybko można złamać inteligencję wielkiego miasta. Poleciał do Waszyngtonu, przespacerował się na Kapitol i wyciągnął laptop. Potem zaczął włamywać się do miejskiego systemu ruchu. System sygnalizacji świetlnej – jak wiele innych, które testował wcześniej na Manhattanie oraz w innych amerykańskich miastach – był otwarty na atak. Cerrudo odkrył, że potrafi zmienić czerwone światła na zielone, a zielone na czerwone. Mógł więc zablokować całe miasto albo zamienić arterię w ruchliwą autostradę. Mógł sparaliżować pracę ratowników w karetkach i zamknąć wszystkie drogi do Kapitolu… „Urządzenia, które przejąłem są również używane w miastach w Wielkiej Brytanii, Francji, Australii, Chin itd., co czyni je jeszcze bardziej interesującymi” – pisze. Jak twierdzi badacz, zasadniczo każdy może spowodować bałagan w ruchu, uruchamiając atak za pomocą prostego exploita zaprogramowanego na tanim sprzęcie (100 dolarów lub mniej). Cerrudo przetestował też równie skuteczny atak z niedrogiego, łatwo dostępnego na rynku drona, lecącego na wysokości ponad 200 metrów. System kontroli ruchu pojazdów zainstalowany na głównych arteriach amerykańskich miastach i w Waszyngtonie okazał się tak słabo zabezpieczony, że jego zhakowanie okazało się być bułką z masłem.

Inteligenetne miasto

Czujniki groźne, bo w sieci

Jak cybeprzestępcy przełamują zabezpieczenia inteligentnych miast? Sposobów jest wiele. Dzięki zdobytym kluczom oprogramowania przestępcy mogą sabotować infrastrukturę miejską z użyciem techniki „odmowa usługi” (DDoS). W praktyce atak taki może spowodować paraliż funkcjonowania miasta: dezorganizację komunikacji na ulicach albo czasowo lub stale wstrzymanie dostaw wody, gazu, ciepła czy energii elektrycznej. Z kolei wyłączenie monitoringu miejskiego może prowadzić do pogorszenia się bezpieczeństwa w przestrzeni publicznej. W takich przypadkach przywrócenie funkcjonowania systemów i powrót do normalności wymaga sporo czasu i środków finansowych. Jednym ze sposobów działania cybeprzestępców jest podmienianie prawdziwych danych przetwarzanych przez urządzenia na fałszywe. Może to doprowadzić do zaburzenia działania infrastruktury, a w przypadku np. elektrowni – do eksplozji, co przekłada się na bezpośrednie zagrożenie dla życia mieszkańców. Miejskie systemy w coraz większym stopniu polegają na czujnikach (np. energii, oświetlenia ulic), licznikach, chipach RFID monitorujących ruch czy segregację odpadów i innych urządzeniach podłączonych do sieci, które przekazują dane do centralnego systemu. Z kolei infrastruktura inteligentnych budynków, funkcjonuje na bazie urządzeń monitorujących pracę kamer, żarówek, czujników temperatury, bram, drzwi czy wind. Większość wykorzystywanych w niej czujników bezprzewodowych jest stosunkowo tania i nie ma wbudowanej architektury bezpieczeństwa – nie są bezpieczne z założenia. Dla hakerów taka sytuacja to raj na Ziemi. Dla mieszkańców – realne zagrożenie. A nagromadzenie wszystkich tego rodzaju elementów jest i będzie cechą charakterystyczną miast przyszłości. – Tempo wdrażania narzędzi z obszaru smart city nie idzie w parze z odpowiednim poziomem zabezpieczenia ogromnej liczby danych czy połączeń sieciowych. – W konsekwencji inteligentne miasta stają w obliczu kryzysu bezpieczeństwa, który może powodować poważne skutki dla mieszkańców – komentuje Piotr Zielaskiewicz z firmy Stormshield.

Głupota, nie inteligencja

Jeszcze innym wyzwaniem są ogromne ilości danych generowanych przez inteligentne systemy albo też wykorzystywane przez administrację do kontaktów z obywatelami. Informacje te mogą wpaść w niepowołane ręce i zostać wykorzystane w niewłaściwy sposób. Przykładem są tu o płatnościach zbliżeniowych w sieci transportu publicznego, dające dobry obraz dziennego natężenia ruchu w mieście, najczęściej używanych tras i węzłów komunikacyjnych oraz czasu, w którym są one najbardziej zatłoczone. Informacje te, gdy wpadną w niepowołane ręce, mogą spowodować w mieście maksymalne zakłócenia. Analitycy IHS Markit szacują, że liczba urządzeń IoT wzrośnie do 125 mld w 2030 r. Taki poziom sieciowej łączności znacznie zwiększy ryzyko ataków. I to naprawdę nie jest do śmiechu. Ponieważ inteligentne systemy są ze sobą połączone i współzależne, atak na coś tak „trywialnego” jak czujniki parkowania może dać atakującemu dostęp do węzłów, które łączą się z kluczową infrastrukturą krajową, zagrażając w ten sposób bezpieczeństwu narodowemu. Remedium? Jest jedno. Większa dbałość o bezpieczeństwo miejskich inteligentnych systemów: szyfrowania danych, tworzenia zapór, uwierzytelniania i zarządzanie prawami dostępu. – Wskazana jest także segmentacja systemów, ponieważ sytuacja, gdy wszystkie systemy informatyczne są ze sobą połączone, to najprostsza droga do przenoszenia uszkodzeń z jednego systemu do drugiego – mówi Zielaskiewicz. – Dobrym wyjściem jest również mapowanie sprzętu i systemu informatycznego, bo pozwala ono w pełni zrozumieć jakie zabezpieczenia są niezbędne – dodaje. Przyda się też większa świadomość tego, że jak się ma inteligentne zabawki to warto nimi mądrze zarządzać. W przeciwnym wypadku, nie o inteligencję chodzi, ale o głupotę.

Bibliografia

Nicole Perlroth, Traffic hacking: Caution light is on Malicious hackers can shut down so-called smart cities, where network sensors connect traffic online, serwis internetowy Deccanherald.com, [dostęp: 28.07.2021]

Cesar Cerrudo, Hacking US (and UK, Australia, France, etc.) Traffic Control Systems, serwis internetowy Ioactive.com, [dostęp: 28.07.2021]

Tom Brewster, Smart or stupid: will our cities of the future be easier to hack?, serwis internetowy „The Guardian”, [dostęp: 28.07.2021]

Beyza Unal, Smart cities are an absolute dream for infrastructure cyberattacks, serwis internetowy „The Wired”, [dostęp: 28.07.2021]

Kim Zetter, Hackers Can Mess With Traffic Lights to Jam Roads and Reroute Cars, serwis internetowy „The Wired”, [dostęp: 28.07.2021]