Hacker poogde Floridase waterzuivering te vergiftigen door zuurgraad te wijzigen

Een hacker heeft ingebroken in de systemen van de waterzuiveringsinstallatie van een stad in de Amerikaanse staat Florida. Hij wilde daar de zuurgraad gevaarlijk verlagen, maar dat werd op het laatste moment tegengehouden door een werknemer.

De hacker wist vrijdag binnen te dringen in de systemen van de stad Oldsmar in Florida. Lokale media schrijven dat de aanval uiteindelijk niet succesvol was, doordat een werknemer die opmerkte. De hacker kwam binnen in het systeem van de waterzuiveringsinstallatie, dat ook zorgt voor de aanvoer van drinkwater in huishoudens. De hacker probeerde het gehalte van natriumhydroxide in het water stapsgewijs te verhogen. Dat wordt aan het water toegevoegd om de zuurgraad van het water op peil te houden, maar in grote doses kan dat schadelijk of zelfs dodelijk zijn.

De aanvaller zou de hoeveelheid natriumhydroxide hebben verhoogd van het normale honderd delen per miljoen naar 11.100 delen per miljoen. Een werknemer ontdekte de aanval doordat de muiscursor plotseling begon te bewegen. Daardoor wist hij de verhoging ongedaan te maken. Als dat niet was gebeurd, was het gevaar waarschijnlijk minimaal. Het zou volgens de lokale politie nog zeker 24 uur duren voordat de verandering daadwerkelijk zou worden doorgevoerd en er zouden veiligheidssystemen in werking zijn getreden die waarschuwingen hadden gegeven.

Technische details over de hack ontbreken nog. Volgens Wired lijkt het erop dat de hacker TeamViewer gebruikte om een computer in het netwerk over te nemen. De bevindingen zijn bevestigd door de lokale politie, maar nog niet door externe onderzoekers. Het is niet duidelijk op welke manier de hacker de computer wist over te nemen en op welke wijze het netwerk gesegmenteerd was.

Reacties (186)

Natriumhydroxide zal de zuurgraad verhogen als in, de pH zal stijgen. Maar voor de niet chemisten is het misschien handig om te schrijven dat het pH stijgt, en het water meer basisch zal worden. Nu leest het alsof het water zuurder (lagere pH) gemaakt wordt met natriumhydroxide, terwijl dat een base is.

Ik lees nergens dat natriumhydroxide de zuurgraad zou verhogen... tenzij men het artikel inmiddels gewijzigd heeft lijkt het mij correct en is het niet nodig om er zaken zoals pH en "meer basisch" bij te halen.

Ik lees nergens dat natriumhydroxide de zuurgraad zou verhogen...

Dan mag je wel eens beter lezen: https://nl.wikipedia.org/wiki/Natriumhydroxide

Natriumhydroxide is een sterke base

Dus met een base toevoegen verhoog je de zuurtegraad (ook wel pH genoemd), je verlaagt het juist niet. De letterlijke zin in het artikel

Hij wilde daar de zuurgraad gevaarlijk verlagen,

Is dus juist niet correct.

Uhm, nee dat is dus niet juist. pH en zuurtegraad zijn omgekeerd evenredig aan elkaar.

Verhogen pH is verlagen zuurtegraad (je maakt het minder zuur).

De pH schaal gaat van 0 tot 14, waarbij 0 heel zuur is en 14 heel basisch. Door de pH te verhogen verlaag je dus de zuurtegraad (de mate waarin iets zuur is).

Voor mij als chemicus heel logisch

Vaak wordt dat gezegt, maar de pH kan ook negatief zijn of zelfs boven de 14 komen.

De zuurgraad verlagen was volgens mij minder zuur maken. Maar blijkbaar hebben chemici bedacht dat de zuurtegraad verhogen betekent dat iets minder zuur wordt.

Taalkundig compleet onlogisch dus, volgens mij kan men het beter over pH hebben en het woord zuurtegraad vermijden.

Maar inderdaad, de toelichting was dus nuttig

En als vissen verzorger (halve bioloog op een lab kijk je dan nog verder) Waarschijnlijk ontvet dit spul de zooi en het vet heeft een ander soortelijk gewicht dan water. Dus zal de gaswisseling aan het wateroppervlak blokkeren. Waardoor er geen zuurstof in kan (pH stijgt) en CO2 uit kan (pH daalt)

Dit kun je dan weer makkelijk testen door met een rietje onder het wateroppervlak te blazen en bellen langer blijven staan dan normaal het geval zou zijn.

Maar ja op een waterzuivering zit naast een pH meter ook een microsiemens/TDS/ORP/ meter die 2 zullen echt wel aan slaan.

Dit is overigens wel 1 van de redenen waarom wij niet automatisch kunnen en willen bufferen. We kunnen wel vanuit huis zien dat er iets fout gaat. Maar moeten nog steeds on site de boel oplossen. In geval van NH3/NH4 maar goed ook!

pH is een maat voor de zuurgraad of zuurtegraad ; maar stijging zuurgraad => dalende pH waarde.

De zuurgraad verlagen is dus wel degelijk correct. Als je de zuurgraad verlaagt dan stijgt de pH waarde.

Zie ook: https://nl.wikipedia.org/wiki/PH

Ik moest ook even 3x nadenken en de kennis van mijn VWO scheikunde uit een verstoft laadje in mijn geheugen halen
Het is voor een leek inderdaad wat verwarrend geschreven.

Voor een leek is het juist duidelijk. Chemici raken juist in verwarring.

lol, ja misschien is dat het juist..
Ik heb dus blijkbaar net genoeg onthouden om er door verwart te raken

Klopt, maar dan heb je het over de chemische zuurtegraad. Dat die omgekeerd logaritmisch werkt weet 85% van de mensen niet. Daarom wordt in niet-wetenschappelijk teksten de meer taalkundige betekenis gebruikt: hoe hoger de zuurtegraad hoe zuurder de stof.

@Tijs Hofmans ^^ mee eens als niet chemist dacht ik dat het zuurder werd na het lezen van het artikel. Ik vond het wel raar want natrium zit ook in zout en daar wordt het normaal juist basisch van (bij dat woord denk ik altijd aan hoe de vloeistof dan aanvoelt, beetje rond).

[Reactie gewijzigd door djwice op 10 februari 2021 09:24]

Ik zou hier nu scheikundig uit kunnen rekenen wat de zuurgraad van het water dan zou worden (of eigenlijk hoe basisch), maar dat is alweer zo lang geleden dat ik dat even door zou moeten rekenen. Aangezien PH op een logaritmische schaal werkt met een base van 10 en het een factor ~11.000 is zou ik zeggen dat behoorlijk omhoog zou gaan (mits het volledig oplost) en het niet zo stapsgewijs is als het artikel doet geloven.

Natronloog is geen fijne stof in water. Je hoeft iig geen zeep meer toe te voegen om dan je handen te wassen.

11.100ppm NaOH = 11.100 mg/kg = 11.100 mg/L (voor water wordt er vaak vanuit gegaan dat 1L = 1kg.)
11.100 mg/L / 1000 = 11,1 g/L (omrekenen naar gram om dat we zo ook gaan rekenen met gram per mol)
NaOH heeft een molaire massa van 39,997 g/mol
11,1 g/L / 39,997 g/mol = 0,278 mol/L water.

Nou is NaOH makkelijk de zuurgraad van uit te rekenen want het is een sterke base die 100% uiteenvalt dus de concentratie [NaOH] is gelijk aan de concentratie [OH-]. (die rechte haken om NaOH en OH- betekenen concentratie)

pakken we er 2 formules bij.
pH = 14 - pOH en pOH = -log [OH-]

beginnen we met de pOH uit te rekenen en dan daarmee de pH
pOH kunnen we uitrekenen door alleen de [OH-] in te vullen en die weten we nu dat is 0,278 mol/L. dus vul het in in je rekenmachine
pOH = -log(0,278) = 0,556
en de pH is 14 - 0,556 = 13,444
oftewel echt super basisch.

Maar er gaat geen kraanwater met pH 13,4 daar uit de kraan komen want er zitten natuurlijk ook al zuren in waar ze de NaOH in eerste instantie al bij doen om dat te neutraliseren. Maar omdat het een logaritmische schaal is zou het niet heel veel lager liggen ook.

Maar er gaat geen kraanwater met pH 13,4 daar uit de kraan komen want er zitten natuurlijk ook al zuren in waar ze de NaOH in eerste instantie al bij doen om dat te neutraliseren. Maar omdat het een logaritmische schaal is zou het niet heel veel lager liggen ook.

Nee precies. Je moet er echt een behoorlijke bak zuur tegenaan gooien wil je daar wat aan kunnen doen.

Ik snap dan ook niet waarom mijn post als off topic wordt gemodereerd. Dit is exact de wetenschappelijke onderbouwing voor mijn stelling. Iets met een PH van 13 zou ik niet willen drinken.

Een zuur van PH 2 is geen probleem, (dat is cola en maagzuur bijvoorbeeld ook), maar een base met PH13 Is dusdanig de andere kant van het spectrum dat het voor het menselijk lichaam ontzettend slecht is. Kijk alleen maar naar de reactie met maagzuur waarbij je dus direct het zuur kompleet neutraliseert. Vertering komt dan praktisch stil te liggen en je maagwand is niet gebouwd op de verhoging alkaliniteit van de inhoud.

Edit: de reden waarom dit overigens op meerdere fronten slecht is, is dat er veel warmte vrij komt in de reactie tussen het zuur en de base met mogelijk inwendige brandwonden tot gevolg. Daarnaast reageert het sterk met vetten en eiwitten. Dit is echt serieus gevaarlijk.

[Reactie gewijzigd door supersnathan94 op 9 februari 2021 13:06]

Iets met een PH van 13 zou ik niet willen drinken.

Nou drinken ze in Amerika dacht ik niet heel vaak uit de kraan, zoals wij hier doen. Ons water is ongelofelijk goed, schoon en lekker. In Amerika liggen die standaarden heel anders, en drinken mensen meestal water uit fles. In NYC was het zelfs zo erg dat als ik daar een paar dagen voor m’n werk was, ik terug kwam met een lichtere tint haar, van de douche. (Je rook het chloor als je de kraan opdraaide)

Maar ik moet er ook niet aan denken te douchen met water met zo’n pH waarde. Krijg je als ik het me goed herinner best stevige verwondingen van.

Daarbij doseren ze vaak met kleppen (pulsbreedte) of doseerpompjes (puls/min), die hebben een regelbereik. Meer dan dat kun je niet doseren. Dus dat fungeert al als een vorm van beveiliging. Het zal niet lukken om daarmee 100x zoveel te doseren.

Als ik je werk mag gebruiken: Het artikel vermeldt dat normaal 100 ppm NaOH gebruikt werd. Gaan we er van uit dat die 100ppm zou leiden tot perfect neutraal water dan is er dus 11.000ppm extra bijgekomen leidend tot een pH van 13.439. Voor je gezondheid maakt dit geen verschil.

Ter illustratie: als je alleen al de 100 ppm zou toevoegen aan neutraal water eindig je op een pH van 11.39. Zeer gevaarlijke chemicalien als het verkeerd gebruikt wordt, maar wanneer het goed gebruikt wordt valt het volledig uit elkaar in elektrolyten en water. Een waterzuiveringsinstallatie lijkt mij kwaliteitscontroles uit te voeren waaronder minimaal een relatief goedkope check op de zuurgraad met een noodstop als dit buiten veilige waarden komt.

Ik heb je berekening van de pH niet na gerekend, omdat 13,439 of 13,444 nagenoeg hetzelfde effect zullen hebben.

Kwaliteitscontrole is leuk, maar slechts een moment opname.
Vaak doen ze dat maar enkele keren per dag.

Wil je meer zekerheid, ga je met PAT aan de gang.
Probleem is dat wanneer parameters gewijzigd kunnen worden vanwege toegang tot het SCADA systeem, je ook niet meer kan vertrouwen op je PAT implementatie.

Dit is gewoon heel erg eng.
Niet alleen de hoge pH zelf, maar corrosie wordt ook anders en zware metalen zijn niet gezond.

Corrosie door basen? Zuren kunnen leidingen aanvreten, basen laten metalen juist neerslaan. Het enige metaal wat je teveel binnenkrijgt is Natrium die door de hacker is toegevoegd, oftewel keukenzout. Ook dit kan gevaarlijk zijn, bijvoorbeeld voor hartpatienten.

Maar dan komt de vraag: wie (van de oude generatie) heeft ooit bij het pipetteren 0,1 M natronloog in de mond gekregen? Hoe smaakte dat (zeperig)? Zou jij vrijwillig een glas hiervan opdrinken?
Ik denk dat dit wel meevalt, een klein slokje van dit vieze spul zal door de maag geneutraliseerd worden.

Wel ben ik benieuwd wat er gebeurt als iemand in bad gaat, of zijn kleren wast. Gaten in de kleren? Huid die weggebrand wordt? Gemorste base voel je niet op de huid, dus het kan lang inwerken.

Gefeliciteerd, ik begon aan mijzelf te twijfelen.

Maar gelukkig vond ik al redelijk snel bij meerdere onafhankelijke bronnen dat Naoh oplossingen weldegelijk corrosief zijn en metalen kunnen laten corroderen.
(Waarbij de dikte van het materiaal afneemt.)

De snelheid hangt af van concentratie, temperatuur en materiaal.

Hoe 0.1N Natrium Hydroxide smaakt? Vies.
Maar dat is een paar mL in plaats van een paar slokken.

Natrium is natuurlijk geen keuken zout ??? dat is natrium chloride

Klopt, you got me there. Poging 2: Het binnenkrijgen van teveel natrium ionen (die je ook krijgt als keukenzout oplost in water) kan hartproblemen geven.

Helaas zal je op zo'n grote schaal altijd iemand er tussen hebben die bijvoorbeeld na het sporten in een keer een glas achterover slaat. Of onder de douche niet doorheeft dat het water zo smaakt en langzaam aan verbrand en het niet af kan spoelen. Ondanks de kind-veilige doppen komt het drinken van gootsteen ontstoppers ook nog wel eens voor.

De maag kan dit vieze spul wel enigszins neutraliseren, maar daar heb je ook nog een heel traject mond en slokdarm voor zitten die dat niet kunnen.

Ik zou verwachten dat spuug dit verdunt, en dit uiteindelijk nog mee zal vallen. </speculatie>

Als je evenveel spuug produceert als in een slok water, dan zakt de pH van 13.4 naar 13.1 (logaritmische schaal). Zitten we nog steeds op de sterkte van gootsteenontstopper en verbrandde slokkdarm.

Valt idd niet mee: Bij doorslikken geven ze problemen met de slokdarm:

Er is duidelijk verschil tussen de werking van zuren en logen op het slijmvlies. De zuren geven een oppervlakkige coagulatie van het weefsel; de logen dringen diep in. De complicaties vindt men dan ook vooral bij de logen;

Wanneer 3.8% NaOH (1 normaal = mol/l) gedurende 10 seconden in contact wordt gebracht met de wand van de slokdarm, ontstaat necrose van de mucosa ... en binnenste deel van de spiervezels. Is de concentratie 3x zo hoog dan wordt ook een deel van ... de buitenste spiervezels vernietigd. Totale necrose treedt op bij concentraties die 10x zo hoog zijn als de eerst genoemde. Veel logen in de huishouding hebben een sterkte varierend van 8% tot 50% NaOH.

(doorslikken geeft ca. 6 seconden contact met slokdarm)

Nu de berekening 11100 ppm (deeltjes basis) =
3.8% (massa basis) x (18 / 40) = 1.8% (deeltjes basis) = 18000 ppm. De 11100 genoemd in dit artikel is ruwweg vergelijkbaar, dus ik verwacht brandwonden aan de slokdarm, en mogelijk lichte aantasting van de spieren.

In Nederland wordt de pH van het uitgaand reinwater continu gemeten bij alle drinkwaterproductie locaties.
Meestal wordt het met een pH van rond de 8 het leidingnet ingestuurd.
Als ze dan inderdaad het setpoint van de regeling aanpassen heb je wel een probleem. Er zou dan eigenlijk een hardcoded limiet in moeten zitten qua instelbereik of je laat de regeling besturen door het meetinstrument zelf, als dit afgezien van een paar 4-20mA signalen niet verder verbonden is met het SCADA systeem kan je het setpoint alleen aanpassen als je fysiek toegang hebt tot de instrumentatie.

Ben heel vroegah in twee waterzuiveringsinstallaties geweest en daar gebruikte ze een als laatste controle naast de standaard kwaliteitstests ook een letterlijke live-test met Zilverwindes, als deze vissen op de zijkant naar boven kwamen drijven werd meteen de stroom stopgezet en verdere kwaliteitstesten uitgevoerd.

Ben benieuwd of ze de hacker kunnen achterhalen en in de gevangenis regelmatig kunnen trakteren op drankjes boven pH10. Gewoon omdat het kan en in het kader van wetenschappelijk onderzoek. Onethisch om dat soort onderzoek op onschuldige apen te doen.

Ik weet niet hoe groot die loog container is, kan me voorstellen dat de loogvoorraad zo wel heel snel op gaat.
11g/l zijn hoeveelheden die ik gebruik om bijvoorbeeld gistvaten en flesjes te reinigen bij het bierbrouwen. Daar wil je niet met je handen in zitten, laat staan iets van binnenkrijgen of iets van in je ogen krijgen. Zuren reageren met kalk in het water, loog niet zo, dus ph zal niet veel neutraler worden.

[Reactie gewijzigd door base_ op 9 februari 2021 11:58]

NaOH is een vaste stof bij aardse omstandigheden. Dus de toegevoegde oplossing bevat ook nog water maar omdat je niet weet wat de concentratie is kan je dat helaas niet meenemen in je berekening.

Een van de grootste gevaren van NaOH is dat bij oplossen er veel warmte vrijkomt, daarom zullen ze dit nooit in korrelvorm toevoegen. De oude castrixsoda voor het schoonmaken van je doucheputje (je kan het op sommige plekken nog steeds kopen) is de zelfde (minder zuivere) stof.
Ook ongebluste kalk wat vroeger over kadavers werd gestrooid is NaOH wat moest helpen met het oplossen van de resten.

Disclaimer: Voor mensen die niet scheikundig zijn onderlegt. Blijf uit de buurt van dit spul in pure of geconcetreerde opgeloste vorm, het heeft een heftige etsende werking gelijk aan Zoutzuur of andere geconcentreerde zuren (en/of basen)!

Ook ongebluste kalk wat vroeger over kadavers werd gestrooid is NaOH wat moest helpen met het oplossen van de resten.

Goed voorbeeld over de bijtende werking, maar ongebluste *kalk* is toch echt calciumoxide (CaO), het effect zal vergelijkbaar zijn.

Je hebt helemaal gelijk ik gooi 2 dingen door elkaar.
Ongebluste kalk (CaO) werd inderdaad vroeger gebruikt omdat men dacht dat het sneller ging en de geur minder werd. (onderzoek heeft uitgewezen dat het juist andersom werkt en dat je het beter niet kan toevoegen)
NaOH werd gebruikt in sommige concentratiekampen tijdens de tweede wereldoorlog in de massagraven om hetzelfde te bewerkstelligen en in tegenstelling tot CaO werkt het een stuk beter om dat doel te bereiken.

pOH = -log(0,278) = 0,556 en de pH is 14 - 0,556 = 13,444

Uit het artikel:

De aanvaller zou de hoeveelheid natriumhydroxide hebben verhoogd van het normale honderd delen per miljoen naar 11.100 delen per miljoen.

Oftewel, de aanvaller probeerde de hoeveelheid NaOH met een factor van ruwweg 100 te verhogen. Dan suggereert jouw berekening dat voor de normale situatie het volgende geldt:
pOH = -log(0,00278) = 2,556 en de pH is 14 - 2,556 = 11,444
Als het water (voordat ze NaOH toevoegen) een pH heeft van 2 à 3 of zo dan zou het NaOH de boel neutraliseren. Maar een waterzuivering krijgt geen accuzuur binnen om te reinigen. Dus ik vermoed dat er ergens iets mis is gegaan. Als ik je berekening naloop valt dit me op:

11.100ppm NaOH = 11.100 mg/kg

Dat klopt toch niet? Dan zou één "part" (ik neem aan: molecuul) NaOH dezelfde massa hebben als één "part" water. Volgens mij kun je de omrekening via molecuulmassa en gram/mol helemaal overslaan; "ppm" is al een concentratie. Dan kom ik op:
11.100 ppm = 11.100 / 1.000.000 = 0,0111
pOH = -log(0,0111) ~= 2
pH = 14 - 2 = 12

Dezelfde sanity check die me aan jouw berekening deed twijfelen geeft echter:
100 ppm = 100 / 1.000.000 = 0,0001
pOH = -log(0,0001) = 4
pH = 14 - 4 = 10
En dat klinkt weliswaar minder onwaarschijnlijk, maar ik geloof er nog steeds weinig van; ik zal zelf ook iets over het hoofd hebben gezien. (Echt beschamend dat ik niet eens meer uit middelbare school scheikunde kom... ) Is er hier iemand die deze kennis wel paraat heeft en de berekening correct uit kan voeren?

Als het water (voordat ze NaOH toevoegen) een pH heeft van 2 à 3 of zo dan zou het NaOH de boel neutraliseren. Maar een waterzuivering krijgt geen accuzuur binnen om te reinigen.

pH 2 a 3 valt best mee hoor. het is een logaritmische schaal dus de stap van 11 naar 12 is heeeeel anders dan 13 naar 13,4 bijvoorbeeld.

en hierover 11.100ppm NaOH = 11.100 mg/kg
dit is nou eenmaal hoe ppm gebruikt wordt. Als scheikundige snap ik ook niet dat ze gewoon SI eenheden gebruiken als mg/kg of ml/l maar meestal duiden ze in een geval als deze met ppm op mg/kg en dat betekent niet dat een deelte (een molecuul inderdaad) netzoveel weegt als een deeltje water (nameljjk ~40 en 18 u (dalton) respectievelijk). ze hebben wel een ander gewicht. maar ppm betekent gewoon letterlijk parts per million en parts duid hier niet op het aantal fysieke deeltjes maar gewoon delen gewicht (of volume, maar meestal is het gewicht) dus op elke miljoen delen gewicht water zijn er elf duizend delen gewicht NaOH. en deze mg/kg rekenen we om naar g/L omdat g/L makkelijker om te rekenen is naar mol/L. en met de hoeveelheid mol (wat wel letterlijk het aantal moleculen is) kun je de pH uitrekenen.

Natronloog is geen fijne stof in water. Je hoeft iig geen zeep meer toe te voegen om dan je handen te wassen.

Inderdaad er wordt dan zeep gevormd met de vetzuren van je huid. Mensenzeep dus.

Don’t talk about Fight Club!

Het artikel stelt niet dat de verhoging stapsgewijs zou gaan maar dat er 24 uur zat tussen de aanpassing van de waarde en de daadwerkelijke toediening van natriumhydroxide. Het is tijdig ontdekt en dus is er niets veranderd.

De hacker probeerde het gehalte van natriumhydroxide in het water stapsgewijs te verhogen.

Daar maak ik iets anders uit op. Dat er door interne protocollen 24 uur tussenzit vind ik niet per se stapsgewijs.

Dat is wat de hacker van plan leek te zijn maar dat behoorde volgens het artikel dus nooit tot de mogelijkheden.

Mja leek. Of het was gewoon dit en daarmee klaar. Een factor 100 noem ik niet meer stapsgewijs om eerlijk te zijn. En zonder bewijs is dit gewoon komplete speculatie.

Jup. TeamViewer, VNC, etc. Echt een pest in industriele omgevingen.
Er is veel blabla over geavanceerde aanvallen op ICS, maar in de praktijk is er nog veel gesukkel met de basics.

Wij gebruiken ook Teamviewer voor de WFH gedeelte. Probleem is dat je niet anders kan verbinden vaak dat de medewerker ook mee kan kijken. MSTC werkt niet goed als ook de medewerker mee moet kijken etc. Daarnaast hoe kan je anders remote sessions doen? we hebben Director, maar dat is binnen Citrix omgeving, dus alles wat buiten daar valt kan je moeilijk oplossen.

Wij installeren altijd ''gratis versie'' is voldoende voor de meeste werkzaamheden, komt geen host bij te kijken. Of de hacker moet de verbinding van de medewerker binnendringen, maar die gevaar loop je altijd wel. Want de meeste medewerkers die support vragen zijn geen IT mensen.

[Reactie gewijzigd door theduke1989 op 9 februari 2021 09:42]

Voor gevoelige systemen is het interessant om te kijken naar PSM (privileged session management), vaak een onderdeel van PAM oplossingen.
CyberArk is zowat de marktleider (enterprise/duur), ik kan ook Wallix aanraden (minder opties maar vaak genoeg en goedkoper).

Zo kan je heel specifieke policies maken, een video recording maken van alle acties, en nog meer.
Onderliggende technologie is meestal gewoon rdp.

Ik snap dat je allerlei oplossingen probeert aan te dragen, maar in werkelijkheid lopen industriële systemen het meeste achter van alle systemen ter wereld.

Er zijn nog systemen met XP, Windows 7 of propriëtaire systemen die met een omweg worden aangestuurd. Op een gegeven moment kom je ook op de protocollen zelf (aansturen pomp, hydraulica, etc.) en daar is gewoon nooit rekening gehouden met security. Maar dat is lastig om te zetten. En PIM heeft geen enkele pompenboer van gehoord

Ik vind fysieke beveiliging van veel gebouwen wel een mooi voorbeeld. Daar heb je paslezers naast de deur hangen. Er wordt hoog ingezet op encryptie, minimaal 256bits AES, end2end, veilige chips, etc. Je houdt je pas voor de deur, er gaat een signaal naar de controller, deze checkt je credentials en opent vervolgens de deur.

Weet je hoe in heel veel gevallen die deur wordt geopend? Door middel van het Wiegand protocol: er word simpelweg een ander voltage (5V normaliter) op een draadje gezet en de deur gaat open. Niks encryptie: 0, null. Als je naast het slot de draadjes te pakken krijgt en je zet er op de juiste manier 5 volt op gaat de deur gewoon open. En dit is allemaal uitvoerig beschreven: want industrieel en vrijwel universeel Het is alsof je 512bits encryptie toepast op je wachtwoord kluis en vervolgens alles afdrukt en op je bureau legt: jammer

Ofwel: het is zo makkelijk nog niet.

Idd! klopt, maar een goeie installateur zorgt er natuurlijk wel voor dat die kabeltjes niet lopen langs de onbeveiligde kant. Weet trouwens ook dat bij een brandalarm het best mogelijk is dat er een hele boel los gestuurd worden of spanningsloos komt te staan. Behalve de kritische zones, zoals een serverroom die een blusinstallatie heeft die vereist dat de deuren dicht blijven.

@Anoniem: 14842 Specifiek over paslezers, ik was laats aan kijken naar een Chinese paslezer, maar die had juist een bos kabels die naar een security box ging en pas vanaf de security box werd het deur open signaal gegeven. Zolang de security box dus niet van buiten benaderbaar is, kan je dan niet met 2 draadjes de deur openen. Dus sommige fabrikanten doen gelukkig iets meer aan beveiliging

En hoe geeft de paslezer aan de security box door dat het akkoord is?

Of de securitybox weer terug naar de deur?

@supersnathan94 Je hebt gelijk, ik moet dat toch meer gaan onderzoeken
De enige "veilige" manier zou zijn als de paslezer een bepaalde code zou versturen naar de securitybox.

Maar dat is toch juist het idee van een PAM oplossing? Juist dat stukje IAAA naar voren halen zodat het niet op het systeem zelf meer hoeft (of in ieder geval niet meer volledig afhankelijk bent). Een extra laag in je defense in depth toevoegen.

Neemt niet weg dat legacy systemen ook uitgefaseerd moeten worden ofc.

En uiteindelijk is alles stuk te krijgen als je voldoende fysieke toegang heb. Hence ook defense in depth zodat je niet afhankelijk bent van een laag.

Je wilt niet weten hoevaak ik NT4 nog tegen kom .. :-/

Dat zou hier vermoedelijk evenwel niets opgelost hebben. Als de terminal die hier "gehacked" werd effectief bedoeld is om het process te controleren dan staat de applicatie die dat mogelijk maakt ook gewoon continue open. Op die machine hoort simpelweg geen Teamviewer te staan. Wil men dat remote doen zijn er andere oplossingen te verzinnen.

Nou ik ken de details van deze case niet, maar meestal gaat het om een TeamViewer die niet gepatched is of een die met zwakke authenticatie draait.

Een PSM jump server met wachtwoord policy, 2FA, patching, kan al veel voorkomen. Liefst nog een VPN er rond ook.
Waar denk jij aan als andere oplossingen?

Geen internetverbinding of toch niet de bedieningsmogelijkheden via internet hebben is waar ik aan denk als oplossing. Een telefoon + werknemer(s) kan toch ook en e.v.t. een geisoleerd kabel netwerk per waterplant als dat echt moet.

Kan geen enkele reden bedenken waarom de bediening via internet zou moeten kunnen behalve dat het goedkoper zou kunnen zijn dan een veilig I.T. beleid.

[Reactie gewijzigd door Nick1402 op 9 februari 2021 10:30]

Kan geen enkele reden bedenken waarom de bediening via internet zou moeten kunnen behalve dat het goedkoper zou kunnen zijn dan een veilig I.T. beleid.

Veel "bediening op afstand" projecten worden ingegeven door het gebrek aan goed opgeleid technisch personeel. Dus in plaats van alle plants een eigen technische ploeg te geven centraliseert men de besturing en kan men het met minder mensen af.

Over de technische inrichting.... had ik al gezegd dat de aanleiding was dat ze geen gekwalificeerd personeel konden vinden.....

Persoonlijk mee oneens, als er een valide business case is om remote access te hebben is dat prima (veilig) te faciliteren. Dit gebeurd ook trouwens zeer geregeld.

Welke maatregelen je neemt hangt af van de risico inschatting, budget en risico aanvaarding binnen het bedrijf. Dus fysiek gescheiden, virtueel of anders kan allemaal.

Het wordt tijd dat het wettelijk wordt verboden om dit soort systemen aan het internet te hangen. Anders gaan simpele zielen inderdaad "budget" meewegen in hun gedachtegang. Dat is met dit soort toepassingen gewoonweg een ontzettend slecht idee.

Volledig met je eens dat er meer wetgeving moet komen. Zelf vind ik het apart dat alleen vitale sectoren en privacy wettelijk beschermd word. Toeleveranciers van deze vitale sectoren weer niet.
Kan me herinneren dat Duitsland dit beter heeft geregeld met een geupdate versie van de wet. Deze "IT-Sicherheitsgesetz 2.0".

Nu verbeterd er al wel een hoop, BIO bijvoorbeeld bij de lokale overheid. Maar er is wel nog een hoop te bereiken.

Persoonlijk zou ik kijken naar VPN in combninatie met iets als VNC waarbij die laatste met behulp van de firewall zo goed mogelijk afgeschermd wordt. Enkel toegang van die subnets die er toegang toe mogen hebben.

Het probleem met industriële controlesystemen is dat die machines 24/7 aangemeld staan met hun controleapplicatie op de voorgrond. Sessiebeheer wordt dan enorm moeilijk.

En dan een goede VPN (IPSEC, OpenVPN, Wireguard), en niet PPTP...

[Reactie gewijzigd door tweaknico op 10 februari 2021 23:16]

Wordt dat nog gebruikt PPTP? Voor HTK gebruik leuk om mee te experimenteren, maar al tig jaar al niet meer gangbaar right?

Ik zie op diverse fora het nog steeds geadviseerd worden en ook vragen over hoe het een en ander goed in te stellen....
Eind jaren 90 was het al gekraakt op papier....
medio de jaren 00 was er een praktische aanval
rond 2010-2012 Was er een hacker die een AWS omgeving aanbood waar binnen 2 uur gegarandeerd toegang tot een PPTP server kon worden verkregen. De kosten waren AWS run time.
(Moxie-Marlinspike, ja die van Signal, bood dat aan).

Daarna duurde het nog even voor zelfs microsoft het begon af te raden...

Ben je ook bekend met nomachine product? Ik gebruik t voor het eerst op mijn suse computer jaren geleden. Die werkt via ssh.

Alleen met de SSH credentials verkeerd om (private key het centrale systeem, en public key op je eigen systeem de "display server").

Je bent bekend met Windows Quick Assist?

Ik heb het net even geprobeerd, wist hier niet van.

Maar het is erg instabiel. Ik logde in met mijn azure account, mijn normale O365 werkt niet, moet MFA installeren. Omdat onze on-prem support geen MFA heeft als DUO Mobile etc ''nog niet'' kan het niet. En dan bijvoorbeeld via mijn azure account wat ik heb gekregen, kan ik wel inloggen ik voer de codes in op de andere test laptop en wou ''volledige control'' de andere persoon moet het goedkeuren, na goedkeuring kreeg ik de foutmelding:

''An error has occured

We've run into a problem. An error had caused screen sharing to end or we cannot establish a connection. Please close Quick assist and try again later. ''

Dit wil je niet meemaken als mensen thuis werken, en je moet ze gaan begeleiden om alsnog teamvieuwer te installeren. En kost veel meer tijd.

Er is op dit moment niet echt veel. Anydesk etc, wil ik niet als je ziet hoeveel scammers daar wel niet tussen zitten. Dan is Teamviewer wel een stuk beter geregeld. We zijn sowieso op zoek naar een goede oplossing, die is er nog niet.

[Reactie gewijzigd door theduke1989 op 9 februari 2021 10:02]

Dit wil je niet meemaken als mensen thuis werken, en je moet ze gaan begeleiden om alsnog teamvieuwer te installeren.

Ik wil dat graag meemaken als het betekend dat de NL watervoorziening (of sluizen, of electriciteit, of...) daardoor veel en veel veiliger wordt.

Bij commerciële bedrijven kun je vaak een afweging maken tussen werkbaarheid en (digitale) veiligheid. Als er echter direct of indirect mensenlevens op het spel staan dient die afweging wat mij betreft volstrekt anders te geschieden.

Wist je dat in NL ook gewoon sluizen en dergelijke gevonden kunnen worden via Shodan en ook aangestuurd kunnen worden omdat er minimale (of geen) beveiliging op zit? Ja: maar anders moet ik helemaal naar de volgende sluis rijden om die te bedienen...

Wat denk je dat er gebeurt als iemand de Oosterschelde kering gewoon vol open zet tijdens een storm?

Als je voor een bedrijf werkt wat te maken heeft met publieke infrastructuur en de fysieke gezondheid van mensen dan dient dit _op alle niveaus_ altijd in je achterhoofd te zitten. In dat opzicht vind ik je post wat naïef.

Dit zijn systemen die intern op locatie staan. Ik praat over WFH van medewerkers zoals HR, PR etc.
Die hebben sowieso geen toegang tot interne systemen bij ons of wat dan ook. Alles is dicht in Citrix.
En buitenom citrix hebben we geen applicaties draaien voor in bedrijf.

Daarnaast hoor je dit nieuws ook vaak bij kernreactors etc dat mensen ingebroken hebben of proberen. Alles hangt aan het internet, het is maar hoe veilig je bepaalde systemen beveiligd.

Wij hebben 4 verschillende entities dus voor alles een ander protocol, beheer qua AD-DS dit kunnen we niet in tenants stoppen etc. Dus alles is los, en dan zijn er geen veel oplossingen meer.

@dycell had een optie gegeven om Windows Quick Assist te gebruiken. Ik persoonlijk wist hier niet van af. maar heb het net even zitten testen, proberen. Maar eerste hit was al direct een failure. Dus dit is ook niet de perfecte oplossing.

Dat er sluizen gevonden kunnen worden is nog geen garantie dat de Oosterscheldekering gevonden kan worden.

Daarnaast ben ik eigenlijk wel benieuwd of de sluizen daarvan open kunnen bij hoog water. Ik heb er wel mijn twijfels bij.

Naïef? In de vs heet dat criminal negligence

Een rechtsbegrip dat wij hier nauwelijks kennen maar dat zoveel betekent als: zodanig roekeloos dat het zelfs zonder nare gevolgen strafbaar is.

Een sluis in beheer van een waterschap of gemeente is nogal iets anders dan vitale infrastructuur in beheer van Rijkswaterstaat. Rws is best goed bezig hoor op dat gebied

Nog steeds hoop verbeteringen hoor maar dat is sector breed.

Edit: Overigens zijn sommige hoogheemraadschappen ook echt goed bezig hoor.

[Reactie gewijzigd door espen795 op 9 februari 2021 14:53]

Nou, er is hier een wet voor: Wet beveiliging netwerk- en informatiesystemen.

Dat betekent dat beheerders/eigenaren van kritische infra (denk aan: energie, vervoer, bankwezen, infrastructuur voor de financiële markt, levering en distributie van drinkwater) hun zaakjes aantoonbaar op orde moeten hebben.

Wat een en ander aantoonbaar maakt is niet gedefinieerd, maar denk voor IT aan ISO 2700x en OT aan IEC 62443-x-x.

[Reactie gewijzigd door MOmax op 9 februari 2021 16:35]

Snap niet dat er zo iets belangrijks op het internet staat aangesloten, dingen als dat, horen niet toegankelijk te zijn via internet.

[Reactie gewijzigd door AmigaWolf op 9 februari 2021 14:21]

Wat denk je dat er gebeurt als iemand de Oosterschelde kering gewoon vol open zet tijdens een storm?

Niets, die deuren kosten uren om te openen, tegen die tijd hebben ze echt wel iets door.

Geef het nog niet direct op. Ik heb het vaker zonder problemen gebruikt en het is gewoon Microsoft Remote Assistant (RDP) maar dan via Externe Microsoft servers. Remote Assistant wordt binnen de meeste bedrijven gebruikt en is erg stabiel (ik zie dat je Citrix gebruikt en dat is ook hun aanbevolen methode)

Bedankt voor de tip. Ik wist zelfs niet dat dit bestond. Ik gebruik regelmatig teamviewer voor ondersteuning bij vrienden of familie. (Zeker nu met de COVID maatregelen)
Maar zoals bij mijn opa is het soms een al een ramp om naar de website van teamviewer te gaan. Dus als dit al op de computer staat is het veel makkelijker.

Daar liep ik ook tegenaan. De mensen die je moet helpen zijn zo digibeet dat navigeren naar een website al een uitdaging is. Dit scheelt veel stappen.

Ik niet, maar je link zegt: Quick Assist is een nieuwe app in Windows 10 waarmee u hulp kunt krijgen of bieden via een externe verbinding. We raden u aan om Quick Assist te gebruiken om soepeler en makkelijker te kunnen werken.

zit je denk wel vast aan windows only?

Inderdaad, dit is een Windows-only functie. Andere platformen hebben echter wel veelal hun eigen oplossing. Bijvoorbeeld Apple.

Ja want Microsoft staat bekend om het maken van veilige remote software..

Lijkt me voor een enterprise omgeving helemaal niet relevant, daar wil je juist gewoon een tool waarbij de systeembeheerder ten allen tijden op afstand in kan loggen op bedrijfsapparaten

Voor interne systemen heb je Microsoft Remote Assistance. Dit is enkel de tegenhanger voor onbeheerde systemen.

Tevens geld je 'veilige software' argument voor iedereen. Ik kom zeer vaak computers tegen met een stokoude versie van Teamviewer. Daar zitten ook kwetsbaarheden in en die hebben ook nog eens altijd contact met internet. Quick Assist maakt alleen een connectie als deze gestart wordt door de gebruiker.

[Reactie gewijzigd door dycell op 9 februari 2021 11:29]

Ja dat is sowieso waar, als je geen updates draait dan heb je altijd wel een probleem. Maar ik zou in een enterprise-omgeving toch eerder betaalde enterprise-software (die als eerste factor een vertrouwd certificaat gebruikt) aanraden. Je kan dan ook de gebruiker toestemming laten geven, maar het hele idee van dat die toestemming aan iedereen gegeven kan worden is al onveilig (gevoelig voor phishing)

Microsoft Remote Assistance, Quick Assist en Remote Desktop zijn onderdeel van Windows en worden dus automatisch gepatched met het OS. Geen verdere acties zijn er nodig. Dat kun je niet zeggen van derde partij software. Tevens is Windows natuurlijk wel enterprise software ook al zitten deze features (gedeeltelijk) ook in lagere versies zoals Windows home. Als laatste is het kostenloos als je al windows draait.

Ik heb geen idee wat je bedoelt met 'vertrouwd certificaat' maar remote desktop ondersteund allerlei vormen van authenticatie. In Windows Professional en Enterprise kun je daar helemaal op los gaan als dat je ding is.

Je kan dan ook de gebruiker toestemming laten geven, maar het hele idee van dat die toestemming aan iedereen gegeven kan worden is al onveilig (gevoelig voor phishing)
Binnen een domein omgeving kun je aangeven wat het niveau moet zijn van acceptatie. Je kunt Quick assist ook helemaal uitschakelen als je dat wilt. Maar Quick Assist is bedoeld voor onbeheerde machines of machines waar jij niet direct beheer over hebt. En daar is het uitermate geschikt voor.

Nou, in Nederland is het helemaal niet zo goed geregeld. Lees
"Leiding Waternet probeert verantwoordelijkheid voor digitaal wanbeleid te lozen"
https://www.ftm.nl/artike...Gtr5rjFQVfT8H6zJSAfeZDunk

[Reactie gewijzigd door denkster op 9 februari 2021 15:37]

In mijn organisatie zijn wij grotendeels van TV naar WQA overgestapt met betrekking tot het assisteren van thuiswerkers. Het werkt ideaal, zijn nog steeds limitaties met o.a. het gebruiken van bepaalde admin functies (i.e., helemaal niet omdat je meekijkt op het account van de gebruiker).

Op het interne netwerk word er alsnog gebruik gemaakt van MSRA.

Alleen in zeer zeldzame gevallen waar Quick Assist niet werkt word er nog gebruik gemaakt van TeamViewer. De computers in het netwerk (onderwijsinstelling met 21 scholen) die niet op W10 draaien zijn op 1 hand te tellen, en deze staan meestal ergens in een hok zonder internet, of nog achter in een kast als noodlaptop die nooit gebruikt gaan worden.

De meeste gebruikers vinden het ook veel fijner om Quick Assist te gebruiken, het is vlot te vinden (Start > Accessoires > Quick Assist | Of start + "qu" zoeken"), en omdat het meerdere handeling nodig heeft kan een gebruiker niet 'zomaar' een link accepteren. (Code begeleider invoeren, begeleider moet mode selecteren, en hulpvrager krijgt een 2e request met mijn e-mailadres inbegrepen om te kijken of het echt ok is om te delen).

Dit is inderdaad ook hoe ik het implementeer en Microsoft adviseert om het te gebruiken. Goed gedaan want je ziet het niet zo vaak

Heb jij ooit wel eens een docent aan de lijn gehad met een IT probleem met een klas voor zijn of haar neus? Dan heb je in het beste geval een wat geïrriteerde persoon aan de lijn, die het niet kan hebben om eerst naar een website te gaan, daar iets te downloaden, en dan door het proces heen te gaan dat in te stellen. Ook TeamViewer quick support is vaak een no-go.

Windows Quick Assist is dan veel makkelijker, sneller én bedrijfszekerder. Je bent er namelijk zeker van dat de applicatie er is, dat het de juiste is én dat het werkt met iets meer veiligheid dan TV..

Aangezien wij ook gebruik maken van MSRA, valt mij zelfs op dat de meeste medewerkers voorkeur hebben aan Quick Support ook in normale situaties waar zij op hun werkplek in het netwerk kunnen zitten.

Het feit dat de enige handelingen die zij moeten uitvoeren een paar klikken zijn en een code invoeren (die ik hun doorgeef), ipv het zoeken naar computernamen/ip adressen/of het downloaden van een quick support tool, trekt hun heel erg omdat de meeste simpelweg amper kennis hebben van computers als het verder gaat dan hun eigen dingetje.

@i-chat

Dan typ je in de zoekbalk ‘TV’ of desnoods ‘helpdesk’ en alles gaat werken als je dan ook nog eens een pro versie neemt staat je eigen logo er en kun je gebruik maken van de wachtrij en hoeven mensen niet eerst 0900-pcnerd te bellen

En dan? Er komt een melding in de wachtrij te staan, maar dan wat? Moet ik daar iets mee als een IT-er van de helpdesk, of heeft meester Piet weer op het verkeerde programma geklikt omdat het icoontje van QS naast de knop van Chrome stond, en zijn ogen doen het niet zo goed meer? Ik accepteer de aanvraag, en dan, wat is het probleem, waar gaat het mis, geen idee want meester Piet heeft zijn probleem nog niet uitgelegd. (En vraag hem niet om de chat functie in Teamviewer te zoeken)

Teamviewer QS werkt heel handig, maar het is verre van perfect, en uiteindelijk is het belangrijkste voor mensen met problemen (en gelimiteerde kennis) dat zij ook iemand te spreken kunnen krijgen. Als wij een remote sessie starten, dan moet er ook een telefoongesprek bij zitten, omdat de gebruiker dan hun problemen zo goed mogelijk kan uitleggen, waar ik als begeleider op afstand de gebruiker kan uitleggen wat het probleem is, hoe het probleem opgelost word, en als nodig is aan de gebruiker uit kan leggen hoe het probleem in de toekomst door hunzelf mogelijk opgelost kan worden.

Dus wat er ook gebeurt, moeten zij toch '0900-pcnerd' bellen. Of zij sturen ons een e-mail, en vragen wij in de meeste gevallen toch aan de gebruiker om telefonisch contact op te nemen als het niet in 1-2 mails opgelost kan worden.

antwoord ja! ik heb als ITer bij een vrij grote scholengemeenschap (ongeveer 15000 leerlingen over (volgens mij destijds 11 of 12 locaties) in Rotterdam gewerkt zowel als Fronline medewerker en later als systems-manager.

De systeem-images die wij uitrolden waren standaard voorzien van een VNC oplossing die 1-op-1 te vervangen zou zijn geweest door een Teamviewer qs-module. en +/- 2 jaar geleden werkte ik als jurist bij een bedrijf waar QS ook daadwerkelijk werd ingezet.


@deknegt Dat is natuurlijk altijd een kwestie van hoe je je zaakjes wilt regelen. De workflow ik ik persoonlijk zou verkiezen is NOOIT die van de wachtende client die niets aan het doen is dan stressen terwijl er een wachtmuziekje speelt.

Dus een wachrij al dan niet met een voorafgaand vragenlijstje en een chatvenster heeft al snel voorkeur en ja die support medewerker belt je dan gewoon op je geregistreerde nummer (of op je prive nummer als je dat in de chat aangeeft.

het hangt natuurlijk heel erg van 'jouw situatie' af maar geloof je mijn collega's in het juridische domein en vooral ook die in het zorg domein zijn vele malen hardnekkiger dan de gemiddelde 'klassenleraar'

Er is geen gratis versie voor ondernemingen. Je bent strafbaar bezig. Los van het gegeven dat het niet heel veilig is het opzoeken, downloaden en starten van een remote tool door eindgebruikers te laten uitvoeren. Dat is al een veiligheid risico op zich zelf. En dan heb ik het nog niet eens over het gegeven dat je eindgebruikers al helemaal geen optie moet bieden om op een werkomgeving executables te laten downloaden en starten.

Het is sowieso geen strafbaar feit. Het is contractbreuk.

De versie is voor de onderneming niet gratis maar je kan onder bepaalde voorwaarden wel zelf een betaalde licentie hebben en de klant de portable versie laten gebruiken voor support. Dus hoogst waarschijnlijk is hij niet strafbaar bezig.

contractbreuk is NIET strafbaar, je kunt wel aansprakelijk zijn (maar dat is een schade-vergoeding ... het herstellen van de schade die je hebt veroorzaakt) ... een straf (gevangenis, boete of strop) krijg je alleen als je iets doet tegen de maatschappelijke normen en waarden die door de wetgever in een strafbepaling zijn vastgelegd en vervolgens door een strafrechter zijn uitgesproken in een veroordeling.

[Reactie gewijzigd door i-chat op 9 februari 2021 16:21]

Op het moment dat je de gratis versie commercieel gebruikt is het volgens mij ook geen contractbreuk omdat je geen contract aangaat. Het downloaden en illegaal gebruiken van commerciële software is zover ik weet wel strafbaar en was dat ook al toen er nog geen downloadverbod voor muziek en e-books bestond. (Of niet gehandhaafd werd.)

Maar als je zelf een commerciële licentie hebt mag je onder bepaalde voorwaarden, je klanten de portable versie van Teamviewer gratis laten gebruiken.

Op de voorwaarde dat je Windows gebruikt, er zit een imho zwaar onderbelichte tool standaard in het OS: Quick Assist. Werkt ontzettend goed, maar of het Teamviewer kan vervangen hangt er vanaf waar je het voor wilt gebruiken.

Wij gebruiken ook Teamviewer voor de WFH gedeelte. Probleem is dat je niet anders kan verbinden vaak dat de medewerker ook mee kan kijken.

Jitsi Meet? Kan je actief aan een medewerker via een veilig kanaal vragen om een bepaalde URL te bezoeken, en met behulp van E2EE zit niemand ertussen. Je kan naast desktop delen ook de desktop ermee bedienen, nadat de gebruiker toestemming geeft. Zodra de sessie is afgesloten, is bedienen op afstand niet meer mogelijk. Dat is volledig gratis, en kan self hosted geïmplementeerd worden omdat het open source is (of een externe organisatie ervoor betalen, als het een organisatie is die dat echt op die manier wil).

Wij installeren altijd ''gratis versie'' is voldoende voor de meeste werkzaamheden, komt geen host bij te kijken.

Wat vaak niet mag, omdat de gratis versie van TeamViewer niet commercieel gebruikt mag worden.

[Reactie gewijzigd door The Zep Man op 9 februari 2021 09:53]

Wat vaak niet mag, omdat de gratis versie van TeamViewer niet commercieel gebruikt mag worden.

Ik ben als consument al uit teamviewer geweerd (te veel gebruikt). Ik vermoed dus dat als je het zakelijk gebruikt je om de zoveel tijd weer gezeik heb.

Iets dat geen password based login heeft of waar je dat kan uitzetten, zodat er geen zwak standaard wachtwoord kan gebruiken. Want dat is vaak toch het probleem.

SSH, VNC laten toe dat je op basis van cryptografische sleutels inlogt. Ja, dan moet een nieuwe computer / gebruiker handmatig worden toegevoegd of moet je sleutels delen, maar het is toch een heel stuk minder kwetsbaar.

Bij teamviewer kun je zowel een sterker wachtwoord instellen als dit helemaal uitschakelen:
[Afbeelding]
Waarbij het sterkste wachtwoord toch redelijk lastig te raden zal zijn:
[Afbeelding]

Je kan het in theorie zelfs zo instellen dat alleen een specifiek account (dat beveiligd is met 2FA) toegang heeft tot een apparaat via Teamviewer. Voor uitzonderingen kan de host dan een Teamviewer-meeting starten om het scherm te delen.

[Reactie gewijzigd door Oon op 9 februari 2021 10:44]

Geen ervaring zelf met TeamViewer. Dit zou denk ik het probleem grotendeels oplossen (er van uitgaande dat TeamViewer zelf een secuur stuk software is, dat weet ik niet).

Ik ga er van uit dat veel kleinere organisaties deze methode van authenticatie niet gebruiken, welk dan een probleem is met de processen binnen die bedrijven.

Het zou wellicht helpen om de klassieke wachtwoord methode te verbieden voor zwakke wachtwoorden en/of standaard uit te zetten. Maar dit is ook bij alternatieven niet het geval, dus dat leg ik hen niet ten laste.

Ja, dan moet een nieuwe computer / gebruiker handmatig worden toegevoegd of moet je sleutels delen

Je kunt SSH public keys in een LDAP oplossing kwijt. Oók in Azure/Active Directory. Maakt het leven makkelijker.

Met (Free)IPA/Red Hat IdM kan het out-of-the-box.

"gratis versie" is totaal niet voldoende voor een bedrijf, al is het maar omdat je je niet aan de licentie van Teamviewer houdt. Zie ook https://www.teamviewer.co...ws&language=en&country=NL
De gratis versie is namelijk niet bedoelt voor bedrijven maar alleen voor persoonlijk gebruik (vrienden, ouders, je pc thuis). Daarnaast wil je op dit soort systemen als in dit bericht, altijd een auditlog hebben (controle daarvan is een 2de.. maar de auditlog moet je gewoon hebben).

Ook wil je niet dat Teamviewer continue op de achtergrond draait. De poort staat immers open en hij houdt continue verbinding met de Teamviewer servers buiten. En wie update die gratis versie op al jullie systemen? Wat is er mis met een tijdelijke remote control starten op het moment dat de medewerker hulp nodig heeft? Er zijn betere remote control oplossingen die ook binnen een bedrijfsnetwerk blijven die veel beter zijn voor de systemen die in het nieuwsbericht genoemd worden.

[Reactie gewijzigd door SunnieNL op 9 februari 2021 10:08]

Met Teams gaat het ook best aardig moet ik zeggen.

Misschien zoete als Bomgar gebruiken. Dan draai je als het ware je eigen remote server en log je vanuit daar in op de systemen.

De "gratis versie" mag niet zakelijk gebruikt worden en ik vind dat je dat als professioneel bedrijf ook niet moet willen. Afgezien daarvan vind ik Teamviewer een groot veiligheidslek aangezien er een externe server bij betrokken is voor het tot stand komen van de verbinding.

Gewoon remote assistance gebruiken. Dan krijgt de eindgebruiker netjes een melding of je mee mag kijken, werkt prima in een LAN en kost helemaal niks.

Teamviewer altijd actief hebben draaien is gewoon not done. Iedereen kan dan meekijken.

Inderdaad, je ziet deze zaken standaard op dit soort systemen geïnstalleerd staan. Ook binnen gemeenten en zorg is dit een groot probleem. Deze machines zitten soms ook niet in het domein en worden dan ook niet beheerd door intern systeembeheer.

Dit is vaak het resultaat van slecht beleid. Er worden beslissingen gemaakt (bijvoorbeeld om bepaalde software / hardware in te voeren) terwijl er niets over veiligheid wordt afgedwongen. Intern IT wil er dan niets meer mee te maken hebben en die MRI machine wordt maar in een VLAN hoekje gestopt zodat hij het hele ziekenhuis niet meeneemt als het mis gaat.

HMI panelen hebben vaak een embedded VNC server, en dat is de enige manier op "op afstand" de HMI te zien.
Omdat ze voorheen vaak gebruik maakte van plugins in browsers (eg: java) die korter bestonden dan de machine, en dat is ook ongemakkelijk.

Je kunt speciale VPN modules krijgen (zoals eWON) die je systeem isoleren van de rest van je netwerk en toeganscontrole voor remote/local access toevoegen.

Er is veel blabla over geavanceerde aanvallen op ICS, maar in de praktijk is er nog veel gesukkel met de basics.

Je kan je afvragen of deze hack dan van een eenling of misschien boze werknemer kwam of dat er echt een professionele hackersgroepring of een statelijke actor achter zit. Ik persoonlijk denk dat deze aanval niet onder de geavanceerde ics aanvallen valt.

Als ik hier de reacties doorlees is het probleem vooral een gebrek aan kennis, zowel bij de beherende partij als de implementerende partij en zijn er dringendere issues dan APT.

Het ontbreekt nu - zover ik kan opmaken - volledig aan regulering en regelgeving / wetgeving die eist dat het aan een minimaal niveau voldoet. Dat er de technische mogelijkheid is om bijvoorbeeld Teamviewer of VNC te installeren onderstreept dat. Idealiter wil je naar een situatie dat de medewerkers minimaal een basiskennis van security hebben en dat de veiligheid technisch wordt afgedwongen. Bijvoorbeeld door medewerkers laptops te geven om remote hun werk uit te kunnen voeren, die op een veilige, maar gebruiksvriendelijke manier inlogt op de ICS systemen (bijvoorbeeld door het automatisch opzetten van een SSH/VPN verbinding, authenticatie op een gestandaardiseerde en veilige manier, etc).

Eigenlijk wil je er naar toe dat APTs de meest realistische dreigingen zijn, omdat de rest van de issues die nu spelen al is opgelost/ondervangen.

niet de eerste keer .. -> https://www.wired.com/sto...ower-grid-computer-mouse/

maar trust me, aanvallen kunnen veel geavanceerder zijn (kijk naar de Triconex Attack in saudi) het probleem is gewoon dat er veel te weinig aan beveiliging van ICS systemen uitgegeven wordt (en er door vendoren Rockwell/Siemens/Emmerson/etc ook gewoon actief tegen gewerkt wordt)

Wat zal in godsnaam het motief van deze hacker zijn geweest, om de gezondheid van de bevolking van een hele stad moedwillig in gevaar te brengen??

Dat heet (cyber)terrorisme...

En dan is de vraag: welk motief zat er achter dat terrorisme? Want de definitie van terrorisme is een burgerbevolking angst aanjagen om een politiek doel te bereiken.

En dan is de vraag: welk motief zat er achter dat terrorisme? Want de definitie van terrorisme is een burgerbevolking angst aanjagen om een politiek doel te bereiken.

Angst kan het politieke doel an sich zijn. Het zorgt voor burgerlijke onrust. Mogelijk grote protesten (in de tijd van een pandemie, erg leuk). Onvrede.

Er zou een hardware beveiliging moeten zijn die maximale flow uit de opslagtank beperkt tot een veilige waarde. Bijv. door de capaciteit van de pomp zo te kiezen dat de veilige waarde nooit overschreden kan worden. Je moet nooit vertrouwen op software die voor cruciale waardes de maximale setting bewaakt.

Dit is niet de enige beveiliging. Er zitten vaak sensoren in de buizen en het systeem om dit soort zaken te monitoren. Als er een sterke/gevaarlijke concentratie van iets word bemeten gaat het systeem vaak op non-actief en worden de pompen gestopt en gaat er een alarm af. Staat ook ietwat rot in het artikel:

... en er zouden veiligheidssystemen in werking zijn getreden die waarschuwingen hadden gegeven.

Ik word toch droevig als je tussen de regels leest dat er waarschijnlijk een Windows machine met kritische bedrijfstoepassingen (zelfs met gezondheidsrisico’s) waarop dan Teamviewer staat en waarschijnlijk rechtstreeks aan het internet hing. Het woord hacker is dan vooral handig om je te verschuilen achter je enorm slechte IT infrastructuur

Teamviewer hoeft niet rechtstreeks aan het internet te hangen. Het is net een applicatie die zeer flexibel is om het internet te bereiken. Gewoon de mogelijkheid hebben op websites te bezoeken is voldoende geloof ik.

Dat zulke systemen Windows draaien is ook niet opmerkelijk. Heel veel industriële controlesystemen draaien onderhuids gewoon op Windows. Dat vereenvoudigd vaak net het beheer ervan omdat je ze up to date kunt houden, beheren en beveiligen met dezelfde tools als je client systemen.

Hier heeft men evenwel de fout gemaakt om voor TeamViewer te kiezen, en mogelijks speciaal daarvoor beperkte internet toegang heeft moeten geven tot deze machine. Er zijn andere oplossingen die wel gewoon intern kunnen blijven, zoals VNC, die mogelijks een veiligere keuze waren geweest.

Teamviewer heeft een LAN optie waarbij hij dus alleen lokaal werkt, op IP basis.
Zonder verdere details is het heel moeilijk te zeggen hoe de hacker precies is binnen gekomen.

Natuurlijk hangt teamviewer wel aan het internet. Teamviewer moet verbinding kunnen maken met de cloud die de host vervolgens beschikbaar stelt. Er zijn dus geen ingaande open poorten nodig alleen internet toegang.

Je hebt gelijk, ook hoe Teamviewer zijn weg makkelijk naar buiten vindt. En ook dat veel industriële systemen tegenwoordig gewoon op Windows draaien. Mijn werkgever gebruikt ook Windows voor het aansturen/uitlezen van productieprocessen en wij gebruiken ook software voor remote access. Het enige verschil is dat deze productie processen aangestuurd worden vanuit een afgeschermd netwerk, zonder enige toegang naar buiten, ook niet naar andere interne netwerken. De remote access die wij gebruiken is wel uitgevoerd met meerdere lagen beveiliging, maar dan nog zijn de productiesystemen niet benaderbaar via zo'n verbinding. Als er iets mis is moet iemand op locatie komen om het te fixen, dit soort systemen wil je niet beschikbaar hebben via internet.

Dat vereenvoudigd vaak net het beheer ervan omdat je ze up to date kunt houden, beheren en beveiligen met dezelfde tools als je client systemen.

De keerzijde is dat het ook net zo kwetsbaar is voor zero-days, virussen en malware als de client systemen. Om een voetballer te qouten: "Elk voordeel heeft z'n nadeel".

het kan ook een cyber inbreker zijn, of digitale inbreker? wat heb je liever. Ondanks dat het een slechte infra heeft. persoon moest alsnog moeite doen om op het inerne netwerk te komen ongeacht hoe.

Het lijkt mij zeer zeker dat deze persoon moeite heeft moeten doen. Zelfs als de hacker "per ongeluk" op een onveilige teamviewer host stuitte, dan nog wist hij blijkbaar prima wat voor systeem dit was. Misschien iemand die van tevoren social hacking heeft gebruikt om aan het teamviewer ID en wachtwoord te komen?

Ongetwijfeld was er gewoon een raadbaar wachtwoord, of iets vermeld op een briefje op een bureau, of hetzelfde wachtwoord gebruikt met hetzelfde mailadres bij een schimmige webshop én stond 2-factor uit voor de (gratis) Teamviewer account en stond 2FA ook uit.

En dan kan je je natuurlijk afvragen waarom er teamviewer op dat soort systemen geïnstalleerd staat. Slordigheid terzijde: een dergelijke hacker zou gewoon poging tot genocide ten laste gelegd moeten worden.

(...) Slordigheid terzijde: een dergelijke hacker zou gewoon poging tot genocide ten laste gelegd moeten worden.

Genocide wordt ook wel 'volkerenmoord' genoemd en slaat op het moedwillig ombrengen van mensen van een specifieke etnische, raciale of religieuze groep of specifieke nationaliteit.

In dit geval gaat het om een poging tot het vergiftigen van het drinkwater van een stad in Florida, waarvan waarschijnlijk iedere inwoner van die stad gebruik kan maken, ongeacht etniciteit, ras, religie of nationaliteit.

Daarnaast is het ook de vraag of het gelukt zou zijn om de concentratie natriumhydroxide in het drinkwater zó hoog te krijgen, dat het daadwerkelijk schadelijk zou zijn geweest voor de volksgezondheid. Dat neemt uiteraard niet weg dat het een zeer ernstig incident is.

Sinds wanneer is het water in Florida eigenlijk drinkwater?
De laatste keer dat ik in de VS was is even geleden, maar toen dronk men daar niet uit de kraan. Nooit.

Het zou kunnen dat het in het artikel gaat om kraanwater. Over het algemeen is het kraanwater in de VS naar mijn weten sowieso wel geschikt om mee te douchen, te wassen of de wc door te spoelen. En als je er een slok van neemt, zul je er hoogstwaarschijnlijk ook niet meteen dood van neervallen (tenzij iemand een dodelijke hoeveelheid NaOH door het kraanwater weet te mengen, natuurlijk).

Het Nederlandse kraanwater is wel van veel hogere kwaliteit en daardoor sowieso geschikt als drinkwater. Overigens zijn er wel regionale verschillen in de samenstelling van het Nederlandse kraanwater. Ik moet zelf altijd even wennen aan de smaak van Haags kraanwater, bijvoorbeeld, dat smaakt wat metalig in vergelijking met het Drentse kraanwater dat ik normaal drink.

Er zijn wel plekken in de VS waar je wel uit de kraan kan drinken. De kwaliteit varieert gewoon enorm. In de Nederland hebben wij met de waterschappen en het arrest uit 1973 dat er geen toevoegingen bij mogen het natuurlijk erg goed geregeld. Bij de waterschappen worden ook alle metingen gepubliceerd.

Waterschappen doen niets op gebied van het bereiden van drinkwater. Dat ligt bij de drinkwaterbedrijven zoals vitens.

Waterschappen hebben wel als taak te zorgen dat er voor die drinkwaterbedrijven voldoende kwalitatief goed grondwater of water in revieren is om op te pompen en te gebruiken voor het bereiden van drinkwater

Vermoedelijk heeft de IT afdeling dit heeft geïnstalleerd om gebruikers te ondersteunen op afstand.

Ja de toepassingen voor TeamViewer zijn evident, maar dit soort systemen zouden misschien toch beter airgapped zijn. Ik denk dat het beheer van nutsvoorzieningen wel valt onder de essentiële beroepen die gewoon op locatie uitgevoerd moeten worden...

iets met thuiswerken

Volgens mij zit het probleem daar tussen stoel en keyboard als de 'hacker' toegang kreeg tot een TeamViewer host.

Vermoedelijk heeft de IT afdeling dit heeft geïnstalleerd om gebruikers te ondersteunen op afstand.
Ik zit ook in een bedrijf waar de IT afdeling nog steeds vraagt naar iemands password. Zijn er dan geen andere oplossingen?

Er zijn genoeg remote control oplossingen die beter zijn en geen verbinding maken met buiten maar al het verkeer intern houden.

Volgens mij zit het probleem daar tussen stoel en keyboard als de 'hacker' toegang kreeg tot een TeamViewer host.

Je kan nog steeds een vaste gebruikersnaam en wachtwoord instellen in teamviewer

Genoeg bedrijven tegengekomen waar ze een interne lijst hebben met teamviewerID's (om geen licentie te moeten kopen) met paswoord.
Daarnaast kan het ook nog dat er toegang is tot het teamviewer account, wat gewoon met username/password en email verificatie (waar dikwijls ook dezelfde credentials gebruikt worden)
2FA is bijna nutteloos als je 2de factor met dezelfde gegevens te benaderen is als je eerste, maar ik zie het heel dikwijls voorkomen.

Het probleem hier zit vooral op beleidsniveau (als in: er is geen fatsoenlijk IT security beleid). Systemen zoals deze horen gewoon in een air-gapped netwerk te zitten met zorgvuldig beheerde toegangsmethodes. Teamviewer en soortgelijk past niet in een dergelijk plaatje.

Ik vrees dat we de komende tijd steeds vaker van dit soort incidentjes gaan horen, tot het een keer serieus misgaat en er doden vallen.

Wie heeft deze "hacker" toegang gegeven? Want het is niet zo dat iedereen toegang tot een pc kan krijgen omdát er TeamViewer op die pc is geïnstalleerd. Details ontbreken uiteraard, maar het klinkt mij als een pilot error in de oren.

Als je teamviewer niet goed installeert kan iedereen daar gewoon verbinding mee maken...
niet heel moeilijk. Ff receptie bellen, naam noemen van linkedin van iemand die proces operator is en die vragen teamviewer te starten en het getalletje te laten roepen...

hops... binnen...

Oude versies van teamviewer hadden ook bugs en security issues waarmee je makkelijk binnen kon komen. Gelekt standaard account dat een supportmedewerker overal gebruikt en hoppa, binnen op het online platform dat rechtstreeks verbinding maakt...

En dus zit het probleem achter het toetsenbord. En dat op meerdere plaatsen binnen de organisatie.

Het heeft imho ook niet zoveel met hacken te maken, je vraagt gewoon of iemand een deur voor jou open wil doen. En dan een deur waarvan de organisatie heeft gesteld dat iedere gebruiker deze zelf open kan doen.

Er is een reden voor airgapped design, zeker voor SCADA achtige systemen in een waterzuiveringsinstallatie. Zeker dit soort kernsystemen zal minimaal een 'opstapserver' moeten kennen, dus je kunt naar verwachting de aanvaller dicht bij huis zoeken.

Luister bijvoorbeeld dit huiveringwekkende verhaal bij de podcast van DarknetDiaries: https://darknetdiaries.com/episode/68/

Als je in dit soort publiek georienteerde bedrijven werkt - meld aub tenminste 2 Factor Authentication en uiterlijk jaarlijks wijzigende wachtwoorden bij je IT afdelingshoofd. Zo ontzeg je in ieder geval toegang via langdurige infiltraties en voormalige contractmedewerkers, los van adequaat user management.

Probleem is dat airgapped hier noodzaak zou moeten zijn, maar de werkzaamheden natuurlijk ook lastiger maken. Uiteindelijk komt de vraag om dit centraal te kunnen doen, dus op een speciaal netwerk een remote control naar de verschillende systemen. Kan nog steeds 'airgapped'.

Dan komt daarna de vraag van KA om die systemen ook uit te kunnen lezen, omdat het handmatig steeds een bestand op usb zetten en inlezen bij de KA systemen te veel werk is. En dan komt er dus een verbinding tussen KA en PA (process automatisering). En ja, als die verbinding er ligt komt er vervolgens ook een remote beheer vanuit KA naar PA, want ja.. die link ligt er toch al. En maken ze de fout om daarvoor een internetbased remote control te kiezen ipv eentje die volledig op het interne netwerk draait. Want die internetbased remote control kent de supportmedewerker van thuis.

En zo gaat het langzaam steeds verder de verkeerde kant op.

[Reactie gewijzigd door SunnieNL op 9 februari 2021 10:19]

Eens, en ik vraag me nog met regelmaat af waarom je niet bijvoorbeeld een schermpje in de airgapped locatie maakt met meters met een remote inkijk. En die inkijk kan zo low-tech zijn als een webcamera die gericht is op enkele metertjes... Of een regelmatige write-only dump via een output-only dedicated poort... Maargoed, oplosrichtingen genoeg, helaas gaat de beslissingsnemer dit bericht niet lezen