趨勢科技資安威脅研究報告協助揭露多種駭客入侵情境
根據估計，全球工廠至 2018 年將有大約 130 萬套工業機器人分布各種產業，預估全球市場價值可達320億美元(約9.6兆新台幣)[1]，這些系統是今日製造業的重要推手，也象徵著「工業 4.0」這波新的自動化智慧工廠革命浪潮的興起，徹底改變人類的歷史；然而隨著這些智慧連線工業機器人數量的大規模成長，它們遭到網路駭客攻擊的機率也隨之擴大。
趨勢科技與米蘭理工大學（Politecnico di Milano）合作，於日前發布資安威脅研究報告「駭客如何入侵今日智慧工廠工業機器人」，首次深度披露駭客入侵工業機器人的手法，並提出安全邁向未來「第四次工業革命」的建議。報告指出目前仍有許多工業機器人還在使用充滿諸多漏洞的老舊作業系統和程式庫，如Linux 2.6 這類軟體；而另一方面，趨勢科技研究團隊也發現全球有超過8萬台工業機器人缺乏完善的網路防護，其中有5千台沒有安全驗證機制，等於是直接向駭客敞開自家大門，外部軟體或裝置可經由網站服務(Web Services) 發出HTTP 請求與工業機器人溝通，而某些工業機器人甚至能夠經由網際網路直接連線，並可以透過匿名方式登入以自由操控；隨著機器人系統在設計上逐漸偏向與人類密切互動，網路上也開始出現專門的機器人應用程式商店，可透過智慧型手機來控制機器人。
就連工業機器人也會遭駭：這問題該如何解決？
談到網路駭客可能入侵機器人，這或許會讓很多人聯想好萊塢的最新熱門電影。但這已經是事實，工業機器人是今日製造業非常重要的推手，從晶片、汽車，甚至到玻璃製品的生產皆然。
趨勢科技最新研究報告：「駭客如何入侵今日智慧工廠工業機器人」(Rogue Robots: Testing the Limits of an Industrial Robot’s Security)首次披露了駭客入侵工業機器人的手法，同時提出了一套安全邁向未來「第四次工業革命」的建議。
工業 4.0 成為箭靶
機器人無所不在。根據估計，至 2018 年，全球工廠將有大約 130 萬套工業機器人，分布各種產業，負責執行各式各樣的工作：從焊接、包裝，到食物處理及壓鑄成形。這些系統未來都可能支援「工業 4.0」這波新的自動化智慧工廠革命浪潮，而這波浪潮很可能像 18 世紀末期蒸汽引擎的發明一樣，徹底改變人類的歷史。
但問題是，趨勢科技在報告中指出，隨著這些系統越來越聰明並且彼此連線，它們遭到網路駭客攻擊的打擊面也隨之擴大。經由網站服務標準 (Web Services)，外部軟體或裝置就能透過 HTTP 請求與機器人控制系統溝通，此外，一些新的程式開發介面 (API) 也讓我們透過智慧型手機應用程式來控制機器人。網路上甚至開始出現專門的機器人應用程式商店。
然而，目前卻仍有許多機器人系統還在使用老舊的軟體，例如像 Linux 2.6 這類含有諸多漏洞的作業系統和程式庫。某些軟體甚至還在使用一些已經淘汰或遭到破解的加密程式庫，並且在驗證時使用預設的帳號密碼。
某些工業機器人甚至能夠直接經由公共的網際網路連線，藉此提供遠端監控、維護功能。根據趨勢科技研究顯示，沒國是全球這類可對外連線的機器人最多的國家。某些機器人甚至可以透過匿名方式登入並自由操控。
還不只這樣，機器人系統在設計上越來越偏向與人類密切互動。如此設計的原因不難理解，但萬一機器人遭到外力介入，就很可能對操作者造成人身傷害。
個案研究
該報告還提供了個案研究來說明駭客如何成功駭入一個典型的工業機器人 (ABB IRB140)。我們甚至提供了一段機器人如何遭到攻擊的真實影片。
以下是我們發現的一些問題：
- 廠商在公開網站上提供了詳細的技術文件、廠商在每一台機器人上都使用了相同的帳號密碼、廠商使用自己核發的電子簽章。
- 軟體元件含有未修補漏洞或從未更新。
- 使用預設的帳號密碼以及貧弱的驗證機制。
- 使用貧弱的傳輸加密機制。
- 使用不安全的網站式介面。
- 廠商機器人的韌體可以輕易取得，未做好軟體保護。
這意味著什麼？
由於機器人在製造業扮演了越來越重要的角色，因此機器人已成為網路犯罪集團與國家級駭客團體的攻擊目標，一則為了賺錢，一則為了癱瘓營運。該份報告詳細說明了各種可能的攻擊情境：從人身傷害、癱瘓生產線，到網路勒索或竊取工廠機密資料。
那麼，我們該怎麼做？正如報告中所言，這需要多方面共同配合，所有相關單位，包括：網路資安標準制定人員、軟體開發人員、廠商、網路資安人員，全都必須做好自己的工作，而不單只是提升內嵌軟體的品質就行。所以，這是一條漫長的道路，但我們希望像這樣的研究報告可以加快我們的腳步，讓我們邁向一個更安全的「工業 4.0」時代。
[1] Survey: 1.3 million industrial robots to enter service by 2018