Nye skip seiler med Windows XP

– Jeg har vært borti skip som er bygd i 2024 med Windows XP om bord. Det er ikke unormalt at det kan være både Windows XP og Windows 7 i helt nye fartøy, sier John-André Bjørkhaug til Digi.

Han er penetrasjonstester i Netsecurity og har nærmere 20 års erfaring med å bryte seg inn i datasystemer for å avdekke svakheter. Nå er funnene hans mer aktuelle enn noen gang.

Foredraget hans «Pirates of the North Sea» er trukket frem i utgivelsen Hacker’s Almanack etter bidraget på fjorårets Def Con 33 i Las Vegas. Dette er ingen ordinær rapport, men en anerkjennelse av de beste innleggene fra verdens største hackerkonferanse.

Kunne ha senket LNG-frakteskip

Gjennom sine oppdrag har Bjørkhaug og kolleger sannsynliggjort at manglende skille mellom skipets ulike datanettverk kan få katastrofale følger.

Ved ett tilfelle fikk de full kontroll over stabiliteten på et skip via kontornettet.

– Vi fikk tilgang inn i systemet som styrte ballasttankene. Det er de tankene som styrer hvordan skipet ligger i vannet. I ytterste konsekvens tror jeg du kunne fått skipet til å tilte, forklarer han.

Bjørkhaug presiserer at selve hackingen av ballasttankene på dette skipet ikke skyldtes operativsystemet Windows XP direkte, men snarere mangelfull nettverkssegmentering og dårlige rutiner.

Det tok kort tid å skaffe seg full kontroll fordi passordet til en administrator-konto lå lagret i en åpen tekstfil på en av skipets datamaskiner.

Lederen for det maritime responsmiljøet Norma Cyber, Lars Benjamin Vold, bekrefter at Windows XP-bruk er en problematikk de kjenner til.

– Det dukker opp fra tid til annen. Helt generelt vil programvare om bord på helt nye skip i de fleste tilfeller være utdatert til en viss grad, forteller Lars Benjamin Vold til Digi.

«Evig blå» trussel

Microsoft lanserte Windows XP i 2001 og all støtte opphørte i 2014. Likevel finner det sårbare operativsystemet veien til datamaskiner i flunkende nye skip.

Bruken av XP er spesielt risikabel fordi systemet er vidåpent for kjente angrepsvåpen som «EternalBlue». Denne trusselen utnytter kritiske sårbarheter i eldre Windows, som det ikke finnes oppdateringer til.

Ved å sende spesielt utformede nettverkspakker kan en angriper få Windows-systemet til å kjøre skadelig kode uten at brukeren trenger å logge inn eller åpne et program.

EternalBlue ble utviklet som et angrepsverktøy av det amerikanske spionorganet NSA (National Security Agency) før det ble stjålet og lekket i 2017 og senere brukt i storstilte cyberangrep som WannaCry.

• Husker du? Verdens største hangarskip, det atomdrevne USS Gerald R. Ford, som besøkte Oslofjorden så sent som i fjor høst, ble i sin tid også levert med Windows XP.

Kaos på åpent hav

Den digitale sårbarheten stopper ikke ved skipssiden. Moderne samband som satellittbaserte Starlink gjør det nå enklere for hackere å angripe maritime fartøy fra avstand.

Bjørkhaug verken kan eller ønsker å navngi hvilke konkrete båter eller rederier som har hatt glede av hans tjenester. Han har jobbet for mange av dem.

Samtidig legger han ikke skjul på at de mest alvorlige tilfellene vi omtaler i denne saken er knyttet til norske fartøy.

Under et av oppdragene demonstrerte eksperten hvordan man kan blokkere GPS-signaler slik at broens skjermer går i svart. Han kunne også forfalske

AIS

-signaler, systemet skip bruker for å identifisere hverandre.

– Ved å sende ut falske AIS-meldinger fikk vi det til å se ut som det sto et skip rett foran oss på broen, selv om vi lå i tørrdokk. Slike falske signaler kan skape kaos på åpent hav, sier Bjørkhaug i foredraget fra Las Vegas.

Den sårbare «sorte boksen»

En annen stor utfordring er at systemer som ferdsskriveren (VDR) ofte er koblet direkte på gjeste-wifi uten noen form for beskyttelse.

– Vi har for eksempel sett at systemet VDR som tilsvarer en svart boks på fly var tilkoblet gjeste-wifi forteller Bjørkhaug. Han mener dette utgjør en betydelig risiko fordi hvem som helst om bord da kan få tilgang til å endre eller slette kritiske data.

Dette er også en kjent problemstilling for Norma Cyber som fungerer som næringens eget cyberskjold.

– Gang på gang har VDR vært pekt på som et veldig sårbart punkt. Hovedutfordringen er det lovpålagte kravet om å samle data fra både IT og OT inn i én boks, forklarer daglig leder Vold.

Han utdyper at når alt fra lyd på broen til radarsignaler skal lagres på samme sted oppstår det en potensiell sårbarhet som hackere kan utnytte.

Svake passord er normalen

Sikkerhetseksperten peker på at mange i bransjen fortsatt lever i troen på at skipene er isolerte øyer som ikke er koblet til internett. I virkeligheten er alt koblet sammen og menneskelige rutiner er ofte det svakeste leddet.

Bjørkhaug forklarer at det er sjelden med personlige brukerkontoer for de ansatte om bord. I stedet bruker mannskapet ofte felles maskiner og roller.

– Det er veldig mye deling av passord og veldig enkle passord. En kaptein kan ha «master» som brukernavn og for eksempel «master1» som passord, eksemplifiserer han.

Lars Benjamin Vold i Norma Cyber bekrefter at de ser at penetrasjonstestere gjør stygge funn om bord på fartøy og peker på økonomiske realiteter som en del av forklaringen.

– Det er en realitet at rederiene må konkurrere i et marked med høyt fokus på å minimere kostnader. Det har noe å si for investeringsviljen, men her er det veldig store forskjeller mellom ulike segmenter i maritim næring, mener Vold.

Han nyanserer imidlertid risikobildet ved å peke på analoge nødbremser.

– I de fleste kritiske systemer er det krav om lokal overstyring og manuell kontroll. Det er et "safety"-krav. Hvis man mister kontrollen fra broen, skal mannskapet kunne overta kommando og operere de kritiske funksjonene fra ulike lokale paneler og kontrollstasjoner.

Bjørkhaug mener likevel bransjen har et stort forbedringspotensial. Han etterlyser strengere retningslinjer for segmentering av nettverk og håper at internasjonale krav fra organisasjoner som IMO vil tvinge frem endringer før alvorlige hendelser inntreffer.