荷兰白帽黑客轻松攻破电网控制系统 捧走其第四座 Pwn2Own 奖杯

在本周于佛罗里达州迈阿密举办的 Pwn2Own 2022 大会上，两名来自荷兰的白帽黑客获得了第四次胜利。作为这场年度黑客大会的大赢家，Dean Keuper 和 Thijs Alkemade 获得了 90000 美元奖励、且捧走了冠军奖杯。此前这对搭档曾于 2012、2018 和 2021 年创下过佳绩。

http://hackernews.cc/wp-content/uploads/2022/04/9173e4414651872-600x335.jpg

本次挑战期间，俩人将目标瞄向了名为“OPC UA”的工业控制软件。其采用的开源通信协议，被广泛应用于连接全球电网和其它关键基础设施等工业系统。

尽管攻破 OPC UA 已经让外人感到相当不安，Keuper 和 Alkemade 仍声称这是他们能够搞定的“最简单”的系统。

Keuper 在接受 MIT 科技评论采访时称：“在工业控制系统中，仍有许多隐患可被轻松利用，该领域的安防已经严重落后于现实世界”。

Alkemade 补充道，在工控环境中的操作相当容易得逞。事实上，俩人还攻击了其它几套基础设施系统，但仅耗时两天就攻破了 OPC UA 。

http://hackernews.cc/wp-content/uploads/2022/04/73a5b86107fedb5-600x316.jpg

Daan Keuper 和 Thijs Alkemade 收到了 Master of Pwn 奖杯与夹克

Keuper 指出：“OPC UA 被用于连接世界各地的基础设施，作为典型的工业网络核心组件，我们可绕过通常需要读取或修改任何内容的身份验证”。

正因如此，他们才花了几天时间就找到了突破口，并最终成功入侵了被世人认为相当重要的工控系统。

联想到俄乌冲突期间发生的针对能源、水利、以及核基础设施系统的网络攻击，相关行业显然需要打起十二分精神去巩固安全措施。

最后，虽然报道未提及开发者是否已经修补了 OPC UA 漏洞，但考虑到 Pwn2Own 赛事主办方 Zero Day Initiative 的“私下披露奖励政策”，目前暂可推定它是安全的。

转自 cnBeta ，原文链接：https://www.cnbeta.com/articles/tech/1261601.htm

封面来源于网络，如有侵权请联系删除