Přestože se domácí střešní fotovoltaika zdá být díky své decentralizaci do malých, víceméně izolovaných zdrojů v tomhle ohledu bezpečná, s jejím rostoucím zapojením do rozvodných soustav a digitalizací formou cloudových služeb se objevuje stále více zranitelných míst. Přitom útočníci nespí a pomalu začínají mít navrch nad obránci. Co se aktuálně děje a co by se mohlo stát v případě nejčernějšího scénáře?

Slunce je zdarma a konec jeho fúzní činnosti v nedohlednu, a je jistě skvělé, že jeho energii umíme stále více a lépe využívat. Díky bateriovým systémům ukládáme přebytky ze světelných period na období temna, díky posilování přenosových soustav a agregaci výkonu od malovýrobců ji můžeme v případě potřeby i posílat zpět do sítě a aktivně se tak podílet na stabilizaci celé soustavy.

Ale každý líc má svůj rub, dokonce dva. Když vynecháme požární strašáky, které už dávno nejsou tak ožehavé téma, je to za prvé dlouhodobá zranitelnost v podobě závislosti na zemích, bez jejichž surovinové produkce od křemíku přes kovy až po prvky vzácných zemin by se produkční řetězec solárních panelů i baterek zastavil.

Za druhé je to akutní zranitelnost v případě kybernetických útoků, které (ne)překvapivě přicházejí z úplně stejných zemí: z Ruska a (především) z Číny. A čím více jsou solární instalace napojeny do cloudových platforem, tím vyšší je pravděpodobnost, že se stanou nejslabším článkem bezpečnostního řetězu.

Riziko roste

Na nedávné pražské konferenci o solární energii upozornila na rostoucí rizika Erika Langerová, vedoucí výzkumného týmu Kyberbezpečnost pro energetiku a energeticky bezpečných budov (UCEEB), který se mimo jiné zabývá i decentralizovanými zdroji energie.

Podle dat z posledních let je hrozba kyberútoků na solární elektrárny reálná a závažná, a to nejen kvůli potenciálním přímým důsledkům, ale také těm nepřímým – stačí jediný incident s velkým dopadem, a celý sektor může okamžitě ztratit důvěru, těžce zkoušenou a nabývanou poslední desetiletí.

Důvěru jak zákaznickou, tak politickou. Stačí si vzpomenout, co se stalo s jadernou energetikou po nehodě ve Fukušimě. Nebyla banální, ale na druhou stranu ani fatální – jenže „motor“ evropské ekonomiky po ní proklamativně jádro zcela zavrhl a další země ho chtěly následovat.

Důsledky v podobě zesílené závislosti na (ruském) plynu a související volatility energetických trhů jsme pocítili až později, ale s o to větší intenzitou.

Něco podobného by zcela reálně mohlo nastat v případě, že by fotovoltaiku – poté, co přestála různé solární tunely – celou šmahem zdiskreditoval nějaký velkoplošnější blackout.

Komunitní energetika v Česku na rozcestí. Podaří se nastartovat sdílení elektřiny?

Mohlo by se to vůbec fyzicky stát? Spekulovalo se, že jarní „pyrenejský blackout“ mohl mít na svědomí právě kybernetický útok. Sice se teprve před pár dny ukázalo, že „oficiálně“ za to mohla liknavost, tedy pomalá reakce místního provozovatele přenosové sítě, který nezvládl korigovat náhlou nadprodukci ze solárních elektráren. Celá zpráva a shrnutí příčin i následků .

Podezřelé ovšem je, jak rychle byla tehdy oficiálními místy vyloučena možnost kybernetického útoku – za tak krátkou dobu nemohl nikdo spolehlivě analyzovat všechna potřebná data. A jak ukáží následující řádky, kybernetický útok se může klidně zpočátku tvářit jako „normální“ nezvládnuté přetížení nebo porucha zařízení.

Rusko útočí pěstmi, Čína testuje slabiny

Podle statistik z posledních let stojí za útoky na energetický sektor nejčastěji Rusko a Čína. Zatímco Rusko se zaměřuje primárně na ničení, Číně jde spíše o špionážní aktivity – což je ale potenciálně ještě nebezpečnější, protože jejich záměrem může být vytipování nejslabších míst a cest pro budoucí destruktivní útoky, proti nimž nebude existovat rychlá a účinná obrana.

Konkrétně v oblasti solární energetiky byly v poslední době zaznamenány minimálně tři závažné útoky. První v roce 2019 na komerční elektrárnu S-Power s výkonem asi 0,5 GW – zde útočníci využili zranitelnost firewallu na perimetru.

Další útoky směřovaly na rezidenční sektor – v Japonsku byla napadena monitorovací platforma výrobce, přičemž – jak bylo později potvrzeno – stála za tímto útokem čínská skupina. A v Litvě byl zaznamenán útok vedený ruskou skupinou v souvislosti s válkou na Ukrajině – opět přes systém výrobce, s cílem sabotáže.

Aktuálně panují velké obavy ze sbližování Ruska a Číny nejen na vojenské, ale i na kybernetické úrovni – ostatně obě země již loni podepsaly první strategické dohody o spolupráci v kyberprostoru. Zranitelnosti solárních elektráren se tak stávají velmi atraktivním cílem útoků v hybridní válce.

Cloud je dobrý sluha, ale lehce zneužitelný

Už od vzniku počítačů a internetu se odehrává boj mezi černými a bílými hackery – jedni se snaží počítače a sítě napadat, druzí bránit. Je to nekonečná bitva, kdy chvíli převažují jedni, chvíli druzí. Dnes se ale zdá, že jsme ve fázi, kdy kyberobrana zaostává před kyberútoky – rostou čísla zranitelnosti, tedy množství „slabých míst“, která útočníci prolamují.

Nejčernějším scénářem je hromadný útok přes zranitelnosti v cloudových platformách pro monitoring, které často slouží k řízení rezidenčních systémů. Pokud útočník „hackne“ cloudové rozhraní, vzdáleně ovládá desítky až stovky tisíc instalací – nemusí je rovnou vypnout, ale stačí manipulovat s napětím a frekvencí.

A jelikož kumulovaný výkon těchto systémů může dosáhnout až stovek megawattů, lze „šikovnou korekcí“ provozních charakteristik destabilizovat celou síť.

Nejnovější simulace, například ty prováděné letos na jaře v rámci krizových scénářů NATO, ukazují, že takový scénář útoku má reálný potenciál způsobit v Evropě blackout. Minimálně podobný, jaký zažil Pyrenejský poloostrov letos na jaře.

Díky za upozornění, máme dovolenou…

Problémem je v tomto ohledu i přístup některých dodavatelů a výrobců – upozorňuje Erika Langerová na situace, s nimiž se setkali při testech, kdy aktivně hledali zranitelná místa. Jenže na dobře míněná upozornění typu „podívejte se, milá společnosti XY, dostali jsme se do vašeho cloudu a můžeme teď ovládat stovky vašich klientů“ některé z nich odpovídaly stylem „omlouváme se, ale teď máme prázdniny, budeme to řešit až po nich.“

A pár z nich dokonce nereagovalo vůbec – zůstaly zcela pasivní. Nebo naopak aktivně zablokovaly e-maily, ve kterých se na jejich chybu upozorňovalo.

Nejnověji se proto diskutuje, zda mají cloudové platformy zůstat výhradně v rukou dodavatelů/výrobců, nebo zda mezi ně a samotnou instalaci nevložit nezávislou „třetí vrstvu“, která by dohlížela na přenosy dat a odhalovala v reálném čase potenciálně škodlivé prompty, jako je hromadné vypnutí či podezřelá manipulace s provozními charakteristikami.

Rukojmí aktualizací

Dalším vážným problémem se ukazuje být vzdálená aktualizace firmwaru – jeden známý případ za všechny, který sice nebyl primárně cíleným kyberútokem, přesto ale mohl způsobit rozsáhlý výpadek: Výrobce přehrál firmware na bateriích, což vedlo k jejich plošnému selhání, protože v aktualizaci byla drobná, ale pro provoz zásadní chyba.

Pokud by se něco takového stalo ve větším měřítku – záměrně či nezáměrně –, mohlo by to znamenat vážný a velkoplošný provozní problém.

Blacklist nejrizikovějších výrobců/dodavatelů bohužel (zatím) neexistuje, nejde totiž jen o samotný výrobek a jeho původ, ale také o způsob, jakým je zařízení integrováno do sítě, jak je nastavena vzdálená správa a příslušná přístupová práva. Úspěšný kybernetický útok je zpravidla důsledkem kombinace více faktorů + chyb či nečinnosti výrobce agregátora nebo uživatele.

Významná je také legislativa, která výrobce, dodavatele a provozovatele reguluje. V souvislosti s vyostřující se geopolitickou situací je tak nutný její rychlý vývoj, resp. úpravy směřující k větší bezpečnosti. Některé změny jsou už v běhu – ale soustřeďují se ponejvíce na „velké fotovoltaiky“, rezidenční instalace zůstávají zatím mimo dohled.

Do dvou let by měl vstoupit v platnost Akt o kybernetické odolnosti, který se bude týkat i střídačů, kritického prvku fotovoltaických instalací – ty by měly být řádně certifikovány.

Problémem je, že certifikace může probíhat formou tzv. samodeklarace výrobce, což vyvolává kritiku – odborníci volají po povinné certifikaci nezávislou autoritou, tedy společnostmi s mezinárodní působností, stojícími mimo samotný solární byznys. Sice se napříč všemi obory objevují případy, kdy certifikát někdo zfalšuje, ale v tomto případě je velmi jednoduché jej nechat spolehlivě ověřit přímo u vystavovatele.

Stávající pravidla bezpečnosti a kyberbezpečnosti zvlášť nejsou nikdy napořád. Se změnami technologií a širší propojeností se logicky objevují nové zranitelnosti. Zásadní je, jakým způsobem na ně reagují jak výrobci, tak uživatelé. A také regulátoři. Dnes pozorujeme tlak na rychlé uvedení výrobku na trh, kdy jsou bezpečnostní testy a revize často upozaděny.

Proto regulátoři jak na evropské, tak národní úrovni tlačí na výrobce, aby vývoj probíhal podle pravidel – aby existovala softwarová i hardwarová pravidla, harmonizovaná napříč všemi dodavateli. Cílem je vytvořit základní úroveň zabezpečení, kterou budou všichni dodržovat. Nyní si každý výrobce řeší zabezpečení po svém. Právě i to vede k mnoha výše zmíněným zranitelnostem.

Podle dosud zaznamenaných incidentů je jasné, že tyhle skuliny jsou v hledáčku útočníků hybridní války, která probíhá již mnoho let. A spolu s tou konvenční nabývá na intenzitě.

Převzato z webu Info.cz, autor: Radek Kovanda