นักวิจัยด้านความปลอดภัยที่ Forescout Vedere Labs ได้ระบุช่องโหว่ที่สำคัญ 46 ช่องในอินเวอร์เตอร์พลังงานแสงอาทิตย์ที่ผลิตโดยผู้ผลิตระบบพลังงานแสงอาทิตย์ชั้นนำสามราย ได้แก่ Sungrow, Growatt และ SMA ซึ่งอาจนำไปสู่มาตรการฉุกเฉินหรือการดับไฟที่อาจเกิดขึ้น
การวิเคราะห์และผลการวิจัยของ Forescout
Forescout วิเคราะห์ผู้จำหน่ายระบบพลังงานแสงอาทิตย์ระดับโลกชั้นนำหกราย ได้แก่ Huawei, Sungrow, Ginlong Solis, Growatt, Goodwe และ SMA พวกเขาค้นพบช่องโหว่ใหม่ 46 รายการที่มีผลต่อส่วนประกอบที่แตกต่างกันในผู้ค้าสามราย ได้แก่ Sungrow, Growatt และ SMA
ช่องโหว่ที่ค้นพบใหม่เหล่านี้ที่กล่าวถึงในSun: Down Researchโดย Forescout Vedere Labs ได้รับการแก้ไขโดยผู้ขายที่ได้รับผลกระทบ
ข้อบกพร่องเหล่านี้อาจอนุญาตให้นักแสดงภัยคุกคามดำเนินการตามคำสั่งโดยพลการเกี่ยวกับอุปกรณ์หรือคลาวด์ของผู้ขายเปิดใช้งานการครอบครองบัญชีผลกระทบความมั่นคงของกริดและความเป็นส่วนตัวของผู้ใช้ได้รับการตั้งหลักในโครงสร้างพื้นฐานของผู้ขายและควบคุมอุปกรณ์ของเจ้าของอินเวอร์เตอร์
“ ผลกระทบร่วมกันของระบบพลังงานแสงอาทิตย์ที่อยู่อาศัยที่มีต่อความน่าเชื่อถือของกริดมีความสำคัญเกินกว่าที่จะเพิกเฉย - โรงพยาบาลอาจสูญเสียการเข้าถึงอุปกรณ์ที่สำคัญครอบครัวสามารถไปได้โดยไม่ต้องร้อนในฤดูหนาวหรือ AC ในคลื่นความร้อนและธุรกิจสามารถปิดตัวลงได้” Barry Mainz ซีอีโอของ Forescout กล่าว
“ นักแสดงภัยคุกคามตั้งเป้าหมายโครงสร้างพื้นฐานที่สำคัญมากขึ้นเรื่อย ๆ ทำให้จำเป็นต่อพวกเขาอย่างจริงจังและรักษาความปลอดภัยระบบอินเวอร์เตอร์พลังงานแสงอาทิตย์ก่อนที่ช่องโหว่จะนำไปสู่การหยุดชะงักของโลกแห่งความเป็นจริง”
โดยเฉลี่ยแล้วนักวิจัยพบว่ามีการเปิดเผยช่องโหว่ใหม่มากกว่า 10 ช่องในช่วงสามปีที่ผ่านมา จาก 93 ช่องโหว่ที่เปิดเผยก่อนหน้านี้ 80% ถูกจัดประเภทเป็นความรุนแรงสูงหรือสำคัญโดย 32% ของสิ่งเหล่านี้มีคะแนน CVSS 9.8 หรือ 10 ซึ่งชี้ให้เห็นว่าผู้โจมตีอาจได้รับการควบคุมอย่างสมบูรณ์ในระบบที่ได้รับผลกระทบ
ส่วนประกอบที่ได้รับผลกระทบมากที่สุดคือจอภาพพลังงานแสงอาทิตย์ซึ่งคิดเป็น 38% ของช่องโหว่ที่รายงานตามด้วยคลาวด์แบ็กเอนด์ที่ 25% ในทางตรงกันข้ามอินเวอร์เตอร์แสงอาทิตย์จะได้รับผลกระทบโดยตรงในเพียง 15% ของกรณี
นักวิจัยพบว่า 53% ของผู้ผลิตอินเวอร์เตอร์พลังงานแสงอาทิตย์ 58% ของระบบจัดเก็บและ 20% ของผู้ผลิตระบบตรวจสอบตั้งอยู่ในประเทศจีนทำให้เกิดความกังวลเกี่ยวกับการครอบงำของส่วนประกอบพลังงานแสงอาทิตย์ที่ผลิตจากต่างประเทศ
สถานการณ์การโจมตีทางไซเบอร์ที่มีศักยภาพบนกริดพลังงาน
สถานการณ์การโจมตีที่เป็นไปได้อย่างหนึ่งเกี่ยวข้องกับนักแสดงที่เป็นอันตรายที่ได้รับชื่อผู้ใช้บัญชีโดยใช้ฟังก์ชั่นรีเซ็ตรหัสผ่านไปยังบัญชีจี้จากนั้นใช้บัญชีที่ถูกแย่งชิงเพื่อส่งคำสั่งเพื่อเปลี่ยนการตั้งค่าอินเวอร์เตอร์
หากผู้โจมตีควบคุมอินเวอร์เตอร์เหล่านี้พวกเขาสามารถเปลี่ยนการตั้งค่ากำลังไฟของพวกเขาหรือปิดและปิดในลักษณะที่ประสานงานเป็นบอตเน็ต เมื่ออินเวอร์เตอร์หลายตัวถูกจี้ในครั้งเดียวมันจะให้เอฟเฟกต์ขนาดใหญ่ต่อการผลิตพลังงานในกริด ขอบเขตของความเสียหายขึ้นอยู่กับจำนวนพลังงานสำรองที่กริดมีและสามารถเปิดใช้งานได้เร็วแค่ไหน
ในบริบทของกริดพลังงานของยุโรปการวิจัยก่อนหน้านี้ชี้ให้เห็นว่าการควบคุมการผลิตพลังงานแสงอาทิตย์ 4.GW สามารถลดความถี่กริดเป็น 49Hz ทำให้เกิดความต้องการการไหลของโหลด
เนื่องจากยุโรปมีกำลังการผลิตพลังงานแสงอาทิตย์ติดตั้ง 270GW การควบคุมเพียง 2% ของอินเวอร์เตอร์อาจเพียงพอที่จะขัดขวางกริดสำหรับผู้โจมตีในตลาดที่ถูกครอบงำโดย Huawei, Sungrow และ SMA
“ ระบบพลังงานแสงอาทิตย์กำลังกลายเป็นองค์ประกอบสำคัญของกริดพลังงานทั่วโลก แต่ข้อบกพร่องด้านความปลอดภัยอย่างต่อเนื่องคุกคามทั้งความมั่นคงของกริดและความมั่นคงของชาติ” Daniel Dos Santos หัวหน้าฝ่ายวิจัยของ Forescout Vedere Labs กล่าว
ผลกระทบของอุตสาหกรรม
การระบุช่องโหว่เหล่านี้เน้นย้ำถึงความจำเป็นในการปรับปรุงมาตรการรักษาความปลอดภัยภายในอุตสาหกรรมพลังงานแสงอาทิตย์
Forescout แนะนำให้ผู้ผลิตอุปกรณ์ใช้แนวทางปฏิบัติวงจรชีวิตซอฟต์แวร์ที่ปลอดภัยดำเนินการทดสอบการเจาะอย่างสม่ำเสมอใช้กลยุทธ์ความปลอดภัยเชิงลึกโดยใช้ไฟร์วอลล์เว็บแอปพลิเคชันและใช้การตรวจสอบของบุคคลที่สามของการเชื่อมโยงการสื่อสารตามมาตรฐานเช่น ETSI EN 303 645
คำแนะนำสำหรับผู้บริโภค
เพื่อลดช่องโหว่ที่อาจเกิดขึ้นที่เกี่ยวข้องกับอุปกรณ์อินเวอร์เตอร์พลังงานแสงอาทิตย์แนะนำให้ผู้ใช้ควรอัปเดตเฟิร์มแวร์อินเวอร์เตอร์ของพวกเขาอย่างสม่ำเสมอตรวจสอบประสิทธิภาพของระบบและรักษาการสื่อสารที่เปิดกว้างกับผู้ผลิตซึ่งสามารถช่วยลดความเสี่ยง
