工厂自动化设备也难逃心脏淌血漏洞威胁

不只资讯软件或网站受到史上最危险Heartbleed程式漏洞的威胁，现在连工厂产线的自动化设备都难逃魔掌。西门子最近发布了产品更新公告，说明受到Heartbleed漏洞影响的产品，包括了自动化系统监控和资料撷取功能有关的软件SCADA（Supervisory Control And Data Acquisition）工具更新，例如，eLAN系统、Windows控制中心办公软件（WinCC OA）等。西门子建议，使用者更新产品至最版本，以避免受Heartbleed影响。

台湾科技大学自动化及控制研究所教授蔡明忠表示，这种SCADA软件大多应用在自动控制设备、PLC控制器等，像是捷运、电厂、化工厂等设备皆有使用，但大部分是独立无对外开放，仅供企业内部网络使用，较不受Heartbleed漏洞影响，若是有开放对外的使用情况就有机会受到攻击。

西门子公告中表示，此次遭受Heartbleed漏洞影响的软件有eLAN 8.3.3之前的版本和WinCC OA 3.12之前的版本。当企业使用程式化逻辑控制器（Programmable Logic Controllers，PLC）S7-1500 1.5版的HTTPS、或使用工业级以太网路（Industrial Ethernet）CP 1543-1 1.1版的档案传输协定安全（File Transfer Protocol Secure，FTPS），以及使用APE 2.0产品的SSL（Secure Sockets Layer）或TLS（Transport Layer Security）元件等状况皆会受到影响。

西门子建议，使用者停用或限制存取S7-1500的网络服务器，以及CP1543-1的FTPS，而APE 2.0的使用者可以更新产品的OpenSSL安装至1.0.1g版本。

而美国工业控制系统赛博应急回应小组（ICS-CERT）建议，企业评估Heartbleed漏洞影响要从企业营运环境、架构和产品建置着手。

在内部系统服务的使用上，只要有外部维修人员进入企业协助更新或生及系统时，企业就得注意外部维修人员用来更新升级的工具是USB随身碟还是光碟，因为USB相较于光碟更容易植入恶意程式来攻击自动化控制系统，而光碟通常由官方厂商提供，较不易被植入恶意程式，所以透过光碟来更新或升级系统较为安全。