“You could open every cell door, and the system would be telling the control room they are all closed”

so John J. Strauchs, ein ehemaliger CIA-Angestellter und Mitglied des Testteams. In einem Sicherheitstest wurden die Computersysteme eines Gefängnisses getestet, das Ergebnis ist ernüchternd. Die Gefängnistüren konnten geöffnet werden, wobei jedoch in Kontrollanzeigen die Türen als geschlossen gemeldet sind.

Die Computer in den Gefängnissen der USA, wie auch Computer in Industrieanlagen, Kraftwerken und Infrastruktursystemen, werden von speziellen Industriecomputern gesteuert. Auch diese Computer haben Schwachstellen und sind, wenn ungepatcht, verwundbar. Mit spezieller Technik, die weniger als 2.500 US-Dollar kostete, wurden die Schwachstellen ausgenutzt. Das Testteam hatte zuvor keine Erfahrung mit der Programmierung von Industriecomputern. Der Angriff war „ziemlich einfach“ und benötigte geringen Zeitaufwand.

Die Penetrationstests wurden geplant und durchgeführt, nachdem in einem Bereich des Gefängnisses plötzlich alle Türen aufsprangen, die jedoch in der Kontrollstelle als geschlossen galten.

Eigentlich wird gefordert, dass die Steuerungscomputer ohne Außenanbindung an das Internet oder andere Netze sind. In dem getesteten Gefängnis wurden jedoch Computer mit aktivem Internet gefunden. Auf einem Rechner, der für die Steuerung der Sicherheit des Gefängnisses zuständig war, las ein Angestellter sogar seine persönlichen E-Mails. Er setzte damit die Sicherheit einem unakzeptablen Risiko gegenüber potentiellen Angreifern aus.

John Strauchs:

“You create chaos as a way to [implement a plan to] kill someone.”

Artikel von washingtontimes.com, 06.11.2011: Prisons bureau alerted to hacking into lockups