Hoe kwetsbaar zijn kerncentrales voor cyberaanvallen?

De staat van de Belgische kerncentrales is niet weg te slaan uit het nieuws. Langs de ene kant komen het onderhoud en eventuele defecten onder een vergrootglas terecht, terwijl langs de andere kant de beveiliging tegen terrorisme wordt opgetrokken. Zo staat het leger intussen in voor de bewaking van de centrales in Doel en Tihange.

Ontoereikende beveiliging

Experts waarschuwen echter voor een aanval van minder tastbare aard. Volgens Peter Geijtenbeek van beveiligingsbedrijf Fox IT zijn de centrales kwetsbaar voor aanvallen van hackers. Hij baseert zich daarvoor op een rapport van Chatham House, een onafhankelijke denktank gebaseerd in Londen. De studie, die al van eind vorig jaar dateert maar grotendeels onder de radar bleef, wijst uit dat bestaande beveiliging ontoereikend is.

De studie en Geijtenbeek focussen zich niet op de Belgische kerncentrales en noemen geen installaties bij naam, maar beiden kaarten aan dat de zogenaamde air gap dezer dagen in veel gevallen meer mythe dan werkelijkheid is. De air gap is de fysieke ontkoppeling van de kerncentrale van het internet. Zo kan een hacker in theorie niet inbreken: de computers hangen immers niet aan het net.

VPN-verbindingen

In de praktijk blijkt die noodzakelijke gap te lijden onder hedendaagse ontwikkelingen. Internetverbinding is handig en alomtegenwoordig dat je er moeilijk omheen kan. Zo maakt Chatham House gewag van VPN-connecties en die houden natuurlijk een belangrijk veiligheidsrisico in.

Zelfs met een air gap blijven de installaties echter kwetsbaar. Vaak is er niet meer nodig dan een besmette usb-stick om de nodige schade aan te richten. Hoe realistisch dat scenario is, weten we sinds Stuxnet. Dat wormvirus, vermoedelijk ontwikkeld door de VS en Israël, legde in 2009 een nucleaire site in Iran plat. Die site was helemaal afgeschermd van externe netwerken, maar een aanval met een usb-stick maakte die beveiliging waardeloos.

Belangrijke scheiding

Volgens Geijtenbeek kan een scheiding van de IT -en de Operations Technology (OT)-omgeving soelaas bieden. Hij merkt echter op dat een dergelijke scheiding in Europa slechts geadviseerd is, terwijl ze in de VS en het Midden Oosten wordt opgelegd.

De centrale software voor het draaien van een kerncentrale, of een andere complexe installatie wat dat betreft,  is in de regel een Supervisory Control and Data Acquisition (SCADA)-systeem. Dergelijke systemen dateren meestal van de bouw van de kerncentrale, en zijn dus niet ontworpen met cyberbeveiliging in het achterhoofd. Via het SCADA-systeem van de nucleaire site in Iran kon de Stuxnet-worm fysieke schade veroorzaken, en FoxIT en Chatham-house denken dat een dergelijk scenario ook in kerncentrales mogelijk is.

Geen peulenschil

“Een cyberaanval is dus een realistisch scenario waarop centrales vandaag te weinig voorbereid zijn”, aldus Geijtenbeek en de denktank. Toch is enige nuancering op zijn plaats. Het controlesysteem van een nucleaire reactor hangt in geen geval rechtstreeks aan het internet, dus er is ondanks eventuele beveiligingsproblemen nog steeds een flinke voorraad know-how, geld en vastberadenheid nodig. Voor een aanval op een kerncentrale zou een hacker dus eerst een kwetsbare installatie moeten vinden, om vervolgens op een geavanceerde manier heel precies ontworpen malware op het systeem te krijgen. Geijtenbeek geeft meteen toe dat een dergelijke actie in de praktijk waarschijnlijk alleen mogelijk is met de hulp van de regering van een land dat ons slecht gezind is.

Wat met Doel en Tihange?

Dat noch de studie noch FoxIT kerncentrales bij naam noemen vinden we maar normaal. Als de beveiliging ergens schort kunnen we dat maar beter niet adverteren naar de buitenwereld toe totdat het probleem verholpen is. We legden ons oor toch eens te luisteren bij Els De Clercq, Communicatiemanager van Engie voor de kerncentrale van doel, om te horen in welke mate de Belgische centrales bestand zijn tegen de lekken geïdentificeerd door Chatham House.

De centrales krijgen de laatste jaren nogal wat negatieve pers over zich heen, maar op het gebied van cybersecurity lijkt het in België alvast goed te zitten. De nucleaire regulator FANC legde Doel en Tihange op de rooster na de kernramp in Fukushima en onderzocht toen ook de staat van de cyberbeveiliging. Voor het FANC voldoen de kerncentrales aan alle vereisten.

Verregaande maatregelen

Concreet houdt dat in dat binnen de nucleaire installaties alleen eigen computers toegang krijgen tot het intern beveiligde netwerk. De pc’s zouden over één van ’s werelds meest performante antivirus en antimalwarefilers beschikken, al wil Engie om begrijpelijke redenen niet in details gaan. Het energiebedrijf heeft verder medewerkers in dienst wiens job het is om uit te kijken naar nieuwe virussen en bedreigingen. Zij updaten de virusscanners op alle pc’s. Verder mag sowieso niemand de site binnen zonder door een RX-scanner te wandelen.

De Clerq benadrukt dat de beveiliging, ook digitaal, constant bijgewerkt en geëvalueerd wordt. Alle maatregelen worden zowel intern als extern bekeken. Ook tegen een aanval via de usb-vector zijn ze in Doel en Tihange gewapend: niemand kan een usb-stick aansluiten vooraleer die gescand wordt.

Analoog systeem

Tot slot zijn de besturingssystemen van de Belgische kerncentrales vrijwel immuun voor een cyberaanval, zelfs als de bovenstaande beveiliging ontoereikend blijkt. De leeftijd van de installaties lijkt hier een pluspunt. De scheiding van de IT- en OT-netwerken wordt in België consequent doorgevoerd zodat de besturingssystemen van de centrale zelf helemaal losstaan van het pc-netwerk. Bovendien worden de systemen voor een groot stuk analoog aangestuurd.

Er is dus ruimte voor verbetering wat de beveiliging van de Europese kerncentrales betreft, maar het lijkt er op dat de Belgische aanpak grondig en proactief is. Toch mogen we de studie van Chatham House niet zomaar naast ons neerleggen. Kerncentrales zijn strikt gereguleerd, maar er zijn andere belangrijke onderdelen van de hedendaagse infrastructuur waar men het heel wat lakser neemt.  Nu zowat alles online en verbonden is, kan bijna alles gehackt worden. De nodige waakzaamheid is in dat geval nooit misplaatst.