2024工业机器人安全性测试

4工业机器人现状

11工业机器人建筑学

15攻击工业机器人三十五

机器人用户可能面临的威胁情景三十九迈向更加光明的未来四十四结论工业机器人运行的协议和软件中存在漏洞现已广为人知，但迄今为止，尚无深入的实际研究来证明机器人实际上会在多大程度上受到攻击。这项研究是米兰理工大学(POLIMI)与趋势科技前瞻性威胁研究(FTR)团队合作开展的，我们首次能够分析系统特定攻击的影响攻击并在受控环境中演示对实际标准工业机器人的攻击场景。在工业设备中，一个简单的软件漏洞的影响就可能产生严重的后果。4.0FTRIP(ICS（）（4.0ITICS4.04.0ABBRobotics(IEEE52工业机器人现状（2018130万台320亿美元。3图1.工作中的工业机器人（“KUKA5年|贩

N工厂互联网

防火墙

防火墙

机器人非军事区内部网络

机器人网络

控制器图2.工业4.0生态系统的高级描述广泛的攻击面计算机监控物理生产过程的日益一体化导致机器人4.0运行状况.4如今，工业机器人接入计算机网络主要用于编程和维护目的，但我们已经可以看到对更丰富和复杂的编程的重视TBtHTTP请求。易于使用的应用程序编程接口(API)允许通过以下方式控制机器人6|8（；攻击、ICS事件12)。易受攻击的软件库（xTK依赖过时或有缺陷的加密库；身份验证系统薄弱其他研究已经发现这些设备存在大量漏洞，证实了长期以来的安全态势不足。大约一年后，情况似乎在ICS领域并没有发生太大变化。软件定义安全（B的C的通用机器人；见图3)。问题，攻击者可能会扰乱操作并间接对人类操作员构成安全威胁。|图3.协作机器人与人类操作员密切合作，没有任何物理安全措施关键领域的工业机器人如今，绝大多数行业都利用机器人。我们的市场搜索涵盖10家主要的工业机器人供应商。在他们的客户中，我们发现了大型和中型企业在以下领域开展业务，其中大多数对每个国家都至关重要。车 ‧业料 ‧心

|攻击者可以利用工业机器人在分发公共服务的关键部门的存在来扩大其攻击的影响，使这些设备成为有吸引力的攻击媒介。工业路由器暴露在互联网上ShodanZoomEyeCensys（（）排除假阳性。4RobustelInHandDigiUSB(VPN可以使用商用运营商提供的接入点名称(APN)的GPRS网络(M2M(SIMAPN|(OEM支持合同。我们的市场搜索显示，大约有十几家供应商专门从事工业建筑适用于各种应用的路由器（见表1）。制造商

机器人ABB人 5FTP 9崎E器 4FTP 1川 9全部的

牌 露

不 知 的证 洞 洞百通95641欧洲技术公司160埃文6,2191,16010迪吉1,20021在手里883艾12,2222,300三十1网络模块8861351鲁邦通4,4911塞拉无线50,3412204虚拟访问2091韦洛泰克韦斯特摩6,0811,20072全部的83,6735,1055961CensysZoomEyeShodan20173FTP（注：我们通过查询V获得了“已知漏洞”的数量，而“新漏洞”的数量则基于我们自己的发现。）|Bs计算机和机器人系统的连接性不断增强，机器人将不断接触网络攻击。事实上，工业机器人最初被认为是孤立的已经进化，现在接触企业网络和互联网。10,000

1,000

100

0

机器人图5.工业路由器暴露体积图以及暴露的机器人的存在|4轴输入/输出末端执行器I/O（”）控制器状态LED（

人 务络 络操作员“将轴1向左移动30度”GPRS互联网程序任务程序员图6.标准工业机器人架构的黑盒视图在标准工业机器人架构中，程序员和/或操作员通过网络向控制器发出高级命令（例如，通过从人机交互界面加载程序，通过RESTAPI（HRI）输出(I/O（）。机器人工业机器人是一种“自动控制、可重新编程、多用途的操作器（）环境。|图7.我们演示中使用的笼式机械臂控制器机器人控制器是一种复杂的设备，通常封装在一个或多个机箱内。它由以下部分组成：多个互连的子系统和计算机系统。机器人控制器的设计重点是关于效率、复杂运动描述、非线性控制以及与人类操作者的交互。示教器主计算机图8.控制器和示教器|（）HRI官 识 定工 模 略任务级别全球的记忆

行动层面

操作员界面原始层次舵机级别器 器图9.机器人控制器控制系统架构的抽象表示9（（）。控制系统|人机界面（）（图8B）机器人编程控制器接受通过特定领域的编程环境编写的任务规范。（）（）。（（用钳子夹住）。要求|攻击工业机器人攻击者模型4.0（）（GPRS）控制其操作的专用计算机，以及操作员通过其子系统进行交互（例如，操纵杆、开关或I/O和诊断端口）。我们特意设计此场景以便供应商虽然代表了完整的部署，但却是不可知的并且相当简单。访问权限在允许访问数字攻击面的可访问硬件组件上。|络 攻击者

工厂1

N工厂互联网

防火墙

防火墙

的 人攻击者非军事区络

控制器图10.网络攻击者与物理攻击者网络攻击者该攻击者只能通过网络连接与机器人控制器进行通信。(LAN（B来物理攻击者（）（（HRI通过显示器加载或编写的自定义脚本手动或自动布防。|（）（等I/OO（s的DeviceNetB）。因此，该配置文件比网络攻击者更强大。技术能力（进入设备（例Bee是o）漏洞。（B）机器人的控制器。（U和（如MultiMediaCard足够了。|攻击者的预算（（alibaba）。comABBIRB140S4CIRC524,999‑35,500（GPRS针对机器人的攻击（）|攻击类别和描述

有缺陷或改性产品

要求违反机器人秘密地将缺陷引入工件。

有缺陷或改性产品

息态。 伤 全

伤 全表2.针对机器人的攻击及其影响的总结我们分析了针对工业机器人的攻击机会，以破坏准确性、安全性和完整性（见图9）此攻击类型的完整视频演示可在\h/vinfo/us/security/news/上找到。\h物联网/工业机器人测试工业机器人安全。|3原始且未修改的代码是由机器人执行FTPFTPAPI

4微缺陷配置文件由机器人装载在例行公事图11.攻击者篡改控制器参数来改变程序的执行或程序员发出的(PID积分和比例速度(PIV)控制系统，用于每个关节轴的角度位置。（）（）开环控制参数篡改（）|机械臂和工件配置篡改（（（例如，将工件切成两半，或者安装另一个机械手）。（DTSǔ。安全限制篡改（制动器（即最短激活时间）。尽管安全措施是机械启动的，（9）触发伺服电机时。当机器人不动时，攻击者可以操纵控制器上的校准参数。（控制者知道。这会导致违反所有要求的具体后果。|如果在机器人移动时发生这种恶意操纵，可能会产生两种结果。如果控制器不监督速度和位置，结果与前一种情况相同，并且不仅会影响关节的最终位置，而且会影响最大速度。DoS停止状态。3原始且未修改的代码是由机器人执行FTPFTPAPI

4微缺陷配置文件由机器人装载在例行公事2远程或本地攻击者篡改校准参数图12.攻击者篡改校准参数来改变程序员发出的程序或命令的执行（|2攻击者修改原始代码或命令FTPAPI

4微缺陷1机器人程序员将代码上传到FTP

机器人在例程中加载的配置文件3没有代码完整性检查图13（开关（）（（LED）正常情况在离开1操作员安全遭到攻击在离开1攻击者操纵状态信息2操作员面临风险图14.攻击者篡改用户感知的机器人状态，使操作员面临风险|因此，单纯的用户界面(UI)修改攻击的影响是巨大的。更改UI可能会隐藏或者改变机器人的真实状态，欺骗操作员做出错误的风险评估，从而造成巨大的安全隐患。攻击者可以做的不仅仅是改变机器人的感知状态。在某些情况下，攻击者可以注意到。正常情况在在离开1操作员安全遭到攻击在离开1攻击者操纵态 险图15.攻击者篡改机器人的实际状态，使操作员面临风险发动机状态对附近的人类而言。事实上，协作机器人并不在安全笼内操作。|**6.x系列5.x系列ABB6.x系列。25|软件定义或无线触发的安全功能(e‑stop（（U的无线示教器）。)MitM（）。）操作员。案例研究：演示实际攻击ABB的六轴IRB1406IRC5RobotWare5.13.10371*（VxWorksWindows®CEFlexPendant（）IRB140关在笼子里，依靠默认的标准安全措施。RobotWare（即在FlexPendantRobotStudio软件套件，可以从供应商的网站免费下载。FlexPendantIEEE20入口点：工业路由器和远程访问ShodanWebNB（“Server:bMoxaao（（“Moxa“Westermo“BasicHTTP）WebWeb‑当界面也启用基于控制台的功能时，它提供了一个容易“指纹识别”的攻击面利用路由器中的漏洞或错误配置并获取对工业机器人（以及与其连接的其他工业设备的访问权）。（见表1）ABB的ServiceBox设备（）（（11.2s2图16.ABB（eWON）APN|我们不会深入探讨太多细节，而是用以下分类法总结了我们发现的问题。b暴露的情况。º（几乎所有顶级供应商的网站上都可以找到这些材料（包括固件映像）。ºº网络服务横幅包括详细信息，例如供应商名称、媒体访问（MACUU这些设备上运行的程序已经过时，有时是基于不受支持的版本，尽管最近构建的固件映像。在最好的情况下，虽然这不一定是一个好的做法，但供应商会应用（向后兼容性。最糟糕的情况是，过时的库被“按原样”使用。º（x主站点不再可用）º编译器（例如GCC3.3）º内核（例如Linux2.4）º加密库º |º OpenVPN密钥（OWASPº如上所述，过时的加密库或密码也属于此类别。º错误配置的加密软件是指，例如，使用共享对称密钥进行VPN。这不是一个好的做法，因为它不允许使用明显的访问审计万一丢失，就会出现撤销问题。ºWebHTTPS（OWASPºWebGETº未维护的开源代码“按原样”使用。同一供应商包含了很大一部分PHPPHP中实现REST（）。（Web服务器（）Binwalk设置。（披露了我们的调查结果。|机器人部件中的其他漏洞权 道USB端口

N直接访问内部设备（例如轴计算机）LAN端口偏僻的

N（N的 （如施表3.按渠道划分的攻击面我们能够识别出工业机器人在设计连接(FTPFTPRobAPI最广泛的网络攻击面，具有多个命令和输入。此外，主要计算机公开了FlexPendant使用的基于用户数据报协议(UDP)的发现服务，并且RobotStudioFlexPendantUDP（ABBVUDMRO‑124642）FTP控制机器人的动作。|DMRO‑124644)))（）)硬编码凭证。用户的密码。（ABBVUDMRO‑124645DMRO‑128238）RobAPI请求DHROOT处理程序。另一方面，柔性吊坠也存在漏洞：设计文件格式。e如果他能修改文件，使其文件名长度超过512字节，则溢出。t)系统和RobAPI功能。UAS我们实施了以下利用序列：FTP/命令驱动程序。或者，我们可以利用RobAPI中发现的内存错误来获得初步访问权。|SPd的l（RobAPIPTRAPID/commandshellrebootFTP.NET恶意RAPID文件。1使用静态凭证FTPPUT/命令/命令.cmd（DHROOTI（

FTPAPIFTPPUT//.cmd“shell

AUTH现已禁用3FTPPUT恶意.dll

FP/MC将加载恶意下次启动时使用库FTPPUT//.cmd“shell

FP/MC将重启malice.dllhome（C＆C功能）

图17.通过远程可访问的FTP服务器进行多步骤攻击以获取对机器人控制器的控制权FlexPendantRobAPI不受限制地控制执行的代码。另一种可能性是获得对FTPRobotWare31|工业机器人：测试工业机器人的安全极限0.4530.4530.452普通的0.4510.4500.4490.448‑0.25 ‑0.20 0（ado机器人手持的ApplePencil。（b图1832|命令与控制虽然不是必需的，但我们利用FTP共享文件系统作为一个简单的命令和控制（tRAPID充当机器人和远程攻击者之间的中继。因此，我们认为，此时，有些攻击可能会造成非常昂贵的影响，可能高达整个部署的成本，或违反安全政策和法规。当由于这个原因无法进行攻击时，我们讨论了我们的与领域专家一起实施，确认了其可行性和潜在的破坏性影响。准确性违规（攻击1）我们分析的机器人使用闭环控制器来控制关节位置。对于每个关节，一个PID控制器确保其角位置尽可能接近所需的参考轨迹完成任务。如攻击1中所述，如果攻击者可以“失谐”控制器，他可以减少动作精度降低，最终损害加工精度。（执行的操作看起来是一样的。在攻击过程中，站在机器人旁边的操作员不会注意到1请访问：https://\h/vinfo/us/security/news/internet‑of‑things/rogue‑robots‑testing‑\h列于第29‑30页和图17中。PIDIRB140RS232通过利用远程代码执行漏洞，我们修改了控制环路配置文件，PID18（2）机器人正在进行的加工，足以破坏工件。安全违规（攻击4）我们使用用户感知的机器人状态改变方法来欺骗操作员，从而实施了这次攻击flexUIFTP（shell19UI。|图19.修改后的FlexPendant屏幕显示机器人处于“电机关闭”状态（”）（它不会响应通过HRI操纵杆发出的手动命令完整性违反（攻击2）有可能通过控制回路改变和校准参数来破坏机器人的完整性由于这些文件通过“加密”进行了弱混淆，我们利用此漏洞并此时，我们不再启动机器人，而是向领域专家展示修改后的配置文件（|机器人用户可能面临的威胁情景从远程端点发动复杂攻击，而不受成本的限制。在利用工业机器人的特定情况下，任何人都可能有兴趣；即使是内部威胁威胁场景1：生产成果变更或破坏通过利用机器人控制，我们能够将故障和微缺陷注入工件，如下图所示在图20的右侧。该攻击的完整视频演示可在\hhttps://www.trendmicro上找到。\hcom/vinfo/us/security/news/internet‑of‑things/rogue‑robots‑testing‑industrial‑robot‑security。虽然需要彻底破坏生产线的每个步骤才能达到这些缺陷检查，并且根据货物本身的性质，可能会发生伤亡。|图D（）y2（）20（），威胁场景2：勒索软件攻击被篡改的产品做作的。|威胁场景3：物理伤害HRI（见图21）图.II（（I威胁场景4：生产线工艺Ǔ扰（）|威胁场景5：敏感数据泄露（）获取此类数据对于市场或竞争对手而言都具有极高的价值。|迈向更加光明的未来虽然我们认为发现并随后解决漏洞非常重要，更安全的机器人生态系统不仅仅在于提高嵌入式软件的质量在机器人上运行，也不会有更多的披露和更快的修补，