On 27/04/2021 14:18, Marek wrote:
>> A mój falownik nie może sobie otworzyć jakiegoś portu po TCP wprost i
>> ustępniać jakieś proste webapi? Wielodostęp, brak timeoutów, strumień
>> a nie pakiet. Same zalety. Nie, musi modbus.
> Może i dobrze. Jestem w stanie sobie wyobrazić jaka skala dziur czy
> nawet braku jakiekolwiek ACL byłaby w takich przemysłowych urządzeniach.

Miałem (niemiecki, a i owszem) miernik izolacji, sterowany modbusem,
tyle że przez RS232. Taki do badania izolacji na lini produkcyjnej
ręcznie. Dotyka się sondą obudowę i nastepny.

Całkiem spoko. Ustawiasz parametry, wysyłasz coś do rejestru i strzela
napięciem, potem czytasz wynik, ładnie zautomatyzowane i bangla.

Wszystko super, do momentu kiedy dłubie przy sofcie sterującym i
nieopacznie wysyłam 4 do rejestru który przyjmuje 0-3. Zawiesił się.
Pomyslałem sobie że nie mozna być aż takim idiota, ale ... trzeba sprawdzić.

Po godzinie wiedzialem jak go posmerać po modbusie, coby generował na
stałe setki V na próbniku (normalnie odpalanym tylko na milisekundy).
Wystarczyło do rejestru określającego czas w ms wysłać wartośc ujemną (w
U2)... natomiast dodatnie grzecznie ograniczał do bezpiecznych ;) W
efekcie miernik migał czerwonym światełkiem, przestawiał kolor na
zielony i można było razić ludzi sondą pod napięciem.

Morał z tego taki że znacznie bardziej przerażają mnie idioci w embedded
od modbusów robiący wszystko od zera na 8051 sami, niż ludzie biorący
gotowe webservery z prostym api, stosowane w embedded i przetestowane
juz przez kogoś.

PS. Historia ma również zakończenie: po zgłoszeniu w firmie buga
dostałem zwrotnie skan kartki z zakreślonym na czerwono opisem, że
akceptowane są tylko dodatnie wartości. I duży, czerwony wykrzyknik
obok. Prawdopodobnie cobym następnym razem nie robił z siebie idioty. Po
niemiecku nie umiem, więc pokazali mi obrazkowo gdzie moje miejsce.

> Z dużym prawdopodobieństwem taki "bardzo ważny szkielet sieci
> produkcyjnej" często stykał by się (przez przypadek lub nie) mniej lub
> bardziej z publiczną siecią i dopiero byłyby cyrki.

To już problem infrastruktury, higienty i białka. Wirówki w Iranie
zupełnie się nie stykały z internetem i padły.

> Potem producenci by
> musieli  lataćb te dziury (a tego nie lubią) np. w tokarce, bo jakiś
> "haker" przerpogramował i operatorowi łapy urwało. Tak dzięki takiemu
> modbusowi or co. mają jakąś tam separację technologiczną....

Nic nie pomaga. Do tych modbusów są podpięte dziurawe sterowniki, często
z absurdalnie niskimi poziomami zabezpieczeń. Co z tego że dziura jest
po drugiej stronie modbusa. Dziura to dziura.

Nie wiem co sie stanie, jak zacznę grzebać po moim falownieku, po
nielegalnych wartosciach rejestrów. Może nic, a może wybuchnie.

> Wystaw sobie dowolny (nawet świeżo uzyskany z IANA) IP i monitoruj na
> interfejsie co do niego przychodzi, przecież to już obłęd jakiś. Skaner
> skanera skanerem pogania. Tego w latach 90 nie było.

Ale jest dzisiaj i wiemy jak się przed tym chronić. Napisanie prostego
webapi bez bugów jest w zasięgu przeciętnego programisty, byle by
świadomego.