Tayvan'da bir tren meraklısının gerçekleştirdiği telsiz saldırısı, üç yüksek hızlı treni yaklaşık bir saat boyunca rayda mahsur bıraktı ve demiryolu iletişim sistemlerindeki güvenlik açıkları tartışmasını yeniden alevlendirdi. 23 yaşındaki tren meraklısı, 5 Nisan'da internetten satın aldığı donanım ve kurduğu yazılım tanımlı radyo (SDR) düzeneğiyle Tayvan Yüksek Hızlı Demiryolu'nun (THSR) operasyon merkezine sahte bir genel alarm sinyali gönderdi. Şirket, sinyalin alındığı bölgedeki üç trene acil fren talimatı verdi; seferlerde 48 dakikalık gecikme yaşandı.
Olayın teknik ayrıntıları henüz tam olarak açıklanmadı. Acil durum telsiz sistemlerindeki açıkları inceleyen Hollandalı siber güvenlik danışmanlığı Midnight Blue'nun kurucu ortağı Wouter Bokslag'a göre saldırı oldukça basit olmuş olabilir: acil durumu bildiren bir ses ya da metin yeterli. THSR'nin TETRA (Terrestrial Trunked Radio) acil durum telsiz protokolünü kullandığı bildiriliyor. Bokslag, bu protokolün doğru kurulduğunda güvenli olabildiğini, ancak yanlış yapılandırıldığında ciddi riskler taşıdığını belirtiyor: «Bu teknolojilerin temeli eski, ama güvenilir. TETRA ağı belirli koşullar altında güvenli çalışabilir; ancak en sağlam yapılandırmayı kullandıklarını sanmıyorum.»
Demiryolu sistemleri son yıllarda siber güvenlik araştırmacılarının ve saldırganların giderek daha fazla hedef aldığı bir alan hâline geldi. Ağustos 2023'te Polonya'da hackerlar, iki gün boyunca basit bir üç tonlu telsiz sinyaliyle trenlere durma komutu vermiş ve ülkenin üç ayrı bölgesinde ulaşımı sekteye uğratmıştı. Bir ay sonra İran yanlısı hacktivist grup Cyber Avengers, İsrail'de trenleri aksattığını öne sürdü; ancak İsrailli yetkililer ve siber güvenlik firmaları bu iddiayı yalanladı.
Polonya olaylarını inceleyen siber güvenlik danışmanı Lukasz Olejnik, Tayvan vakasının daha gelişmiş bir versiyona işaret ettiğini söylüyor: «Polonya'da saldırganlar yalnızca eski analog acil durum tonlarını kopyalamıştı. Tayvan'da ise ortamı çözümleyip alarmı tetikleyecek parametreleri çıkarmak ve klonlayarak sisteme enjekte etmek gerekiyordu.» Olejnik'e göre çıkarılacak ders şu: iletişim protokolleri ancak kimlik doğrulama, anahtar rotasyonu, terminal kontrolü ve anomali tespiti gibi unsurların fiilen uygulandığı durumlarda dayanıklılık kazanıyor.
TETRA protokolünün uygulanış biçiminde Midnight Blue araştırmacıları 2023 ve 2025'te ciddi güvenlik açıkları keşfetti; bu açıkların saldırganlara düşük güvenlikli bir arka kapı bıraktığı ortaya çıktı. Söz konusu bulgular üzerine Avrupa Telekomünikasyon Standartları Enstitüsü (ETSI), iki yıl önce verdiği sözü tutarak TETRA'nın güvenlik algoritmalarını kamuoyuna açıkladı. Bokslag, bu adımın iki ucu keskin bir bıçak olduğuna dikkat çekiyor: Güvenlik herkesçe denetlenebilir hâle gelirken, saldırganlar da aynı bilgiden yararlanıyor. Savunucuların payına ise ağları yükseltmek ve sürdürmek gibi çok daha meşakkatli bir iş düşüyor: «Bir ağın güvensiz olduğunu tespit etmek için gereken tüm bilgiyi kamuoyuna sunduk; ama buna göre harekete geçmek karmaşık bir süreç.» Bokslag ayrıca sistem entegratörlerinin ve ekipman üreticilerinin müşterilerine zaman zaman yanlış önerilerde bulunduğuna dair birden fazla raporun olduğunu da vurguluyor.
Operasyonel teknoloji güvenliği firması Claroty'nin saha teknoloji direktörü Sean Tufts, demiryolu sistemlerinin yapısal bir sorunla boğuştuğunu söylüyor: geniş saldırı yüzeyi, coğrafi açıdan dağınık altyapı, on yıllar öncesine dayanan eski sistemler ve korunması güç çok sayıda uzak dijital iletişim noktası. «Bir demiryolu hattının ortasındaki son makas istasyonuna ulaşmak, doğru iletişimi kurmak ve etrafına siber güvenlik yerleştirmek — bu, dünyadaki her demiryolu operatörü için ciddi bir mücadele.» Tufts'a göre dağınık varlıklarını güvende tutmak isteyen demiryolu şirketleri, güvenli iletişim altyapısının yanı sıra ağlarının her noktasından telemetri toplama kapasitesine de ihtiyaç duyuyor.
Şimdiye kadar yaşanan demiryolu kesintilerinin büyük bölümü, organize siber suçlular ya da devlet destekli aktörler tarafından değil, hobi amaçlı telsiz kullanıcıları ve tren meraklıları tarafından gerçekleştirildi. Tufts, tablonun değişmesi ve sofistike saldırıların hedef alması durumunda ulusal ekonomilerin ciddi yara alabileceği uyarısında bulunuyor; Hürmüz Boğazı'ndaki gerilimin petrol akışında yol açtığı yüzde 20'lik düşüşü örnek gösteriyor. «ABD'de böyle bir şey yaşansaydı, imalattan tüketim mallarına, gıdadan içeceğe kadar zincirleme etkiler yaratırdı. Tek bir kısıtlama noktası muazzam kesintilere yol açabilir.»
Olejnik de Tayvan ve Polonya olaylarının kritik bir gerçeği gözler önüne serdiğini vurguluyor: Ulaşım altyapısına yönelik saldırılar, tetikleyicisi ne kadar basit olursa olsun çok ağır sonuçlar doğurabiliyor. Demiryolu operatörlerinin yalnızca güvenli teknoloji benimsemekle yetinmeyip bu teknolojilerin doğru biçimde devreye alındığından da emin olması gerekiyor: «Demiryolları kimlik doğrulaması yapılmayan sistemlerden bir an önce uzaklaşmalı. Güvenlikle ilgili her telsiz komutu, kriptografik olarak korunmalı ve tekrar ile enjeksiyon saldırılarına karşı güvence altına alınmalı.»
Bu haber, Dark Reading'de yayımlanan makaleye dayanmaktadır.
