Dan moet de malware zich in hetzelfde LAN of VLAN bevinden of bij de leverancier. Tricky!

En ik ben uiteraard de enige die zich afvraagt waarom zo'n ding in vredesnaam aan enig netwerk moet hangen?

Wat betreft de standaard inlogcodes: in NL hangen veel van die omvormers niet open aan Internet. Dat lukt dus alleen maar in professionele installaties die niet professioneel zijn ingericht. Daar zijn er niet zo veel van vermoed ik.

Backdoor accounts met statische id's/wachtwoorden zijn wel een serieus probleem voor professionele installaties.

Hoe dan ook: dit is niet groot genoeg om een probleem te vormen in het elektriciteitsnet. Het gaat niet om 1 grote centrale maar vele verspreide installaties. Het energienet moet veel grotere verschillen in belasting kunnen afhandelen. In Duitsland is het geen probleem gebleken als opwek uit zonnepaneleninstallaties plotseling uitvalt (zonsverduistering), en dat was bij een vele malen grotere installed base.

Aankaarten van het probleem is prima, maar houd doemscenario's reëel.

Waarom hangen die omvormers aan internet?

Dat denk ik wel, ja. Hoewel, wat verder naar beneden zie ik nog zo'n reactie.
Dus wellicht is wat uitleg wel op zijn plaats. Zo'n omvormer verzamelt allerlei informatie waar de eigenaar in
geinteresseerd is. Die wil graag weten wat de opbrengst van zijn investering is, of alles nog goed werkt, of het wellicht
tijd wordt de boel eens schoon te maken, enz. Daarvoor worden meetwaarden (telemetrie) bekeken in een stukje
software, tegenwoordig meestal via een app op een telefoon of een website waar je kunt inloggen.
Om dat mogelijk te maken moet de omvormer data naar internet versturen.
Je hebt dan in feite 2 mogelijkheden:
1. de omvormer draait een service die door de gebruiker geconnect kan worden. lastig in een netwerk met NAT en/of
een dynamisch internet adres.
2. de omvormer maakt (voortdurend of regelmatig) een uitgaande connectie naar een server ergens op internet ("in de cloud"
noemen de verkopers dat tegenwoordig) en levert daar die data af, waarna de gebruiker deze weer kan teruglezen.

Beide oplossingen hebben hun specifieke voor- en nadelen. De 1e heeft het nadeel dat de beveiliging van de omvormer
zelf meteen de beveiliging van het systeem wordt, en dat deze natuurlijk lastig te verbeteren is door updates enzo.
Het 2e heeft het nadeel dat je data meteen al weer verder verspreid wordt dan je wellicht wilt. En met wat pech blijft
het evengoed kwetsbaar, bijvoorbeeld omdat er "retour" commando's mogelijk zijn van de server naar de omvormer,
voor het gemak van de gebruiker (die dan vanaf de telefoon de installatie kan uitschakelen oid).

Hoewel het krantenbericht het idee geeft dat het om situatie 1 gaat, kun je daar meestal geen 100% zekerheid over
geven omdat journalisten de neiging hebben om factuele informatie te verdraaien "om het beter leesbaar te maken",
het zou dus best een systeem volgens methode 2 kunnen zijn waarbij de aanval niet op de omvormers zelf maar op
het centrale systeem plaatsvindt. Immers daar hebben de gebruikers ook een password of pincode oid en die kan
ook best voor veel gebruikers op default staan. Dat is dan wel gemakkelijker op te lossen.

Veel omvormers hebben een webportaal bij de fabrikant waar de de energie productie word gelogd.
gebruikes kunnen dan inloggen om te kijken wat hun installatie heeft geproduceert , bv sunnyportal van SMA

SMA geeft op deze wijze inzicht in het totaal geproduceerde vermogen
http://www.sma.de/unternehmen/pv-leistung-in-deutschland.html

Het zou misschien een probleem kunnen zijn wanneer het op het juiste moment plaats vind. Met covert remote access kan men wachten op een piek in stroomverbruik en dan de malware actief laten worden. Dan gaan er wellicht zaken fout of treedt er beveilging op wat deels de stroomvoorziening onderbreekt. Er zwerft nog ergens een boek of presentatie over red teaming van elektriciteit verdeelstations in Amerika. Niet helemaal vergelijkbaar maar zeker leerzaam.

Ik zou niet afgaan op wat "hackers" of "security specialisten" over dit soort dingen schrijven want het is immers in hun
eigen belang of interesse om dit soort zaken op te kloppen en te dramatiseren. Als je wilt weten wat er met een
electriciteitsnet fout kan gaan bij afschakeling van een (relatief klein!) deel van de productie dan zou ik het gaan vragen bij
een specialist op het gebied van electriciteitsnetwerken.

Bij piekbelasting is het juist makkelijker extra op te wekken. De benodigde centrales draaien al.

De elektriciteitsvoorziening in de VS is niet vergelijkbaar met die in Europa. In de VS zijn brownouts normaal door (soms opzettelijk) te weinig productie. In NW-Europa daarentegen is het zeldzaam en meestal gerelateerd aan incidentele defecten, niet aan overbelasting of onderproductie.

Ik heb een omvormer van Nedap. Die stuurt ook de productiedata naar een vast adres van de fabrikant, alwaar ik mijn data kan bekijken. De omvormer is echter nog steeds niet toegankelijk vanaf het internet omdat er niets geforward wordt in de router.

Dus is er bij SMA ook geen reden om vanaf het internet bij de installatie te komen, ondanks hun webportaal.

Ben je slim bezig met een slimme meter of .....dat is nu de vraag. Moet je alles digitaliseren?
Moet je alle goede analoge dingen uitfaseren?

Net zo'n vraag als bij de led-lampen, die koud bleven en terwijl treinladingen gloeilampen richting landen reden, waar men deze ombouw niet verplicht invoerde.

Wat goed is voor de producent is niet altijd goed voor de consument of meestal niet.

Dat zou voor mij dan ook een reden zijn om bij een andere fabrikant te gaan buurten, eentje die me in staat stelt mijn eigen apparatuur in huis zelf te beheren. Eenmaal in de cloud kan iemand anders met gegevens van mijn apparaat aan de haal. Totale flauwekul in mijn optiek.

Dat was een voorziene situatie waar veel extra reservecapaciteit van klassieke bulkcentrales (kolen, gas) stand-by stond.
Het gaat overigens om het effect dat de lokale frequentie buiten de 50 Hz +/- de toegestane afwijking komt, een afspraak om de lagers van de grote generatoren te beschermen.
Dan moeten opwekkers zichzelf afschakelen. Voor digitale gecontroleerde omvormers is dat een probleem - ze schakelen door hun software allemaal tegelijk af. In Duitsland is de software daarom aangepast zodat er een "random" vertraging ingebouwd is en niet alle panelen er tegelijkertijd uitklappen bij een frequentieafwijking.
Software (of virus) kan dus een cascade-uitvaleffect veroorzaken.

Toen ik mijn panelen liet plaatsen vroeg ik aan de installateur hoe het zat met het bijhouden van die gegevens. Hij raadde het systeem van de leverancier af. Ik ben toen zelf op zoek gegaan naar een systeem dat ik (ook) lokaal kon gebruiken om te monitoren. Ik kwam toen bij Plugwise uit. Ik gebruik nu wel hun cloud oplossing, maar het is eenvoudig mogelijk om de controller lokaal uit te lezen middels webservices. Ik heb daar al mee getest, maar nog niet de moeite genomen om daar iets voor te schrijven die het ook mooi toont.

Peter

Je verwart the situatie op laag 3/4 (geen poorten geforward) met de situatie op laag 7 (installatie toegankelijk vanaf internet).
Natuurlijk, als die omvormer alleen maar een TCP verbinding opbouwt met de cloud server van de fabrikant dan kan er
niet rechtstreeks op die omvormer worden ingebroken. Maar ik geef je op een briefje dat er via die TCP verbinding
niet alleen data van de omvormer naar de cloud site gaat, maar dat het ook mogelijk is dat de cloud site een command
pakketje naar de omvormer kan sturen die daar iets mee doet. Zodat je bijvoorbeeld in die APP die alleen verbinding
heeft met de cloud toch dingen kunt instellen op je omvormer.

Als het nu lukt om in te breken op die cloud site, ofwel door het vinden van een lek waarmee je op die server bent
en alles kunt doen, ofwel door het (geinformeerd) raden van wachtwoorden van gebruikers (bijvoorbeeld degenen die
nog het default wachtwoord hebben), dan kun je dus toch commando's geven aan die omvormers ondanks dat je er
geen direct netwerk contact mee hebt!

Een zonsverduistering was al voor de Bayloniers niet meer "onverwacht" .
Het balanceren van verbruik en productie van electriciteit is een serieuze uitdaging .
De term is 'balans beheer' of 'balansverantwoordelijkheid' .

De enige snelle "buffer" in het net is namelijk de massa-traagheid van alle draaiende generatoren - en die is heel klein in verhouding tot het gegenereerde vermogen.
De volgende 'buffer' , maar op langere tijdschaal is het bij/terugregelen van draaiende centrales .
Maar "gas geven" op een heel zware turbine heeft natuurlijk een behoorlijk trage respons. (natte vinger - tientallen seconden ?)
Nog trager is het volledig moeten opstarten van een (extra) turbine .

Oftewel - je kunt echt wel bezorgd zijn over 'snel jojo'en met vele megawatten'

Als security-man heb ik nooit enige intentie gehad de zaak "op te kloppen" of te "dramatiseren" vanwege "eigen belang"
Vraag is hoe u het in uw hoofd haalt om over een andere partij publiekelijk te liegen zonder überhaupt zijn intenties te kennen.

Gewoon even terug naar de normale wereld he...
Niemand gaat je zonnepaneel hacken, crybaby's,

De sloten op de publieke wc's in een cafe zijn met een schroevendraaier te openen OMGWTFHELICOPTER
Snel ga reporten als lek

Als dat zo zou zijn, zou het al niet meer werken. Een kleine installatie levert al meerdere megawatts op en een donkere wolk kan zomaar binnen een fractie van een second de opwek van een handvol megawatt tot dicht bij nul brengen, of andersom de opbrengst doen toenemen tot rondom de Wattpiek waarde.

Dus nee, zo erg is het niet. Het is wel zo dat er een buffer nodig is en dat opwekken traag kan zijn bij oude kolencentrales. Gascentrales zijn veel sneller en netbeheerders wereldwijd investeren in grote batterijbuffers. Dat is sinds kort ook betaalbaar.

Een lek in een zonnepaneel: dan drupt er hooguit iets op je dak. Een omvormer is geen zonnepaneel. Evenals een pincode geen goede beveiligingsmaatregel is als je een omvormer aan het internet hangt.

Dat was ik me ook bewust. Maar er is geen toegang mogelijk vanaf een willekeurig IP. Alles moet over het IP van de fabrikant lopen. Dat maakt het risico al een stuk kleiner dat derden er iets mee uithalen.


Maar echt interessant zijn die gegevens ook niet. Iedereen kan die productiedata ook zelf uitrekenen voor een onbewolkte dag. Uit de afwijking tussen theoretische en daadwerkelijke productie kun je nagaan wanneer er wolken langs dreven op die locatie. Dat is vast interessant voor iemand die inbreekt maar is echt niet privacy gevoelig. De buren weten dat ook zo als ze uit het raam kijken..

Er zijn leveranciers die het prachtig vinden om op afstand de boel in de gaten te houden en afnemers die het fraai vinden om het op de Smartphone te volgen.
Regelmatig lokaal visueel controleren en standjes noteren ... op papier lijkt me voldoende. Ik doe dat zo.

Wees gerust: een omvormer gaat 15 jaar mee.
Over 15 jaar hebben we heen idee meer wat IPv4 is. Maar dit soort embedded systemen updaten dat is natuurlijk niet mogelijk, dus over paar jaar lost dit zichzelf op. Net als NetTV van Philips (weet je nog?).

Dat lijkt me niet... maakt het risico juist alleen maar groter!
Immers nu hoeft er maar 1 server gekraakt te worden (en dat is volgens de jongetjes hier vaak heel makkelijk) en dan
heb je in 1 klap ALLE klanten van die leverancier te pakken, terwijl als je allemaal onafhankelijk een van buiten te connecten
omvormer had dan moest je 1. een scan doen om die allemaal te vinden en 2. al die dingen allemaal onafhankelijk kraken,
wat dan weer afhankelijk is van wat voor wachtwoord die hebben, wat voor extra firewall er wellicht nog voor zit, enz enz.

Dat zijn veelal log servers, niet heel spannend. Sommige zijn open by design. Er zijn ook servers van derden waar updates op worden verzamelend, met opzet zo ingesteld door de installateur of de eigenaar. Het doet wel wat "voor" privacy, je installatie wordt tamelijk precies bekend. Zonnepanelen zijn nog steeds veel geld waard, daarom is het onverstandig om je logs publiek te maken met postcode.

gewoon om je heen kijken - de conferenties zitten stampvol met sprekers die hun ontdekking(je) maximaal uitmelken voor effect .
Het zal nodig zijn om gehoord/uitgenodigd te worden, en een reputatie op te bouwen waarmee opdrachten geworven kunnen worden .

Het is jammer maar waar, aan het volume van de onderzoekers, de hoofdletters of de termen 'medisch/nucleair/maatschappij/sex' kun je niet meteen afleiden of iets een werkelijk groot probleem is of niet .

Maar zeg eens eerlijk : naast wat jij voor jezelf spreekt, zeg je ook "opkloppen voor effect zie ik nooit gebeuren in mijn beroepsgroep " ?

Een intentie hebben is niet gelijk aan hoe een ander het zal ervaren. Blijkbaar komen de gequote uitspraken in de krant waarschijnlijk gedramatiseerd en opgeklopt over? Er zijn securityfouten gevonden maar die blijken alleen te gebruiken door iemand die met de juiste kennis al in een lokaal netwerk zit. En om het ontregelen mogelijk te veroorzaken moet dat ook nog bij heel veel verschillende netwerken het geval zijn. Hoeveel securitybedrijven noemen securityfouten waar je eerst nog intern moet zijn gekomen, met de juiste rechten en kennis, een hoog risico? In veel gevallen zijn er dan andere snoeppotten waar een crimineel ook aan kan verdienen.

Uit het artikel in de krant komt een risico naar voren die is opgebouwd uit: wat is de kans op, en de kans op en de kans op en de kans op? Dat komt in de buurt van de lotto willen spelen. Dat er soms een winnaar is maakt de kans nog niet groter dan de plotselinge gevolgen van bijvoorbeeld een mechanische defect of iemand die moedwillig knoppen gaat omdraaien of schade aanbrengt aan hoogspanningtrajecten. In het verlengde daarvan op maatschappelijke gevolgen vinden we het ook acceptabel dat er maar een machinist in een trein zit, er twee personen in de cockpit zijn en miljoenen personen toegang hebben tot wapenarsenaal. En om het breder te trekken risico's van alcoholgebruik, luchtvervuiling, kundigheid in de gezondheidszorg, extreem weer kunnen ook navenant grote gevolgen hebben. Ieder heeft dan verschillende meningen over hoe acceptabel het is versus het gemak. Je kan dus opmerkingen verwachten als er nieuws verschijnt over mogelijke risico's waarbij de kans steeds afhankelijker is van factoren.

Ik ben benieuwd naar de bevindingen maar ook hoe het maandag gepresenteert gaat worden. Enige vorm van besef van relativeren mag dan hopelijk ook wel blijken. Kan je van een samenleving verwachten dat die op basis van hypothetisch indirect gevaar in het denkbeeld mee gaat? Kan van een bedrijf verwacht worden dat het aan de wensen van een securitybedrijf voldoet om aan de eisen van 'nauwelijks iets gedaan' te ontsnappen?

Met het voorkomen van fouten in het verleden zijn we als samenleving altijd te laat. Het kost ook moeite om nu en in de toekomst fouten te verminderen. Oplossingen zouden kunnen zijn om geld te verdienen aan het verkopen van veiligheid. Dat heeft voor de auto industrie prima gewerkt terwijl daar bij zowel producenten, verkopers en kopers niemand echt op verbeteringen zat te wachten. En verplichte keuringen zouden ook kunnen helpen, maar daarbij bestaat altijd weer het risico dat die niet aan de verwachtingen kunnen voldoen en er te veel is om toezicht op te houden. Een groot deel van de industrieen is nog niet eens bewust van veilig programmeren. En toch leeft de samenleving gewoon verder, geeft geld uit en neemt onnodige schade voor lief omdat er ook aan verzekeren en hoop valt te verdienen.

Ben de OP niet, maar inhoudelijk kan het geen liegen zijn als er staat hoe iets is ervaren of overkomt. En niemand maakt mij wijs dat een bedrijf of persoon die met naam en toenaam de media opzoekt nimmer mede de intentie heeft om ook zelf in de aandacht te staan. Dat nadeel heb je als je commercieel bezig bent en dan het nieuws op zoekt. Nogmaals, ik ben heel benieuwd naar hoe de presentatie en besef van relativeren.

Het stroomnet door Nederland is behoorlijk gekoppeld , en die wolk die snel voor de zon schuift is maar een heel lokaal fenomeen . (kijk maar op buienradar) .
Oftewel - op korte tijdschaal (aantal seconden) en gemiddeld over een fors stuk Nederland (50-100 KM) verwacht je niet direct een grote variatie. Op wat langere schaal wel , maar dat is makkelijker te volgen voor een regeling.

Ik heb inderdaad geen goed beeld van het absolute aantal MW variatie dat een echt probleem zou vormen .
Wel weet ik dat grootverbruikers (aantal MWs) de netbeheerder moeten informeren als ze hun belasting gaan aan- of afschakelen.
Het zal zeker af en toe gebeuren dat een grootverbruiker (of producent) plotseling wegvalt - een noodstop/storing kan ook daar gebeuren. Een enkele centrale is een aantal honderden MW tot +- een GW .
Het wegvallen van groot-Amsterdam niet zo lang geleden zal zeker ook in die orde zitten .

- alleen dat is het in één keer wegvallen van een forse belasting.
Met een beetje resonantie gaan dingen stuk van een veel kleinere kracht dan die waarmee ze in één keer kapot zijn.


Ik schreef niet voor niets dat er op verschillende tijdschalen verschillende buffers zijn.
Op de kleinste tijdschaal (subseconde tot aantal seconden) is er alleen de traagheid van de gezamelijke generatoren - en die buffer is heel erg klein in verhouding tot het totale vermogen.

Gewoon schrijven over dat al die zaken die zo nodig van de fabrikant aan internet moeten hangen, beter beveiligd moeten worden, dat levert toch vaak de wedervraag "waarom dan?" Op. Dus verzin je een goede FUD en dan gaan weer een heel stel wijsneuzen uitleggen dat dat echt geen groot risico is. Zucht.

Hoe krijg je fabrikanten zo ver om hun spullen goed te beveiligen of niet uit te leveren met brakke internetkoppelingen? Door consumenten kritisch te maken maar dan moet je wel iets hebben om risico mee uit te leggen.

Komen jullie eens met iets beters dan: waarom is het erg als alles maar IoT uitgeleverd wordt zonder fatsoenlijke beveiliging? En hoe overtuig je consumenten dat ze hun eigen lan goed moeten beveiligen en alle gekochte apparaten geen "phone home" moeten toestaan, als ze daardoor die fancy app van de fabrikant (die zo mooi contac legt met een brak beveiligde website) niet kunnen gebruiken?

Leveranciers die backdoor accounts installeren op apparaten die ze vervolgens breed uitrollen... Tsja... moeten die niet ook op de vingers getikt worden wegens leveren van onveilige producten cq. facilitatie van .....