Robot manipolati da una rete di fabbrica: la falla TSN che sgretola la sincronizzazione

Una falla nel protocollo del tempo reale

Una ricerca presentata da Nozomi Networks al Black Hat USA di quest'anno mostra che debolezze nei protocolli Time-Sensitive Networking (TSN) possono essere sfruttate per modificare ogni variabile di processo di una rete TSN. Il lavoro, condotto dal senior security researcher Luca Cremona, ha dimostrato come controllare bracci robotici e alterare i clock di sincronizzazione OT.

Il protocollo analizzato è CC-Link IE TSN, un'implementazione TSN sviluppata da Mitsubishi Electric e tra le più diffuse nell'automazione industriale. La falla è stata segnalata in un advisory CISA del 30 luglio 2026, identificato come ICSA-26-211-07. Mitsubishi Electric ha completato l'acquisizione di Nozomi Networks nel gennaio 2026, con un'operazione da circa un miliardo di dollari. Nozomi opera come controllata interamente posseduta ma indipendente, con una roadmap vendor-neutral.

Né la ricerca né l'advisory indicano una versione specifica del protocollo: la debolezza risiede nel protocollo stesso. Per gli switch TSN Phoenix Contact coinvolti in una seconda serie di vulnerabilità, i modelli esatti non sono stati elencati pubblicamente.

La precisione del TSN e la somiglianza con GOOSE

Il TSN è una famiglia di protocolli di temporizzazione relativamente nuova, nata come insieme di emendamenti alle specifiche IEEE per il bridging. L'obiettivo è fornire comunicazione deterministica su Ethernet standard nell'automazione industriale. Il problema che risolve è critico: quando i segnali di sicurezza OT e i messaggi di controllo sincronizzato condividono la stessa infrastruttura Ethernet con il traffico IT best-effort, le collisioni possono causare arresti non pianificati con conseguenze fisiche negli impianti.

I messaggi critici devono essere consegnati entro microsecondi tra controller e dispositivi di campo. Se non arrivano in tempo, i watchdog timer scattano e le macchine vanno in arresto protettivo. Il TSN assegna priorità assoluta ai flussi più critici, come i segnali dei pulsanti di emergenza, che devono transitare a ogni costo anche quando la rete è congestionata.

Durante l'analisi, Cremona ha notato una somiglianza tra CC-Link IE TSN e il protocollo GOOSE, usato nella distribuzione energetica e noto per problemi di sequenziamento temporale prevedibile. Riproducendo tecniche di attacco già impiegate contro GOOSE, il team ha eseguito il reverse engineering del comportamento di sincronizzazione di CC-Link IE TSN. È riuscito a prevedere valori validi e a manipolare i segnali I/O ciclici.

L'iniezione di frame nello slot temporale giusto

La vulnerabilità consente di iniettare frame appositamente costruiti nello slot temporale corretto, facendoli accettare come comunicazioni pianificate legittime. Per sfruttarla serve accesso alla rete TSN, normalmente non esposta all'esterno. Da qui il team ha sottoposto a stress test gli switch TSN Phoenix Contact, scoprendo bug che permettono di raggiungere la porta di processo dall'interfaccia di gestione remota utilizzata dagli ingegneri.

L'ingresso più importante è l'interfaccia di gestione dello switch TSN. Può essere esposta su una rete più ampia o raggiunta da un dispositivo falso o manomesso vicino alla rete. Una volta ottenuto l'accesso a tale interfaccia e se lo switch è vulnerabile, l'attaccante ha il controllo. Sebbene CC-Link IE TSN disponga di un modello di sicurezza e di protezione crittografica opzionale dei dati utente, le carenze nelle difese di Livello 2 offrono un percorso più semplice per iniettare traffico nel flusso di comunicazione.

Conseguenze fisiche: robot, pinze e derive silenziose

L'impatto va oltre la lettura dei dati. La ricerca dimostra la possibilità di modificare ogni variabile di processo nella rete TSN. Lo scenario più impattante mostrato prevede l'avvio e l'arresto di bracci robotici, l'apertura delle pinze e la caduta di oggetti trasportati.

Ci sono poi attacchi silenziosi. L'alterazione subdola dei clock di sincronizzazione OT può introdurre piccoli scostamenti quasi impercettibili. Gli effetti sulla pianificazione dei processi si manifestano solo dopo un certo tempo e rendono difficile risalire al momento dell'attacco. Le conseguenze fisiche negli impianti industriali includono arresti improvvisi, manomissione di processi critici per la sicurezza e perdita di controllo sui macchinari.

Difese e remediation: cosa fare adesso

Nell'immediato, la raccomandazione è mantenere aggiornato il firmware di tutti i dispositivi di rete OT. Per le falle dell'interfaccia di gestione degli switch Phoenix Contact TSN è già disponibile una patch firmware. La segmentazione di rete resta la difesa più efficace allo stato attuale: le reti TSN vanno tenute ben separate, impedendo agli attaccanti di saltare da una rete all'altra senza le corrette autorizzazioni.

Nozomi sta collaborando con la casa madre Mitsubishi Electric per una remediation a lungo termine della debolezza TSN sottostante. Si sta valutando l'aggiunta di primitive crittografiche per proteggere la rete e dimostrare che i messaggi provengono dal mittente corretto. La sfida è la tensione tra prestazioni e sicurezza: aggiungere crittografia a un sistema che richiede una precisione temporale inferiore al microsecondo è complesso, ma i primi test indicano che la soluzione crittografica proposta è fattibile.

La ricerca è limitata a un singolo protocollo TSN, ma viene considerata un punto di partenza per l'industria. L'obiettivo è analizzare le debolezze di altri protocolli che si basano sulle primitive TSN. La sessione registrata del Black Hat resta disponibile on-demand per i partecipanti fino al 14 settembre.