Fizikai Szemle honlap |
Tartalomjegyzék |
Cserháti András
Paksi Atomerőmű Zrt. Kapacitásbővítési Igazgatóság
Az elmúlt háromnegyed évben - egyre inkább - a legkifinomultabb számítógépes vírusnak, jelentős biztonságpolitikai eseménynek, sőt korszakhatárnak bizonyult a Stuxnet nevű kártevő. Felfedezését követően heteken belül kiderült, hogy főleg ázsiai ipari alkalmazásokra irányul. A visszafejtő munka haladásával már mind több jel mutatta, hogy Irán nukleáris infrastruktúrája ellen hozták létre. 2010 végére már egyértelmű lett, hogy urándúsítók gázcentrifugáinak tönkretételére és a dúsítás hatékonyságának lerontására készítették.
Ilyen összetett, folyamatszabályozó rendszerekbe álcázva behatoló vírust eddig még soha nem vetettek be. Ezért egészen biztos, hogy nem egy-két hacker,1 hanem hatalmas állami ráfordítás hozta létre. Eleinte csak a víruskutatók, idővel már a számítógépes hadviselés szakértői is megnyilvánultak az ügy kapcsán, de a történetre hamar rátalált a (bulvár)média is. Sajnos sem a szakértők, sem a laikus sajtó nem nagyon tudott vagy nem is nagyon akart különbséget tenni a perzsa urándúsítók és az indítás előtt álló atomerőmű közt. Sokuknak egyszerűbb és hatásosabb volt mindent összemosni és új Csernobilt vizionálni. Ideje tehát, hogy a nukleáris oldal is hallassa hangját, ezért készült jelen cikk.
Stuxnet olyan különleges számítógépes féreg [1-6], amely MS Windows operációs rendszert futtató gépeket fertőz, és azokon terjed, de hatását végső soron ipari folyamatirányító rendszereken keresztül fejti ki. Támadja a folyamatok felügyeleti irányítását és adatgyűjtését (SCADA2), és nem csak kémkedik a célzott ipari rendszer után, hanem át is programozza azt. Az első olyan kártevő, amely programozható logikai vezérlők (PLC3) rootkitje,4 azaz rejtett, privilegizált módon fér hozzájuk, aláaknázva rajtuk a szabványos operációs rendszer vagy más alkalmazás működését. A Stuxnet kivételes képességei ezen túl egyetlen gyártó termékeire összpontosulnak: a Siemens cég - főleg vegyipar, energiatermelés, szállítás területén használatos - eszközeire (WinCC HMI, illetve STEP7).
Egy sor vírustechnológiai különlegességet is rejt magában a kártevő. Mivel ezt 2010 őszén a vezető informatikai biztonsági cégek elég részletesen kivesézték, csak összefoglalom:
Windows réteg
WinCC/Step7 réteg 6
PLC réteg
A vírus a Siemens Simatic S7 PLC sorozatának (1. ábra) következő típusait használja [1]:
A vírus a PLC-ken bizonyos konkrét ipari eszközök, nevezetesen nagy sebességű motorok frekvenciaátalakítói után kutat, és csak akkor lép akcióba, ha a finn Vacon és iráni Fararo Paya készülékeire talál, valamint a felügyelt eszköz 807 és 1210 Hz között működik.
Ilyen frekvenciaátalakítók és motorok szinte kizárólag az iráni urándúsítókban használatosak. A továbbiak megértéséhez tekintsük át először általában a gázcentrifugákat, majd iráni alkalmazásukat.
Ismert, hogy a bányászott természetes uránban a hasadó izotóp (235U) aránya mintegy 0,7%. Energetikai reaktorok üzemanyagához 3-5% körüli, a kutatóreaktorokéhoz nagyobb, újabban jellemzően 20% alatti hasadó képes hányadra van szükség. Atomfegyver készítéséhez ugyanakkor legalább 20%-ra, ideális esetben több mint 90%-ra kell dúsítani az 235U izotópot.
A dúsítás egyik lehetséges módszere gázcentrifuga alkalmazása [7-9]. A centrifuga pár méter magas, karcsú, álló hengeres ház, amelyben szinte súrlódásmentes környezetben, nagy sebességgel forog egy ugyancsak hengeres, belül üreges rotor (2. ábra). Az uránt gáz halmazállapotban, urán-hexafluorid (UF6) formában vezetik be a rotorba. A gáz a rotor falától gyors forgásba jön. A centrifugális erő a nehezebb uránizotópot (238U) kifelé hajtja, míg a könnyebb 235U középen, a tengely mellett dúsul fel. Kis terelő lemezekkel vagy a rotor alsó, külső melegítésével emellett még lassú függőleges áramlást is létrehozhatnak úgy, hogy a gáz belül felfelé, kívül lefelé áramlik. Így a rotor aljára lenyúló csöveken át a szélekről kiszívott gázban valamivel kisebb, míg felső csöveken középről kiszívott gázban pedig valamivel nagyobb az 235U aránya, mint a beadott összetételben [4, 7].
A fordulatszám és sebesség érzékeltetéséhez néhány szám. Egy átlagos utcai autó motorjának alapjárati fordulatszáma 1000 fordulat/perc alatti, üzemben 2000-4000 körüli (persze egy F1 versenyautót ennek akár hatszorosára, 18000-re is felpörgetnek). Az erőművi turbinák fordulatszáma Európában zömmel 3000 fordulat/perc, ami pontosan 50 Hz frekvenciát jelent. Ennél a korai gázcentrifugák is húsz-huszonötször gyorsabbak, 800-1200 Hz a frekvenciájuk. A rotor falának kerületi sebessége legalább 300 m/s nagyságrendjébe esik (hangsebesség).
A kis súrlódás a ház vákuumozásával és a rotor mágneses csapágyazásával érhető el, forgás közben érintkezés a tengelycsap és a csapágyház között gyakorlatilag nincs. A rotor anyaga az egyszerűbb modelleknél alumínium, de idővel egyre inkább acélra, sőt szénszálas kompozitokra állnak át. Annál hatékonyabb az izotópszeparáció, minél gyorsabban forog és minél hosszabb a rotor. A sebességnek a rotor szilárdsága, a hossznak a vibrációk különféle felharmonikusainak növekedése szab határt. A forgás közben a sajátfrekvenciák körül rezonanciajelenségek léphetnek fel. Ezeken a kritikus sebességeken a gyorsuló vagy lassuló rotort hamar át kell juttatni, illetve a csapágyak lengéscsillapításának beállításával a rendszert el kell hangolni. Eleinte a kritikus fölötti sebességre tervezett, úgynevezett szuperkritikus modelleket fejlesztettek, viszont az újabbaknak úgy optimalizálták anyagát, hosszát és csapágyait, hogy még nagyon nagy sebességen is szubkritikusak lehetnek [7-9].
Az irániak által használt centrifugák sajátos terjedési és fejlődési láncon keresztül kerültek az országba.
1945-1956 során német hadifogolyként 60 fős csapata élén az osztrák Gernot Zippe tökéletesítette a szovjet gázcentrifugákat, az egyik kifinomult típus máig az ő nevét viseli. Miután hazakerült a hadifogságból, meg- lepődve realizálta: műszaki színvonaluk a nyugati világét meghaladta. Emlékezetből felidézte, majd szabadalmaztatta a megoldásokat. Amerikai csábításra egy ideig Virginiában dolgozott, de rövidesen visszatért Európába, és további fejlesztéseket végzett, új projektekben vett részt. Terveit az európai energetikai reaktorok nukleáris üzemanyagának gyártásában, az Urenco csoport hollandiai telepén is alkalmazták.
A hetvenes években az Urencónak bedolgozó egyik amszterdami K+F intézetben nagy szilárdságú anyagokat tanulmányozott a pakisztáni Abdul Qadeer Khan mérnök és anyagtudós. Úgy került közel a centrifugákhoz, hogy intézete ötvözeteit azok rotorjaiban is használták és a sok nyelvet jól beszélő Khant bevonták centrifugatervek fordításába. Khan a tudással hazatérve a pakisztáni atomfegyverprogram kulcsfigurája lett. Az irányításával a nyolcvanas évek elején kifejlesztett Pak-1 vagy P-1 jelű centrifugák nem csak a pakisztáni uránbombákhoz vezettek el, hanem feketepiaci hálózatán a kilencvenes évek közepén egyebek közt Iránba és Líbiába is eljutottak [4].
Irán dúsító kapacitását Natanz közelében alakították ki. A natanzi telep legfontosabb elemeit igyekeztek légitámadásoktól minél jobban megvédeni. Az összesen mintegy 100 ezer m2 területű üzemcsarnokokat eleve 8 m-rel a felszín alá rejtették, és 2,5 m vastag vasbetonfödémmel látták el. 2004-ben még tovább vastagították a betont, majd arra további 22 m magasan földtakarást hordtak. Egy kísérleti és egy teljes léptékű üzem is kiépült. Létezésüket 2003-ban ismerték el az irániak, ekkor töltöttek fel urán-hexafluoriddal egy 10, majd 164 centrifugát tartalmazó kaszkádot. 2009-ben már körülbelül 8000 centrifuga volt beépítve, és ebből már 5000 működött Natanzban. Ugyanebben az évben Irán nyilvánosságra hozta, hogy további félüzemi gázcentrifugás urándúsítót létesített Qom közelében (a hasonlóan védett utóbbi létesítményt az elemzők Fordow néven is említik).
A pakisztáni P-1 centrifuga iráni változatának a külvilág által adott neve IR-1, míg a további modernebb sorozatoké IR-2, IR-3 stb. Az IR-1 még alumínium rotoros hosszú szerkezet, szuperkritikus sebességű. Az IR-2 szénszálas rotorja már nagy szilárdságú és csak mintegy fél méteres, így 450 m/s szubkritikus kerületi sebességen üzemeltethető. A hasonlóan rövid, szintén kompozit rotoros IR-3 prototípus pedig még gyorsabb: kerületi sebessége ugyan 600 m/s, de még így is szubkritikusan forog [4, 8].
A natanzi IR-1 és IR-2 centrifugákról a legtöbb képi információt Mahmud Ahmedinezsád 2008. áprilisi látogatása (3. ábra) kapcsán hozták nyilvánosságra [10]. A több tucatnyi fotó ma is letölthető az elnöki honlapról, amatőr és profi analízisek aranybányájaként.
Az iráni atomfegyverkezést kutató civil tudósok, egyetemi és katonai szakértők valamint a Nemzetközi Atomenergia Ügynökség felügyelői évek óta elemzik a békés célúnak mondott dúsító kapacitások hirtelen hadicélú átállításának lehetséges forgatókönyveit.7 Vizsgálják, hogy az ismert létesítmények, kaszkádok, centrifugatípusok mellett milyen gyors az átállás, és mennyi idő kell egy-két uránbomba anyagának elkészítéséhez. Az alap forgatókönyv a békés: természetes uránból alacsony dúsítású reaktor-üzemanyag előállítása. Továbbiak: a természetes uránból vagy a már felgyűlt alacsony dúsítású uránból magasan dúsított urán, mint bombaalapanyag. Azt is értékelik, hogy mennyire észrevehető a felügyelőknek, hírszerzésnek az átállás, és például a Natanzból Fordowba vagy esetleg más még ismeretlen létesítménybe való átszállítások [8, 9].
Mivel a dúsítás mértéke egy centrifugában csekély, sokat (több százat) kell csövekkel egymás után kapcsolni, azaz kaszkádba rendezni. Az 235U aránya így centrifugáról centrifugára, fokozatosan növekszik a kívánt szintre. A kapcsolat továbbá nem csak előre menő (amikor a kissé dúsított gázt a következő fokozat centrifugájába vezetik), hanem visszamenő is (a szegényített gáz visszakerül az előző fokozat centrifugájába). A kaszkád tehát egy sok oda/visszacsatolással rendelkező hálózat. Még jobban bonyolítja e hálózatot, hogy nem csak sorosan, egyesével fűzik fel a centrifugákat, hanem az egymás utáni fokozatok több párhuzamosan kötött centrifugából is állhatnak. A soros kapcsolás a dúsítás mértékét (minőség) növeli, míg a párhuzamos a kapott anyagot (mennyiség). A fokozatokon belüli centrifugaszámok alkalmas kiválasztásával javítható a kihozatal. Más az optimális kapcsolás alacsonyabb és magasabb dúsítások esetén.
Még Pakisztánban, de később Iránban is a centrifugákat 164 elemű, 15 fokozatú kaszkádokba rendezték, amit egy iráni vezető tv-nyilatkozata is megerősített. Analitikus számításokkal kimutatható, hogy ebben az esetben ideális dúsítási teljesítmény akkor érhető el, ha a 4. ábra szerinti elrendezést követik (rendre 6, 12, 17, 21, 24, 20, 16, 13, 10, 8, 6, 5, 3, 2, 1 centrifuga tartozik egy fokozatba). A legtöbb centrifuga az ötödik fokozatban található, itt történik a kiinduló gáz bevezetése a kaszkádba [2, 8].
Jelentősen egyszerűsített leírás: lényegében öt szakaszt váltogat ciklikusan, ebből leghosszabb a kiváró (13-90 nap), a többi órás nagyságrendű. A rongáló szakasz során - miközben a kezelőknek a korábban felvett normál üzemi paramétereket mutatja - felpörgeti 1410 Hz-re, majd lelassítja 2 Hz-re a centrifugát (majdnem törésig viszi a rotort, átlépteti a kritikus fordulatszámon, illetve hagyja az addig szeparált UF6 újbóli összekeveredését), ezután visszaáll a névleges frekvenciára [1]. A cél a centrifuga fokozatos, észrevétlen tönkretétele és a dúsítási folyamat megzavarása.
E fontos kérdésben a mértékadó álláspontok az elmúlt év végére eléggé módosultak. Ragadjunk ki a továbbiakban Langner blogjából [2] néhány részletet:
2010-11-13
Míg a 315-ös támadó kódról már eléggé kiderült feladata, a 417-es támadó kód kapcsán ezt egyelőre csak találgatni lehet. Két lehetséges irány:
Langner akkor nagyobb esélyt adott a második iránynak. A kézenfekvő objektumot pedig a Bushehri Atommerőműben, annak nagy turbinájában (lásd alább az apró betűs részt) vélte megtalálni, kezdettől elhárítva a reaktor és primerköri rendszerek támadására irányuló találgatásokat. Nyomozása szerint a turbina a vezérlőkön keresztül elvileg többféle módon megrongálható. Túlpörgethető teljes gőzáram mellett a generátor terhelésének hirtelen ledobásával, vagy rezgésbe vihető a kritikus fordulatszám-tartományban. Ha a turbinának a szabályozásán kívül netán a védelme is be van integrálva a 417-es PLC-be, akkor ez szinte biztosan megtehető. Még akkor is, ha a rendszer - esetleg - több azonos redundáns elemből épül fel, hiszen mindet közös módon támadja a féreg.
A K-1000-60/3000-3 típusú orosz turbinát az LMZ (Leningrádszkij Metallicseszkij Zavod) gyártotta. A nagy múltú szentpétervári energetikai gépgyár 2000-ben sorolt be hat további nehézipari céggel a Szilmas (Szilovije Masini) konglomerátumba, amelynek tulajdonosai közt a Siemens is 25%-kal szerepel.
A generátoron 1014 MW villamos teljesítményt leadó, 5,88 MPa (~60 bar) nyomású gőzt nyelő és percenként 3000 fordulatú turbina - ahogy az 5. ábrán is látható - egy kettős kiömlésű nagynyomású és három ugyancsak kettős kiömlésű kisnyomású házból áll. Mindez egy tengelyen, több mint 40 m hosszúságú kivitelben.8
Perzsa kísérőivel végigmászta a konténmentet a reaktorcsarnokkal, elsétált a turbina mellett, járt a blokkvezénylőben. Akkor, másfél éve úgy becsülte, kellhet még egy év az indításhoz ...
Vélelmezhető, hogy a Siemens által résztulajdonolt LMZ turbináit nem a konkurencia vezérlőivel látják el. Több olyan dokumentum fellelhető az interneten, amely szerint a Siemens által vagy tervei alapján gyártott Simatic S7-400 (417) egységeket oroszok atomerőműben is alkalmaznak (a Kalinyini Atomerőmű 3. blokkján létesült digitális mintarendszer több eleme elterjedt más atomerőművekben, így Bushehrben is).
2010-12-27
Langner felfigyelt rá, hogy a 417-es támadó kód egy 164×6-os tömböt kezel. Ebből arra a következtetésre jutott, hogy alighanem a centrifugák védelmét ellátó rendszert bénítja le. A 417-es PLC tehát valószínűleg szelepeket és gázfúvókat vezérel. Ha például alapfunkcióként a rotor egyensúlyhiányát észlelve az urán-hexafluorid gázt gyorsan le kellene ürítenie, de ezt nem hagyja neki a támadó kód, a bennmaradó gáz a rotorok repedéséhez vezethet, ráadásul a centrifuga törése a drága gáz kiömlésével jár.
2010-12-29
417 adatszerkezete = kaszkád struktúra = kárjelentés beszédes című bejegyzés szerint (6. ábra) a támadó kód hatszor hív meg egy szubrutint, amelyen belül egy 164 elemű ciklus van. Mint láttuk, a natanzi IR-1 centrifugák 164 elemű kaszkádokba vannak rendezve. Hat kaszkád 984 centrifuga, közel 1000 gép. Éppen ennyi leállításáról és cseréjéről szóltak a hírek, a képbe beleillő időzítéssel [1]. Nyilván ugyanarra a 417-es fertőzött vezérlőre kapcsolódtak. A két támadó kód így a biztos találat érdekében két lövés, két irányból ugyanarra a célra. A turbina tehát alaptalanul keveredett gyanúba.
Az idei év elejére az is kiderült, hogy a 417-es támadó kód egy további rutinja átrendezi a kaszkádon belül a centrifugák kapcsolását. Szinte tükrözi az ideális elrendezést: a kaszkád elejére kevesebb, a végére több centrifugát tesz. A fokozaton belüli maximális szám ugyan 24 marad, de ez nem az 5. hanem a 10. fokozatban jelenik meg. Ezzel a kívülről nem látható művelettel - hiszen a kezelőnek a korábban, eredeti elrendezés során felvett normál üzemi adatokat mutatja - jelentősen lerontja a dúsítás hatásfokát [2].
2011. január közepén a New York Times cikke független szakérőkre hivatkozva azt sugallta, hogy a vírus megrendelői az amerikai és izraeli titkosszolgálatok. Akarva vagy sem, a német Siemens is érintett lehet, mivel 2008-ban az Idaho National Laboratory szakembereivel együtt tanulmányozták a Siemens SCADA rendszerek sebezhetőségeit és ezek az adatok szivároghattak tovább a CIA, majd a Moszad kezébe. Vélelmezhető az is, hogy Izrael kapott a Khan által Líbiába exportált, majd Moamer Kadhafi atomfegyverről való lemondása után az USA-ba szállított P-1 centrifugákból és azokból a titkos izraeli atomtelepen, Dimonában egy működő mintarendszert épített ki a támadó kódok kipróbálásához, finomításához [11].
A hivatalos Irán máig legfeljebb kisebb zavarokat ismer el a dúsító műveiben, illetve annyit, hogy foglalkoznia kellett vírusfertőzéssel [12]. Az adatok ennél jóval többet mutatnak. A NAÜ vizsgálati anyagok szerint a Natanzban beépített centrifugák száma már 2009 novemberében majdnem 2000-rel esett vissza, és a 2009 augusztusát követő év folyamán csak a centrifugák fele, vagy még annyi sem volt feltöltve UF6-tal [1]. Ma már egyre inkább a vírus okozta problémákhoz kötik Gholam Reza Aghazadeh, az iráni nukleáris csúcsszervezet vezetője 2009. júliusi - akkoriban nehezen érthető - leváltását is. Sokatmondó és ugyancsak súlyos kártételre utal az a 2010. november végi hír, hogy Natanzban az összes 54 kaszkádból 10-et már átkonfiguráltak 174 centrifugásra [13].
A Stuxnet mértékadó vélekedések szerint mintegy két évvel vetette vissza az iráni nukleáris programot, még akkor is, ha az iráni dúsítási kapacitás 2010-ben tovább növekedett. Mindezt zajos katonai csapás, bunkerrobbantó bombák, közvetlen áldozatok és súlyosabb politikai terhek nélkül érte el. Ráadásul az sem kizárt, hogy a féreg eddig fel nem fedezett, így szokványos támadás számára elérhetetlen további objektumokban is pusztított [2, 11].
Ahogy láttuk, fokozatosan egyre több tény, adat bontakozik ki, vélekedés jelenik meg - néha váratlan fordulatokkal - a vírus kapcsán és rajzol ki egyre élesebb, összefüggő képet. A közeli jövőben sem kizártak új információk, meglepetések, de a lényeg már nemigen változik. Talán legjobb megint Langner 2010-es évet záró bejegyzését idézni [2]:
Kiegészítésem az 5. ponthoz: a nukleáris létesítmények, mint a kritikus infrastruktúra elemei szinte biztosan a célkeresztben maradnak. Ez új feladatokat jelent számunkra is.
______________________________
Az írást, amely megjelent a Nukleon internetes folyóirat márciusi
számában a szerző és a főszerkesztő engedélyével közöljük.