隨著工業設備如空氣壓縮機等開始連網，製造業的運營便利性帶來了嚴重的網路安全風險。喬治梅森大學研究人員針對
California Air Tools CAT-10020SMHAD 智慧空氣壓縮機進行的安全分析，揭露了從硬式編碼密碼到未經驗證的應用程式介面（API）控制等一連串關鍵漏洞。這些缺陷源於
供應鏈的碎片化，導致沒有任何單一實體對網路安全承擔最終責任。由於壓縮空氣是製造業的「第四大公用設施」，任何中斷或篡改都可能導致生產中斷、設備損壞，甚至危及工人安全。本報告將詳細闡述這些漏洞的技術細節、供應鏈結構性缺陷，以及業界應如何轉向「安全設計」原則，以應對迫在眉睫的監管要求，例如歐盟的《網路韌性法案》（CRA）。
工業連網設備：從工具到攻擊面
承包商和車間通常依靠空氣壓縮機為其工具提供動力並維持專案運作，但當這些壓縮機連接到網路時，便利性可能會帶來新的風險。
California Air Tools CAT-10020SMHAD 型號包括一個名為 MDR2i 的無線控制器，操作員可以透過 Wi-Fi監控壓力和控制壓縮機，並透過 Web 介面安裝韌體更新。 ，與電力、水和天然氣並列，它為製冷、氣力輸送和發電提供動力。
由於壓縮空氣支援安全敏感的操作，任何中斷或篡改都可能導致生產線中斷、氣動煞車失靈或壓力失控，損壞設備並危及工人安全。 該型號代表了一類結合機械可靠性與數位控制的工業連網設備 (IIoT)，其安全性問題對工業控制系統 (ICS) 構成直接威脅。
壓縮空氣通常被稱為製造業的第四大公用設施 智慧壓縮機的核心技術漏洞解析
研究人員假設攻擊者擁有有限資源但具備本地網路存取權限，且無需實體接觸設備。分析遵循 ISA/IEC 62443 和 NIST SP 800-82 等工業控制系統標準進行威脅建模，重點在於維持供氣可用性、數據完整性、控制命令的機密性和真實性。
1. 網路存取與弱身份驗證機制
研究人員發現了 MDR2i 控制器的一系列網路層級缺陷：
- 硬式編碼密碼：在 Wi-Fi 存取點模式下，控制器使用說明書中印製的硬式編碼密碼「CATMDR2i」，且該密碼無法更改。一旦連接，攻擊者無需進一步身份驗證即可存取 Web 介面。
- 明文傳輸：在站點模式下，Web 控制台使用純 HTTP，導致憑證和控制命令以明文形式傳輸。同網路上任何設備都能輕易攔截或修改流量。
- 弱存取控制：Web 介面包含操作員 (Operator)、製造商 (Manufacturer) 和 CPC 三種角色，但皆依賴共享的硬式編碼四位數 PIN 碼。由於登入頁面缺乏失敗嘗試限制，研究人員可在數秒內透過暴力破解繞過 PIN 碼。
2. 未經身份驗證的運營控制
更嚴重的漏洞存在於 Web API 層面。研究人員證實，攻擊者可以
未經身份驗證直接發送 HTTP 請求來啟動或停止壓縮機、更改壓力閾值或觸發重新啟動。這些操作無需有效憑證，使攻擊者能夠完全控制壓縮機的運作狀態。
3. 攻擊帶來的實際營運影響
研究團隊測量了這些未經身份驗證的攻擊端點所帶來的影響：
- 服務阻斷攻擊 (DoS)：重複發送重置命令，迫使壓縮機進入無休止的重新啟動循環。
- 營運中斷：修改壓力閾值，使壓縮機永遠不會啟動。 這兩種攻擊都導致測試單元中的氣動執行器停止工作，模擬的生產過程被迫中斷。
4. 數據完整性破壞
攻擊者還能透過操縱校準和零點設定，使壓縮機報告
錯誤的壓力讀數。數位監控螢幕顯示壓力穩定，但實體指針卻顯示不同的情況。這種數據不匹配可能導致自動化系統錯誤判斷流程狀態，進而
損壞設備或產生缺陷產品。
供應鏈碎片化：漏洞的根本原因
喬治梅森大學的研究人員發現，加州空氣工具公司(California Air Tools) 的 CAT-10020SMHAD 智慧空氣壓縮機存在一系列安全漏洞，攻擊者可能利用這些漏洞中斷其運作或篡改使用資料。研究人員將這些漏洞追溯到該設備的製造方式。 該設備由多家公司生產的零件組裝而成：一家專注於壓縮機硬件，一家專注於控制器電子元件，還有一家專注於配電。
每家公司都各自負責各自的領域，但沒有一家公司真正負責網路安全。 漏洞報告揭露了
供應鏈的碎片化。電子郵件和電話在公司之間來回傳遞，而且沒有專門的安全聯絡人。
延遲表示協調不力會拖慢漏洞回應的速度。研究人員指出了導致此類弱點出現的五個主要缺陷：
- 採購文件很少定義網路安全要求。
- 專業知識分佈在具有不同優先事項的組織中。
- 安全責任不明確。
- 資訊揭露溝通管道不暢。
- 發布新連網產品的市場壓力通常會壓縮測試時間。
實施安全設計原則與法規展望
為防止類似攻擊，研究團隊提出了遵循既定工業網路安全原則的建議，這些原則在高成本的 IIoT 設備中通常會被實施，但在低成本設備中常被忽略：
- 唯一憑證：每台壓縮機應配備唯一憑證，並強制用戶在初次使用時更改。
- 網路安全協定：Web 介面必須使用 HTTPS 來保護流量。
- 強制身份驗證：所有修改設備狀態的 API 呼叫必須要求身份驗證，並強制執行使用者權限。
- 韌體安全：韌體更新應包括加密簽名檢查，理想情況下應使用基於硬體的信任元素來防止篡改。
- 功能隔離：應將啟動/停止等控制功能與感測器校準等維護功能分開，不應共用相同的網路通道。
該研究也將這些問題與新興法規連結起來，歐盟的《網路韌性法案，CRA》將於2027年生效，該法案將要求採取該報告建議的控制措施。在此之前，製造商有責任自願採用安全設計原則。 CRA將要求製造商在整個產品生命週期中解決網路安全風險，從根本上推動工業連網設備的安全性轉型。在法規生效之前，製造商必須積極主動地將「安全設計」（Secure-by-Design）原則融入產品開發流程，以確保工業控制系統的穩定性與安全性。
資料來源：https://www.helpnetsecurity.com/2025/10/28/smart-air-compressor-risks-vulnerabilities/