Розшифровуйте це: як файли cookie зламали маршрутизатори для всіх нас - Обчислення - 2019

Anonim

Минулого тижня я дав вам перший смак до дикого світу безпеки домашнього маршрутизатора.

У доповіді я пояснив декілька причин, чому, навіть через три десятиліття, виробники роутерів продовжують боротися за підтримку хакерів, зберігаючи особисту, професійну та фінансову інформацію своїх клієнтів, не завдаючи шкоди.

Тепер, як обіцяли, я повернувся на цьому тижні з двома діями. Я занурюся в першу чергу, чому навіть після того, як багато часу на ринку, наше домашнє мережеве обладнання все ще відстає від кривої дзвінка, коли мова йде про захист даних, які ви маєте найдорожчими.

Це ваш праймер, де безпека маршрутизатора зараз є найслабшою, і де вона може вистояти, щоб найбільше покращуватись на шляху вперед.

Скорочення достатньо

По-перше, я почну з dishing з декількох умов, які середній читач може бути в змозі розпізнати, не перш за все вийти зі словника.

WEP, WPA, WPA2, WPA-KLMNOP.

Якщо ви можете вибрати той, який я склав, вітаю, ви вже на півдорозі через свою освіту з різних стилів захисту, які маршрутизатори можуть розгорнути, щоб забезпечити бездротовий сигнал локально мовлення.

Невід'ємна проблема, пов'язана з нашою залежністю від цих стандартів шифрування, полягає в тому, що вона є настільки ж сильною, як і сама по собі, і в той час як вони стосуються лише погроз, які атакують вашу бездротову мережу, і не багато іншого.

Шифрування Wi-Fi захищає ваші дані в ефірі, але нічого не робить для недоліків безпеки в прошивці маршрутизатора.

Звичайно, якщо один з ваших сусідів намагається вигнати ваш сигнал Wi-Fi з сусідніх дверей, WPA2 - це чудовий спосіб зберегти вашу мережу під блокуванням та ключем. Завдяки 256-бітному шифруванню AES, це займе багато років, перш ніж стандартний комп'ютер може пройти через милі від розбиття пароля доступу до бездротового доступу.

Але навіть досі протокол AES не враховує хакерів, які можуть намагатися зануритись по проводах, зазвичай через отвори, відкриті в універсальних службах Plug n Play, автентифікація WPS (одноразове натискання кнопки входу на ваш маршрутизатор) ), або Протокол адміністрування домашньої мережі (HNAP). Перші два, настільки пронизані вразливими елементами, займуть статтю, присвячену кожному, для повного переліку завдань, але останнім є те, де речі дійсно починають йти з рейок.

Протокол HNAP призначений для надання вам або вашому провайдерові доступу до веб-інструментів конфігурації маршрутизатора, зазвичай через веб-переглядач або файлову систему вашого комп'ютера. Ви, напевно, впізнаєте його найкращим, як підказку, що запитує ваше ім'я користувача та пароль, коли ви вводите "192.0.168.1" (або деякі варіанти цих цифр у них) у адресний рядок.

Згідно з дослідженням, опублікованим в 2014 році компанією Tripwire, приблизно 80 відсотків користувачів не змінюють ці облікові дані з комбінації за умовчанням, що вони спочатку доставляли. Це робить надзвичайно простим для хакерів втрутитися в основу внутрішньої роботи маршрутизатора, використовуючи привілеї віддаленого адміністрування, як правило, без необхідності робити щось більше, ніж вводити "адміністратор" і "пароль" в очікуванні порожніх полів.

Звідси ваш маршрутизатор - і все, що він повинен захистити - це відкритий сезон для кримінальних організацій та їх фінансово мотивованих капризів. І хоча це не може бути виною самих виробників роутерів (існує лише така компанія, яка може зробити для захисту клієнта від себе), ви дізнаєтесь у наступному розділі, де вони випали м'яч так само жорстко, як решта нас.

"Фірма" - сильне слово

Як випливає з назви, вбудоване програмне забезпечення аналогічне програмному забезпеченню, за винятком того, що це стосується інструментів, що відповідають за роботу внутрішньої частини апаратного забезпечення, а не підтримують будь-які програми або програми, встановлені на вершині самої системи.

Кожен ваш маршрутизатор володіє версією прошивки, яка працює під час показу за сценою, і її можна легко розпізнати у візуальному форматі, як веб-додаток, який відкривається у будь-який час, коли ви отримуєте доступ до входу HNAP.

Тут все, від окремих дозволів на перенаправлення портів до батьківського контролю, можна налаштувати та налаштовувати відповідно до індивідуальних параметрів користувача, включаючи можливість включення (або відключення) віддаленого адміністрування взагалі.

Теоретично включення прошивки чудово самостійно, необхідно навіть. Проте виникає проблема, коли виробники цих пристроїв вирішують поширювати ризик інфікування, зупиняючи разом об'єднання десятків різних модулів у один фрагмент прошивки Франкенштейнів, замість розробки індивідуальних навантажень, пристосованих до кожної нової моделі та моделі самостійно .

Недоліки цього підходу, нарешті, з'явилися наприкінці 2014 року, коли світ був ознайомлений з нещасною печива. Помилка, що понад 200 окремих моделей маршрутизаторів піддаються ризику з тієї ж експлуатації, через практику кросоверування прошивки між багатьма найпопулярнішими моделями у бізнесі. Всього було сказано, що 12 мільйонів домогосподарств були піддані капризам бюлетеня CVE-2014-9222, які на сьогоднішній день були виправлені лише приблизно 300 000 активно розгорнутими маршрутизаторами.

І найгірша частина? Дослідники, програмісти та виробники знали про цю проблему ще з 2002 року . Навіть тоді, це зайняло три роки, перш ніж робочий виправлення могло бути застосоване в глобальному масштабі.

Щось, що можна було донести до пари рядків коду, натомість залишилося, щоб інші ми зрозуміли самі по собі, а Cookie "Нещастя" - це лише один із сотень нових вразливостей, які публікуються на панелях загрози по всьому світу кожен рік

Що ще гірше, це тільки те, що відбувається, коли один помилка впливає на сотні різних моделей маршрутизаторів відразу. Що ми будемо робити, коли левова частка користувачів підключена до того ж маршрутизатора / модему комбо, просто тому, що їх інтернет-провайдер сказав їм, що потенційні заощадження занадто добре, щоб пройти?

Одна з натовпу

Проблеми, подібні до того, що трапилось з "Нещасною печива", ще більше ускладнюються тим фактом, що сьогодні, як ніколи раніше, споживачі відмовляються від покупки власних маршрутизаторів і, замість цього, обирають будь-яку унікальну коробку, яку їх постачальник послуг Інтернету надає їм в оренду - на місяць.

З посиленням однорідності на ринку посилюється ризик, тому що тепер, замість того, щоб хакери постійно оновлювали і переробляли свої вбудовані програмні уламки для найновіших моделей, що випускаються щомісяця, замість цього вони можуть просто використовувати широкі атаки, які автоматично впливають на мільйони концентраторів одночасно .

Зображення кредиту: Amazon

Поєднуючи маршрутизатор і модем в один (що називається "Інтернет-шлюз"), інтернет-провайдери роблять своїх клієнтів більш вразливими. Ці ворота зроблені невеликими контрактними компаніями, які тільки нещодавно почали створювати мережеве обладнання в промисловому масштабі, проте споживачі замикають свої пристрої за невеликою кількістю, не дивлячись на другий погляд на фірмову назву в нижній частині коробки.

Простота у квадраті

І саме тут стає очевидним ядро ​​проблеми: свідомість споживачів. Причини таких брендів як Apple так добре, тому що навіть найменш технологічно освічена людина у світі може з'ясувати, як користуватися IPad за кілька хвилин вільного часу … але маршрутизатори - це не iPads.

Маршрутизатори є складними, глибоко заплутаними апаратами за самою природою їх дизайну. Пристрої, які потребують, принаймні, елементарного розуміння мереж, щоб лише потрапити в першу чергу, не кажучи вже про те, щоб змінити будь-які параметри, які залишають користувачів відкритими для найбільших загроз, які страждає Інтернет.

Виробники маршрутизаторів повинні налаштувати свій апаратне забезпечення так само просто, як публікація в Instagram.

Якщо виробники не зможуть піднятися на планшет і дізнатись, як зробити процес правильного налаштування маршрутизатора для оптимальної безпеки так само просто, як публікація фотографії в Instagram, ці проблеми залишаться незмінними на сучасній сцені бою в галузі безпеки мережі.

У фіналі наступного тижня я збираюся розглянути можливі рішення, які можуть бути там, що стосуються проблем, викладених у перших двох діях, і навіть зробити так, щоб зробити кілька прогнозів, якщо нам все одно потрібні ці пластикові пластиліни наш дім у майбутньому, як стандарт безпеки продовжує змінюватися і розвиватися на шляху вперед.