(in) Turvaline on iganädalane veerg, mis sukeldub kiiresti eskaleeruvasse küberturvalisuse teemasse.
Mis siis, kui tulete tagasi hotellituppa ja avastate, et teie sülearvuti on kadunud? Mis siis, kui sissetungijast pole jälgegi, sunniviisilist sisenemist ega tõendeid selle kohta, et ruumi üldse siseneti? Turvafirma F-Secure seisis selle küsimuse ees ja nende vastus oli lihtne: uurige välja kuidas et võimatu võimalikuks teha. Uurige, kuidas olla kummitus.
F-Secure teatas sel nädalal et see oli avastanud tohutu haavatavuse, mis mõjutab miljoneid elektroonilisi lukke kogu maailmas. Ärakasutamine võimaldaks kõigil märkamatult hotellituppa siseneda, jätmata jälgi. Istusime maha rünnaku avastanud teadlaste Timo Hirvoneni ja Tomi Tuomineniga, et rääkida sündmused, mis viisid selle avastamiseni ja kuidas see ärakasutamine võis muuta teie järgmise hotellis viibimise palju turvalisemaks.
Üks öö Berliinis
"Lugu saab alguse 2003. aastal, kui osalesime Saksamaal Berliinis häkkerite konverentsil," ütles ettevõtte praktikajuht Tomi Tuominen.
F-Secure. „Kui me hotelli tagasi jõudsime, märkasime, et meie sõbra sülearvuti oli tema hotellitoast varastatud – ja see oli kena hotell. Teatasime töötajatele ja nad ei võtnud meid tõsiselt, sest nad olid logi vaadanud ja seal polnud märki sisenemisest ega sunniviisilisest sisenemisest.“See pani meid mõtlema: kuidas oli võimalik, et keegi suutis hotellituppa siseneda sõna otseses mõttes jälgi jätmata?
See vargus, lisab F-Secure'i vanemturbekonsultant Timo Hirvonen, oli esimene samm kriitilise tähtsusega haavatavus ühes maailma populaarseimas elektroonilises lukusüsteemis — Assa Abloy Vision VingCard lukustuses süsteem.
"Meie sõber tegi tol ajal päris huvitavaid asju, mis oli kindlasti põhjus, miks keegi oma sülearvuti üles tõstis. See pani meid mõtlema, okei, kuidas oli võimalik, et keegi suutis hotellituppa siseneda, jätmata sõna otseses mõttes jälgi? ütles Tuominen.
Järgmised viisteist aastat töötasid Tomi, Timo ja ülejäänud F-Secure'i meeskond selle ärakasutamise kallal kõrvalprojektina. Kuid nad rõhutavad kiiresti, et see polnud niivõrd lahendamatu probleem, mida nad püüdsid lahendada samavõrd kui see oli mõistatus – hobi, millega nad tegelesid rohkem uudishimust kui VingCardi süsteemi murdmise pärast.
"Mõned inimesed mängivad jalgpalli, teised mängivad golfi ja meie lihtsalt teeme... selliseid asju," ütles Tuominen naerdes.
Nagu võite ette kujutada, olid nad pärast nii palju aega ja energiat kulutanud viisi, kuidas VingCardi süsteemi turvalisusest mööda hiilida, vastuse leidmisel vaimustuses. Kuid see ei olnud ainult üks "Aha" hetk, ärakasutamine kogunes tükkideks, kuid kui nad seda proovisid F-Secure'i meeskond teadis esimest korda ja see töötas tõelise hotelliluku puhul, et neil on midagi erilist. käed.
"See oli päris hämmastav, ma olen üsna kindel, et olime kõrged. Väiksemaid õnnestumisi oli ka enne seda, aga siis, kui tükid lõpuks esimest korda kokku said,” rääkis Tuominen. "Kui mõistsime, kuidas muuta see praktiliseks rünnakuks, mis võtab vaid mõne minuti, olime nagu jah, see juhtub. Käisime päris hotellis ja katsetasime seda ning see töötas ja see oli päris vaimustav.
Peamine võti
Olgu, kuidas see rünnak töötab? Noh, F-Secure ei laskunud üksikasjadesse turvakaalutlustel, vaid kuidas see töötab praktikas on – nagu Tuominen ütles – meeleheitev. See algab väikese seadmega, mida igaüks saab võrgust kätte saada, ja kui F-Secure'i meeskond laadib oma püsivara seadet, saavad nad VingCardi süsteemi kasutades siseneda mis tahes hotelli ja neil on peamise võtmega juurdepääs minutit.
“Külalisega saime liftiga sõita, kui külalisel oli võti taskus, saime oma seadmega lugeda võtit läbi tasku. Siis jalutame lihtsalt suvalise ukse juurde ja tavaliselt leiame peavõtme vähem kui minutiga.
"See võtab vaid minuteid. Näiteks saime külalisega sõita liftiga, kui külalisel oli võti taskus, siis saime oma seadmega lugeda võtit läbi tasku. Siis jalutasime lihtsalt suvalise ukse juurde ja tavaliselt leiame peavõtme vähem kui minutiga,” selgitas Hirvonen.
Rünnak toimib nii, et esmalt loetakse kõik kaardid hotellist, kuhu soovitakse tungida – isegi kui see on aegunud, või lihtsalt tavalise külalise kaart. Seda osa saab teha eemalt, nagu Tuominen selgitas, lugedes vajalikku teavet otse teie taskust.
Seejärel piisab, kui puudutate seadet ühe hotelli elektroonilise lukuga piisavalt kaua, et see saaks esmalt loetud kaardil oleva teabe põhjal põhivõtme koodi ära arvata. See pole mitte ainult põhjalik kõrvalehoidmine elektroonilisest lukusüsteemist, vaid see on praktiline rünnak, kasutades riistvara.
"See on väike seade, riistvara kannab nime Proxmark, see on midagi avalikult kättesaadavat, saate selle paarisaja euroga Internetist osta. Seade on üsna väike, mahub selle lihtsalt kätte, see on umbes sigaretisüütaja suurune,” selgitas Tuominen.
Õnneks on F-Secure üsna kindel, et seda ärakasutamist pole looduses kasutatud. Lahendus on üsna uudne ja kui nad teadsid, et nende kätel on reprodutseeritav rünnak, pöördusid nad kohe lukutootja Assa Abloy poole, et neile sellest teada anda.
„See oli 2017. aasta alguses, kui meil õnnestus esimest korda põhivõti luua. Ja kohe pärast seda, kui avastasime, et meil on see võimalus, võtsime ühendust Assa Abloyga. Kohtusime nendega esimest korda silmast silma 2017. aasta aprillis. Selgitasime oma leide ja selgitasime rünnakut ning sellest ajast alates oleme nende haavatavuste parandamiseks koostööd teinud, ”ütles Tuominen. „Algul arvasid nad, et suudavad haavatavused ise parandada, kuid kui nad haavatavuse parandasid ja meile parandatud versioonid saatsid, rikkusime need ka paar korda järjest. Sellest ajast peale oleme nendega koostööd teinud."
Kas peaksite muretsema?
Kui teil on plaanis suvepuhkus või kui olete sage reisija, võib teil tekkida küsimus, kas peaksite selle pärast muretsema? Ilmselt mitte. F-Secure ja Assa Abloy on teinud käsikäes tarkvaraplaastrite tarnimist mõjutatud hotellidele.
"[Assa Abloy] teatas plaastritest 2018. aasta alguses, seega on need olnud saadaval juba paar kuud. Neil on toote veebisait, kus saate registreerida ja plaastreid tasuta alla laadida, " selgitas Tuominen. "See on ainult tarkvara plaaster, kuid kõigepealt peate värskendama taustaprogrammi ja pärast seda peate minema iga ukse juurde ja värskendama selle ukse või luku püsivara käsitsi."
Seega ei pea te ilmselt järgmine kord hotellis viibides Assa Abloy kaubamärgi elektroonilistel lukkudel silma peal hoidma. Plaastrid on olnud saadaval alates aasta algusest ja F-Secure'i andmetel pole neid põhjust arvata, et seda konkreetset ärakasutamist on kasutatud looduses – väljaspool nende enda katsetamist muidugi. See on punkt, mida Assa Abloy oma ametlikus avalduses kiiresti kordab, häkkimise pisendamine.
Siiski pole kunagi valus olla ettevaatlik, nii et kui reisite kalli või tundliku elektroonikaga, veenduge, et hoiate seda enda peal või füüsiliselt turvalises hotellitoa seifis. Oluline on meeles pidada, et see ei ole viimane kord, kui elektrooniline lukusüsteem on niimoodi ohustatud. Meil on lihtsalt vedanud, et selle haavatavuse leidis F-Secure. Teised ettevõtted, üksikisikud või isegi valitsused ei pruugi olla nii vastutulelikud.
