(in) Turvallinen on viikoittainen kolumni, joka sukeltaa nopeasti kiihtyvään kyberturvallisuuden aiheeseen.
Mitä jos palaisit hotellihuoneeseesi ja huomaat, että kannettavasi puuttuu? Entä jos tunkeutujasta ei ole jälkeäkään, ei pakotettua sisäänkäyntiä tai todisteita siitä, että huoneeseen olisi mennyt ollenkaan? Tietoturvayritys F-Secure kohtasi tämän kysymyksen, ja heidän vastauksensa oli yksinkertainen: Ota selvää Miten tehdä mahdottomasta mahdollista. Ota selvää kuinka olla haamu.
F-Secure julkistettiin tällä viikolla että se oli paljastanut valtavan haavoittuvuuden, joka vaikuttaa miljooniin elektronisiin lukoihin maailmanlaajuisesti. Hyökkäys antaisi kenen tahansa kävellä hotellihuoneeseen huomaamatta jättämättä jälkeäkään. Istuimme alas hyväksikäytön löytäneiden tutkijoiden Timo Hirvosen ja Tomi Tuomisen kanssa keskustelemaan tapahtumat, jotka johtavat sen löytämiseen ja kuinka tämä hyväksikäyttö on saattanut tehdä seuraavasta hotellivierailustasi paljon turvallisempaa.
Yksi yö Berliinissä
"Tarina alkaa vuodesta 2003, kun olimme osallistumassa hakkerikonferenssiin Berliinissä, Saksassa", sanoi Tomi Tuominen, käytännön johtaja F-Secure. "Kun palasimme hotelliin, huomasimme ystävämme kannettavan olevan varastettu hänen hotellihuoneestaan - ja tämä oli mukava hotelli. Ilmoitimme henkilökunnalle, eivätkä he todellakaan ottaneet meitä vakavasti, koska he olivat katsoneet lokia eikä siellä ollut merkkejä sisäänpääsystä tai pakkotulosta."
”Se sai meidät ajattelemaan: kuinka oli mahdollista, että joku pääsi hotellihuoneeseen kirjaimellisesti jättämättä mitään jälkiä?
Tämä varkaus, lisää F-Securen vanhempi tietoturvakonsultti Timo Hirvonen, oli ensimmäinen askel kohti kriittisen haavoittuvuus yhdessä maailman suosituimmista elektronisista lukkojärjestelmistä - Assa Abloy Vision VingCard -lukitus järjestelmä.
"Ystävämme teki aika mielenkiintoisia asioita tuolloin, ehdottomasti syynä siihen, että joku nosti kannettavan tietokoneensa. Se sai meidät ajattelemaan, okei, kuinka oli mahdollista, että joku pääsi sisään hotellihuoneeseen kirjaimellisesti jättämättä mitään jälkiä? Tuominen sanoi.
Seuraavat viisitoista vuotta Tomi, Timo ja muu F-Securen tiimi työskentelivät hyväksikäytön parissa sivuprojektina. He huomauttavat kuitenkin nopeasti, että se ei ollut niinkään ratkaisematon ongelma, jonka he halusivat ratkaista. ikään kuin se oli palapeli – harrastus, jonka parissa he työskentelivät enemmän uteliaisuudesta kuin halusta murtaa VingCard-järjestelmä.
”Jotkut pelaavat jalkapalloa, toiset golfia, ja me vain… tällaisia”, Tuominen nauraa.
Kuten voitte kuvitella, käytettyään niin paljon aikaa ja energiaa löytääkseen keinon kiertää VingCard-järjestelmän turvallisuus, he olivat innoissaan, kun he löysivät vastauksen. Se ei kuitenkaan ollut vain yksittäinen "Aha" hetki, vaan hyväksikäyttö sekoittui palasiksi, mutta kun he yrittivät sitä Ensimmäistä kertaa ja se toimi todellisessa hotellin lukossa, F-Securen tiimi tiesi, että heillä oli jotain erityistä käsissä.
"Se oli aika uskomatonta, olen melko varma, että olimme korkealla. Sitä ennen oli pienempiä onnistumisia, mutta kun kappaleet vihdoin tulivat yhteen, Tuominen sanoi. "Kun ymmärsimme, kuinka tämä muutetaan käytännölliseksi hyökkäykseksi, joka kestää vain muutaman minuutin, olimme kuin kyllä, tämä tulee tapahtumaan. Menimme oikeaan hotelliin ja testasimme sitä ja se toimi, ja se oli melko mieleenpainuva."
Pääavain
Selvä, miten tämä hyökkäys sitten toimii? No, F-Secure ei mennyt yksityiskohtiin turvallisuussyistä, vaan siitä, miten se toimii käytännössä on - kuten Tuominen sanoi - järkyttävää. Se alkaa pienestä laitteesta, jonka kuka tahansa voi noutaa verkosta, ja kun F-Secure-tiimi lataa laiteohjelmistonsa Laitteen avulla he voivat kävellä mihin tahansa hotelliin VingCard-järjestelmän avulla ja päästä käsiksi pääavaimella pöytäkirja.
”Voimme matkustaa hissillä vieraan kanssa, jos vieraalla oli avain taskussaan, voisimme lukea avaimen taskusta laitteellamme. Sitten vain kävelisimme mille tahansa ovelle ja tyypillisesti alle minuutissa löydämme pääavaimen."
"Se vie vain minuutteja. Voisimme esimerkiksi ajaa hissillä vieraan kanssa, jos vieraalla oli avain taskussaan, voisimme lukea avaimen taskusta laitteellamme. Sitten vain kävelisimme mille tahansa ovelle ja tyypillisesti alle minuutissa löydämme pääavaimen”, Hirvonen selitti.
Hyökkäys toimii lukemalla ensin mikä tahansa kortti hotellista, johon he haluavat murtautua – vaikka se olisi vanhentunut, tai vain tavallisen vieraan kortti. Se osa voidaan tehdä etänä, kuten Tuominen selitti, lukemalla tarvitsemansa tiedot suoraan taskustasi.
Sitten on vain kosketettava laitetta johonkin hotellin elektronisista lukoista riittävän pitkään, jotta se arvaa pääavaimen koodin ensimmäisen lukemansa kortin tietojen perusteella. Se ei ole vain sähköisen lukkojärjestelmän perusteellinen kiertäminen, vaan se on käytännöllinen hyökkäys hyllyltä saatavaa laitteistoa käyttämällä.
”Se on pieni laite, laitteiston nimi on Proxmark, se on jotain julkista, sen voi ostaa netistä parillasadalla eurolla. Laite on melko pieni, mahtuu helposti käteen, se on suunnilleen tupakansytyttimen kokoinen, Tuominen selitti.
Onneksi F-Secure on kohtuullisen varma, että tätä hyväksikäyttöä ei ole käytetty luonnossa. Ratkaisu on melko uusi, ja kun he tiesivät, että heillä oli toistettava hyökkäys käsiinsä, he ottivat välittömästi yhteyttä lukitusvalmistaja Assa Abloylle ilmoittaakseen heille.
”Oli alkuvuodesta 2017, kun onnistuimme ensimmäisen kerran luomaan pääavaimen. Ja heti kun huomasimme, että meillä on tämä kyky, otimme yhteyttä Assa Abloyyn. Tapasimme heidät ensimmäisen kerran kasvokkain huhtikuussa 2017. Selvitimme havaintojamme ja selitimme hyökkäyksen, ja siitä lähtien olemme tehneet yhteistyötä näiden haavoittuvuuksien korjaamiseksi, Tuominen sanoi. "Aluksi he luulivat pystyvänsä korjaamaan haavoittuvuudet itse, mutta kun he korjasivat haavoittuvuuden ja lähettivät meille korjatut versiot, rikkoimme myös ne muutaman kerran peräkkäin. Olemme tehneet yhteistyötä heidän kanssaan siitä lähtien."
Pitäisikö sinun olla huolissaan?
Jos sinulla on kesäloma suunnitteilla tai jos matkustat usein, saatat miettiä, onko sinun huolehdittava tästä? Luultavasti ei. F-Secure ja Assa Abloy ovat työskennelleet käsi kädessä toimittaakseen ohjelmistokorjauksia kyseisille hotelleille.
"[Assa Abloy] julkisti korjaukset vuoden 2018 alussa, joten ne ovat olleet saatavilla muutaman kuukauden. Heillä on tuotesivusto, jonne voi rekisteröityä ja ladata paikat ilmaiseksi”, Tuominen kertoi. "Se on vain ohjelmistokorjaus, mutta ensin sinun on päivitettävä taustaohjelmisto, jonka jälkeen sinun on mentävä jokaiseen oveen ja päivitettävä kyseisen oven tai lukon laiteohjelmisto manuaalisesti."
Joten sinun ei todennäköisesti tarvitse pitää silmällä Assa Abloy -merkkisiä elektronisia lukkoja seuraavan kerran, kun olet hotellissa. Korjaukset ovat olleet saatavilla vuoden alusta, ja F-Securen mukaan niitä ei ole syytä uskoa, että tätä tiettyä hyväksikäyttöä on käytetty luonnossa – heidän oman testauksensa ulkopuolella tietenkin. Tämä on seikka, jonka Assa Abloy toistaa nopeasti virallisessa lausunnossaan, hakkeroinnin vähättelyä.
Varovaisuus ei silti koskaan tee pahaa, joten jos matkustat kalliiden tai arkaluonteisten elektroniikkalaitteiden kanssa, varmista, että pidät niitä henkilökohtaisesti tai fyysisesti suojattuna hotellihuoneesi tallelokerossa. On tärkeää muistaa, että tämä ei ole viimeinen kerta, kun elektroninen lukkojärjestelmä vaarantuu tällä tavalla. Olemme vain onnekkaita, että F-Secure löysi tämän haavoittuvuuden. Muut yritykset, yksityishenkilöt tai jopa hallitukset eivät ehkä ole yhtä tulevaisia.
