(არასაიმედო არის ყოველკვირეული რუბრიკა, რომელიც იკვლევს კიბერუსაფრთხოების სწრაფად მზარდ თემას.
რა მოხდება, თუ დაბრუნდით სასტუმროს ნომერში და აღმოაჩენთ, რომ თქვენი ლეპტოპი აკლია? რა მოხდებოდა, თუ არ არსებობდა შემოჭრილის კვალი, იძულებითი შესვლა, არანაირი მტკიცებულება იმისა, რომ ოთახში საერთოდ იყო შესული? უსაფრთხოების ფირმა F-Secure-ს ეს კითხვა შეექმნა და მათი პასუხი მარტივი იყო: გაარკვიე როგორ რომ შეუძლებელი გახდეს შესაძლებელი. შეიტყვეთ, როგორ იყოთ მოჩვენება.
F-Secure ამ კვირაში გამოცხადდა რომ მან აღმოაჩინა უზარმაზარი დაუცველობა, რომელიც გავლენას ახდენს მილიონობით ელექტრონულ საკეტზე მთელ მსოფლიოში. ექსპლოიტი ნებისმიერს ნებას რთავს სასტუმროს ნომერში შესვლის გარეშე, კვალს არ ტოვებს. ჩვენ დავსხედით მკვლევარებთან, რომლებმაც აღმოაჩინეს ეს ექსპლოატი, ტიმო ჰირვონენსა და ტომი ტუომინენს, რომ ვისაუბროთ. მოვლენები, რომლებიც მის აღმოჩენამდე მიგვიყვანს და როგორ შეიძლება ამ ექსპლოიტაციამ თქვენი შემდეგი სასტუმრო ბევრი დარჩეს უფრო უსაფრთხო.
ერთი ღამე ბერლინში
„ისტორია იწყება 2003 წელს, როდესაც ჩვენ ვესწრებოდით ჰაკერების კონფერენციას ბერლინში, გერმანიაში“, - თქვა ტომი ტუომინენმა, პრაქტიკის ლიდერმა.
F-Secure. „როდესაც სასტუმროში დავბრუნდით, შევამჩნიეთ, რომ ჩვენი მეგობრის ლეპტოპი სასტუმროს ნომრიდან მოიპარეს - და ეს იყო კარგი სასტუმრო. ჩვენ შევატყობინეთ თანამშრომლებს და მათ სერიოზულად არ მიგვიღეს, რადგან მათ დაათვალიერეს ჟურნალი და არ იყო შესვლის ან იძულებითი შესვლის კვალი. ”ამან დაგვაფიქრა: როგორ იყო შესაძლებელი, რომ ვიღაცამ შეძლო სასტუმროს ოთახში შესვლა ფაქტიურად კვალი არ დატოვა?
ეს ქურდობა, დასძენს ტიმო ჰირვონენი, უსაფრთხოების უფროსი კონსულტანტი F-Secure-ში, იყო პირველი ნაბიჯი კრიტიკული ფაქტების აღმოჩენისკენ. დაუცველობა მსოფლიოში ერთ-ერთ ყველაზე პოპულარულ ელექტრონული საკეტის სისტემაში - Assa Abloy Vision VingCard ჩაკეტვა სისტემა.
”ჩვენი მეგობარი იმ დღეებში საკმაოდ საინტერესო რაღაცეებს აკეთებდა, რაც ნამდვილად იყო მიზეზი იმისა, რომ ვიღაცამ ლეპტოპი აეღო. ამან დაგვაფიქრა, კარგი, როგორ იყო შესაძლებელი, რომ ვიღაცამ შეძლო სასტუმროს ოთახში შესვლა ფაქტიურად კვალი არ დატოვა? თქვა ტუომინენმა.
მომდევნო თხუთმეტი წლის განმავლობაში ტომი, ტიმო და დანარჩენი F-Secure გუნდი მუშაობდნენ ექსპლოიტზე, როგორც გვერდითი პროექტი. თუმცა, ისინი სწრაფად აღნიშნავენ, რომ ეს არ იყო ისეთი გადაუჭრელი პრობლემა, რომლის გადაჭრასაც ისინი ჩიოდნენ, ისევე როგორც ეს იყო თავსატეხი - ჰობი, რომელზეც ისინი უფრო მეტად მუშაობდნენ ცნობისმოყვარეობის გამო, ვიდრე VingCard სისტემის გატეხვის სურვილი.
"ზოგი თამაშობს ფეხბურთს, ზოგი თამაშობს გოლფს, ჩვენ კი უბრალოდ... ასეთ რამეებს," თქვა ტუომინენმა სიცილით.
როგორც თქვენ წარმოიდგინეთ, მას შემდეგ, რაც ამდენი დრო და ენერგია დახარჯეს VingCard სისტემის უსაფრთხოების გვერდის ავლით გზის პოვნაზე, ისინი აღფრთოვანებულები იყვნენ, როდესაც იპოვნეს პასუხი. თუმცა ეს არ იყო მხოლოდ ერთი "აჰა" მომენტი, ექსპლოიტი ნაწილ-ნაწილ გაერთიანდა, მაგრამ როდესაც მათ ეს სცადეს პირველად და ის მუშაობდა ნამდვილ სასტუმროს საკეტზე, F-Secure-ის გუნდმა იცოდა, რომ მათ ჰქონდათ რაღაც განსაკუთრებული. ხელები.
„საკმაოდ გასაოცარი იყო, დარწმუნებული ვარ, რომ მაღალი ტემპით ვიყავით. მანამდე იყო უფრო მცირე წარმატებები, მაგრამ როდესაც ეს ნაწილები საბოლოოდ პირველად გაერთიანდა“, - თქვა ტუომინენმა. „როდესაც მივხვდით, როგორ გადაგვექცია ეს პრაქტიკულ თავდასხმად, რომელსაც მხოლოდ რამდენიმე წუთი სჭირდება, გვეგონა, რომ ეს მოხდებოდა. ჩვენ წავედით ნამდვილ სასტუმროში და გავსინჯეთ და ის მუშაობდა, და ეს საკმაოდ დამაფიქრებელი იყო. ”
მთავარი გასაღები
კარგი, როგორ მუშაობს ეს შეტევა? კარგად, F-Secure დეტალებში არ შედიოდა უსაფრთხოების მიზეზების გამო, არამედ როგორ მუშაობს პრაქტიკაში არის - როგორც ტუომინენმა თქვა - გონებამახვილი. ის იწყება პატარა მოწყობილობით, რომელიც ნებისმიერს შეუძლია აიღოს ონლაინ, და როგორც კი F-Secure გუნდი იტვირთება მათი firmware-ზე მოწყობილობას, მათ შეეძლოთ ნებისმიერ სასტუმროში შესვლა VingCard სისტემის გამოყენებით და ჰქონდეთ ძირითადი გასაღების წვდომა წუთები.
„შეგვეძლო სტუმართან ერთად ლიფტით მგზავრობა, თუ სტუმარს ჯიბეში გასაღები ედო, ჩვენი მოწყობილობით შეგვეძლო გასაღების ჯიბიდან წაკითხვა. შემდეგ ჩვენ უბრალოდ მივდიოდით რომელიმე კართან და ჩვეულებრივ ერთ წუთზე ნაკლებ დროში ვიპოვით მთავარ გასაღებს.
„ამას მხოლოდ წუთები სჭირდება. მაგალითად, შეგვეძლო სტუმართან ერთად ლიფტით ვისეირნოთ, თუ სტუმარს ჯიბეში გასაღები ედო, ჩვენი მოწყობილობით შეგვეძლო გასაღების ჯიბეში წაკითხვა. შემდეგ ჩვენ უბრალოდ მივდიოდით რომელიმე კართან და ჩვეულებრივ ერთ წუთზე ნაკლებ დროში ვიპოვით მთავარ გასაღებს,” - განმარტა ჰირვონენმა.
თავდასხმა მუშაობს იმით, რომ პირველ რიგში კითხულობს ნებისმიერ ბარათს სასტუმროდან, რომელშიც ისინი უნდა შეაღწიონ - თუნდაც ვადაგასული იყოს, ან უბრალოდ ჩვეულებრივი სტუმრის ბარათი. ეს ნაწილი შეიძლება გაკეთდეს დისტანციურად, როგორც ტუომინენმა განმარტა, ჯიბიდან წაიკითხეთ მათთვის საჭირო ინფორმაცია.
ამის შემდეგ, უბრალოდ საქმეა, რომ მოწყობილობას შეეხოთ სასტუმროს ერთ-ერთ ელექტრონულ საკეტს საკმარისად დიდი ხნით, რათა მან გამოიცნოს ძირითადი გასაღების კოდი იმ ინფორმაციის საფუძველზე, რომელიც პირველად წაიკითხა ბარათში. ეს არ არის მხოლოდ ელექტრონული საკეტის სისტემის საფუძვლიანი გვერდის ავლით, არამედ ეს არის პრაქტიკული შეტევა თაროზე არსებული ტექნიკის გამოყენებით.
”ეს არის პატარა მოწყობილობა, აპარატურას ჰქვია Proxmark, ეს არის რაღაც საჯაროდ ხელმისაწვდომი, შეგიძლიათ შეიძინოთ იგი რამდენიმე ასეულ ევროდ. მოწყობილობა საკმაოდ პატარაა, თქვენ შეგიძლიათ მარტივად მოათავსოთ იგი თქვენს ხელში, ის სიგარეტის სანთებლის ზომისაა“, - განმარტა ტუომინენმა.
საბედნიეროდ, F-Secure გონივრულად დარწმუნებულია, რომ ეს ექსპლოიტი არ ყოფილა გამოყენებული ველურში. გამოსავალი საკმაოდ ახალია და როგორც კი იცოდნენ, რომ ხელებზე რეპროდუცირებადი შეტევა ჰქონდათ, მაშინვე მიმართეს საკეტის მწარმოებელ Assa Abloy-ს, რათა მათ გაეგოთ.
„2017 წლის დასაწყისი იყო, როდესაც პირველად მოვახერხეთ მთავარი გასაღების შექმნა. და მაშინვე მას შემდეგ რაც აღმოვაჩინეთ, რომ ჩვენ გვქონდა ეს შესაძლებლობა, დავუკავშირდით ასსა აბლოის. ჩვენ მათ პირველად პირისპირ 2017 წლის აპრილში შევხვდით. ჩვენ ავუხსენით ჩვენი დასკვნები და ავუხსენით თავდასხმა და მას შემდეგ ჩვენ ერთად ვმუშაობთ ამ დაუცველობის აღმოსაფხვრელად“, - თქვა ტუომინენმა. „თავდაპირველად მათ ეგონათ, რომ თავად შეძლებდნენ დაუცველობის გამოსწორებას, მაგრამ როდესაც გამოასწორეს დაუცველობა და გამოგვიგზავნეს დაფიქსირებული ვერსიები, ჩვენ ისიც რამდენჯერმე დავამსხვრიეთ ზედიზედ. მას შემდეგ ჩვენ მათთან ერთად ვმუშაობთ. ”
უნდა ინერვიულო?
თუ დაგეგმილი გაქვთ საზაფხულო არდადეგები, ან თუ ხშირი მოგზაური ხართ, შეიძლება გაინტერესებთ, ეს არის ის, რაც გჭირდებათ? Ალბათ არა. F-Secure და Assa Abloy ერთობლივად მუშაობდნენ პროგრამული უზრუნველყოფის პატჩების მიწოდებაზე დაზარალებული სასტუმროებისთვის.
”[Assa Abloy]-მა გამოაცხადა პატჩები 2018 წლის დასაწყისში, ამიტომ ისინი უკვე რამდენიმე თვეა ხელმისაწვდომია. მათ აქვთ პროდუქტის ვებსაიტი, სადაც შეგიძლიათ დარეგისტრირდეთ და ჩამოტვირთოთ პატჩები უფასოდ“, - განმარტა ტუომინენმა. ”ეს მხოლოდ პროგრამული უზრუნველყოფის პაჩია, მაგრამ ჯერ უნდა განაახლოთ პროგრამული უზრუნველყოფა, შემდეგ კი უნდა შეხვიდეთ თითოეულ კართან და ხელით განაახლოთ ამ კარის ან საკეტის პროგრამული უზრუნველყოფა.”
ასე რომ, თქვენ ალბათ არ გჭირდებათ თვალი ადევნოთ Assa Abloy ბრენდის ელექტრონულ საკეტებს შემდეგ ჯერზე, როცა სასტუმროში იქნებით. პატჩები ხელმისაწვდომია წლის დასაწყისიდან და F-Secure-ის თანახმად, არ არსებობს საფუძველი ვიფიქროთ, რომ ეს კონკრეტული ექსპლოიტი გამოიყენებოდა ველურ ბუნებაში - მათი ტესტირების მიღმა კურსი. ეს არის ის პუნქტი, რომელსაც ასსა აბლოი სწრაფად ადასტურებს თავის ოფიციალურ განცხადებაში, ჰაკის დაკნინება.
და მაინც, სიფრთხილე არასდროს არ არის ცუდი, ასე რომ, თუ მოგზაურობთ ძვირადღირებული ან მგრძნობიარე ელექტრონიკით, დარწმუნდით, რომ ისინი თქვენს პირზე ან ფიზიკურად დაცული სასტუმროს ნომერში. მნიშვნელოვანია გვახსოვდეს, რომ ეს არ იქნება ბოლო შემთხვევა, როდესაც ელექტრონული საკეტის სისტემა ასე დაზარალდება. ჩვენ გაგვიმართლა, რომ F-Secure-მა აღმოაჩინა ეს დაუცველობა. სხვა კომპანიები, კერძო პირები, ან თუნდაც მთავრობები, შეიძლება ასე არ იყოს.
