(in) Saugus yra savaitinė rubrika, kurioje neriama į sparčiai eskaluojamą kibernetinio saugumo temą.
O kas, jei grįžęs į viešbučio kambarį pastebėtum, kad dingo nešiojamasis kompiuteris? O jeigu nebūtų įsibrovėlio pėdsakų, prievartinio įėjimo, įrodymų, kad į patalpą apskritai buvo patekta? Apsaugos įmonė „F-Secure“ susidūrė su šiuo klausimu, o jų atsakymas buvo paprastas: sužinokite kaip kad neįmanoma padaryti įmanoma. Sužinokite, kaip būti vaiduokliu.
F-Secure paskelbė šią savaitę kad ji atskleidė didžiulį pažeidžiamumą, paveikiantį milijonus elektroninių spynų visame pasaulyje. Išnaudojimas leistų bet kam įeiti į viešbučio kambarį nepastebėtas, nepalikdamas jokių pėdsakų. Susėdome su išnaudojimą atradusiais tyrinėtojais Timo Hirvonenu ir Tomi Tuominenu pasikalbėti apie įvykiai, vedantys į jo atradimą, ir tai, kaip šis išnaudojimas galėjo paskatinti jūsų kitą viešbutį apsistoti saugiau.
Viena naktis Berlyne
„Istorija prasideda 2003 m., kai dalyvavome įsilaužėlių konferencijoje Berlyne, Vokietijoje“, – sakė Tomi Tuominen, praktikos vadovas.
F-Secure. „Kai grįžome į viešbutį, pastebėjome, kad iš jo viešbučio kambario buvo pavogtas mūsų draugo nešiojamasis kompiuteris – tai buvo gražus viešbutis. Pranešėme darbuotojams, jie tikrai nežiūrėjo į mus rimtai, nes žiūrėjo į žurnalą ir nebuvo jokių įvažiavimo ar priverstinio įvažiavimo ženklų.„Tai privertė mus susimąstyti: kaip buvo įmanoma, kad kažkas galėjo patekti į viešbučio kambarį, tiesiogine prasme nepalikdamas jokių pėdsakų?
Ši vagystė, priduria Timo Hirvonenas, vyresnysis „F-Secure“ saugumo konsultantas, buvo pirmasis žingsnis siekiant atrasti svarbią vienos populiariausių elektroninių užraktų sistemų pasaulyje pažeidžiamumas – Assa Abloy Vision VingCard užraktas sistema.
„Mūsų draugas tais laikais darė keletą įdomių dalykų, neabejotinai priežastis, kodėl kažkas pakėlė nešiojamąjį kompiuterį. Tai privertė mus pagalvoti, gerai, kaip buvo įmanoma, kad kažkas galėjo patekti į viešbučio kambarį tiesiogine prasme nepalikdamas jokių pėdsakų? Tuominenas pasakė.
Kitus penkiolika metų Tomi, Timo ir kiti F-Secure komandos nariai dirbo prie eksploatacijos kaip šalutinio projekto. Tačiau jie skuba pabrėžti, kad tai buvo ne tiek neįveikiama problema, kurią jie norėjo išspręsti tai buvo galvosūkis – pomėgis, kurį jie dirbo daugiau iš smalsumo, nei siekdami nulaužti VingCard sistemą.
„Kai kurie žmonės žaidžia futbolą, kiti žaidžia golfą, o mes tiesiog darome... tokius dalykus“, – juokdamasis sakė Tuominenas.
Kaip galite įsivaizduoti, sugaišę tiek daug laiko ir energijos ieškodami būdų, kaip apeiti VingCard sistemos saugumą, jie buvo ekstazėje, kai rado atsakymą. Tačiau tai nebuvo tik vienas „Aha“ momentas, išnaudojimas susidėjo į gabalus, bet kai jie tai išbandė „F-Secure“ komanda pirmą kartą veikė tikrame viešbučio užrakte. rankas.
„Buvo nuostabu, esu tikras, kad buvome aukšti. Prieš tai buvo mažesnių pasisekimų, bet kai kūriniai pagaliau susijungė pirmą kartą“, – sakė Tuominenas. „Kai supratome, kaip tai paversti praktine ataka, kuri užtrunka vos kelias minutes, atrodė, kad taip, tai įvyks. Nuvažiavome į tikrą viešbutį ir išbandėme, ir jis veikė, ir tai buvo gana įspūdinga.
Pagrindinis raktas
Gerai, kaip veikia ši ataka? Na, „F-Secure“ nesigilino į detales saugumo sumetimais, o kaip tai veikia praktikoje yra, kaip sakė Tuominenas, pribloškiantis. Tai prasideda nuo mažo įrenginio, kurį kiekvienas gali pasiimti internetu, o kai F-Secure komanda įkelia savo programinę-aparatinę įrangą Įrenginį, jie galėtų įeiti į bet kurį viešbutį naudodami VingCard sistemą ir turėti pagrindinio rakto prieigą minučių.
„Su svečiu galėtume važiuoti liftu, jei svečias turėjo raktą kišenėje, raktą per kišenę galėjome perskaityti savo prietaisu. Tada mes tiesiog eidavome prie bet kurių durų ir paprastai per mažiau nei minutę rasime pagrindinį raktą.
„Tai trunka tik minutes. Pavyzdžiui, su svečiu galėtume važiuoti liftu, jei svečias turėjo raktą kišenėje, raktą per kišenę galėtume perskaityti savo prietaisu. Tada mes tiesiog eidavome prie bet kurių durų ir paprastai greičiau nei per minutę rasime pagrindinį raktą“, – paaiškino Hirvonen.
Ataka veikia pirmiausia nuskaitant bet kurią viešbučio kortelę, į kurią nori įsilaužti, net jei jos galiojimo laikas pasibaigęs, arba tik įprastą svečio kortelę. Tą dalį galima atlikti nuotoliniu būdu, kaip paaiškino Tuominenas, nuskaitant jiems reikalingą informaciją tiesiai iš jūsų kišenės.
Tada tereikia palieti įrenginį prie vienos iš elektroninių viešbučio spynų pakankamai ilgai, kad jis atspėtų pagrindinio rakto kodą pagal informaciją kortelėje, kurią jis pirmą kartą perskaitė. Tai ne tik kruopštus elektroninės užrakto sistemos apėjimas, bet ir praktiška ataka, naudojant jau parduodamą techninę įrangą.
„Tai mažas įrenginys, aparatinė įranga vadinasi Proxmark, tai kažkas viešai prieinama, galima nusipirkti internetu už porą šimtų eurų. Prietaisas gana mažas, nesunkiai telpa į ranką, yra maždaug žiebtuvėlio dydžio“, – aiškino Tuominenas.
Laimei, „F-Secure“ yra pakankamai įsitikinusi, kad šis išnaudojimas nebuvo naudojamas laukinėje gamtoje. Sprendimas yra gana naujas ir, kai jie sužinojo, kad jų rankos buvo pakartojamos atakos, jie nedelsdami kreipėsi į užrakto gamintoją Assa Abloy, kad praneštų jiems.
„2017 m. pradžioje mums pirmą kartą pavyko sukurti pagrindinį raktą. Ir iškart po to, kai sužinojome, kad turime šią galimybę, susisiekėme su Assa Abloy. Pirmą kartą akis į akį su jais susitikome 2017 m. balandžio mėn. Mes paaiškinome savo išvadas ir paaiškinome ataką, ir nuo to laiko dirbame kartu, kad ištaisytume šias spragas“, – sakė Tuominenas. „Iš pradžių jie manė, kad spragas galės ištaisyti patys, bet kai ištaisė pažeidžiamumą ir atsiuntė mums pataisytas versijas, kelis kartus iš eilės sugadinome jas. Nuo tada mes su jais dirbame kartu“.
Ar turėtumėte nerimauti?
Jei planuojate vasaros atostogas arba dažnai keliaujate, jums gali kilti klausimas, ar dėl to reikia susirūpinti? Tikriausiai ne. „F-Secure“ ir „Assa Abloy“ bendradarbiavo, siekdami tiekti programinės įrangos pataisas paveiktiems viešbučiams.
„[Assa Abloy] apie pleistrus paskelbė 2018 m. pradžioje, todėl juos galima įsigyti jau keletą mėnesių. Jie turi produkto svetainę, kurioje galite nemokamai užsiregistruoti ir atsisiųsti pataisas“, – paaiškino Tuominen. "Tai tik programinės įrangos pataisa, bet pirmiausia turite atnaujinti užpakalinę programinę įrangą, o po to eiti į kiekvieną duris ir atnaujinti tų durų ar spynos programinę-aparatinę įrangą rankiniu būdu."
Taigi, jums tikriausiai nereikės sekti Assa Abloy prekės ženklo elektroninių spynų, kai kitą kartą būsite viešbutyje. Pleistrai buvo prieinami nuo metų pradžios, o „F-Secure“ teigimu, jų nėra pagrindo manyti, kad šis konkretus išnaudojimas buvo naudojamas laukinėje gamtoje – ne jų pačių išbandytas kursą. Tai yra dalykas, kurį Assa Abloy greitai pakartojo savo oficialiame pareiškime, sumenkinti įsilaužimą.
Vis dėlto niekada nepakenks būti atsargiems, todėl jei keliaujate su brangia ar jautria elektronika, įsitikinkite, kad ją laikote savo asmenyje arba fiziškai apsaugotą viešbučio kambario seife. Svarbu atsiminti, kad tai nebus paskutinis kartas, kai elektroninė užrakto sistema taip pažeidžiama. Mums tiesiog pasisekė, kad šį pažeidžiamumą rado F-Secure. Kitos įmonės, asmenys ar net vyriausybės gali būti ne tokie laukiami.
