(güvensiz hızla artan siber güvenlik konusunu ele alan haftalık bir köşe yazısıdır.
Ya otel odanıza döndüğünüzde dizüstü bilgisayarınızın kaybolduğunu fark ederseniz? Ya davetsiz misafirin izi yoksa, zorla giriş yapılmadıysa, odaya girildiğine dair hiçbir kanıt yoksa? Güvenlik firması F-Secure bu soruyla karşı karşıyaydı ve cevapları basitti: Öğrenin Nasıl imkansızı mümkün kılmak. Nasıl hayalet olunacağını öğrenin.
F-Secure bu hafta açıklandı dünya çapında milyonlarca elektronik kilidi etkileyen büyük bir güvenlik açığını ortaya çıkardığını söyledi. Bu istismar, herkesin fark edilmeden bir otel odasına girmesine ve hiçbir iz bırakmamasına olanak tanıyor. Bu istismarı keşfeden araştırmacılar Timo Hirvonen ve Tomi Tuominen ile bir araya geldik. keşfine yol açan olaylar ve bu istismarın bir sonraki otelinizde nasıl çok fazla konaklamaya neden olabileceği daha emniyetli.
Berlin'de bir gece
Uygulama Lideri Tomi Tuominen şunları söyledi: "Hikaye 2003 yılında Almanya'nın Berlin kentinde bir hacker konferansına katıldığımızda başlıyor."
F-Secure. “Otele döndüğümüzde arkadaşımızın dizüstü bilgisayarının otel odasından çalındığını fark ettik ve burası güzel bir oteldi. Personele haber verdik ama onlar bizi pek ciddiye almadılar çünkü kayıtlara bakmışlardı ve herhangi bir giriş ya da zorla giriş belirtisi yoktu.""Bu bizi şunu düşündürdü: Birinin otel odasına kelimenin tam anlamıyla hiçbir iz bırakmadan girebilmesi nasıl mümkün oldu?
F-Secure'un kıdemli güvenlik danışmanı Timo Hirvonen, bu hırsızlığın kritik bir bilgiyi keşfetme yolunda ilk adım olduğunu ekliyor. Dünyanın en popüler elektronik kilit sistemlerinden biri olan Assa Abloy Vision VingCard kilitlemedeki güvenlik açığı sistem.
"Arkadaşımız o günlerde oldukça ilginç şeyler yapıyordu; bu kesinlikle birisinin dizüstü bilgisayarını kaldırması için bir nedendi. Bu bizi düşündürdü, tamam mı, birisinin otel odasına tam anlamıyla hiçbir iz bırakmadan girebilmesi nasıl mümkün oldu? Tuominen dedi.
Sonraki on beş yıl boyunca Tomi, Timo ve F-Secure ekibinin geri kalanı, bir yan proje olarak bu açıktan yararlanma üzerinde çalıştı. Bununla birlikte, çözmek için haykırdıkları çözümü zor bir sorundan ziyade, bunun çok da zor bir sorun olmadığını belirtmekte gecikmediler. Her ne kadar bu bir bulmaca olsa da, VingCard sistemini kırma dürtüsünden çok meraktan dolayı üzerinde çalıştıkları bir hobiydi.
Tuominen gülerek, "Bazı insanlar futbol oynuyor, bazıları golf oynuyor ve biz sadece... bu tür şeyler yapıyoruz" dedi.
Tahmin edebileceğiniz gibi, VingCard sisteminin güvenliğini aşmanın bir yolunu bulmak için çok fazla zaman ve enerji harcadıktan sonra, cevabı bulduklarında çok mutlu oldular. Ancak bu sadece tek bir "Aha" anı değildi, istismar parça parça bir araya geldi, ama denedikleri zaman İlk kez gerçek bir otel kilidinde çalışan F-Secure ekibi, ellerinde özel bir şeylerin olduğunu biliyordu. eller.
“Oldukça şaşırtıcıydı, çak bir beşlik olduğumuza eminim. Bundan önce de daha küçük başarılar vardı ama sonunda parçalar ilk kez bir araya geldiğinde," dedi Tuominen. "Bunu sadece birkaç dakika süren pratik bir saldırıya nasıl dönüştüreceğimizi anladığımızda, evet bu olacak dedik. Gerçek bir otele gittik ve test ettik, işe yaradı ve oldukça akıllara durgunluk vericiydi.”
Ana anahtar
Peki bu saldırı nasıl çalışıyor? F-Secure güvenlik nedeniyle ayrıntılara girmedi ama nasıl çalışıyor? uygulamada Tuominen'in dediği gibi akıllara durgunluk veren bir şey. Herkesin çevrimiçi olarak alabileceği küçük bir cihazla başlar ve F-Secure ekibi cihaz yazılımını yükledikten sonra Cihaz sayesinde VingCard sistemini kullanarak herhangi bir otele girebiliyorlar ve birkaç dakika içinde ana anahtar erişimine sahip olabiliyorlardı. dakika.
“Misafirimizle asansöre binebiliyorduk, misafirin cebinde anahtar varsa cihazımızla cebinden anahtarı okuyabiliyorduk. Daha sonra kapılardan herhangi birine doğru yürüyoruz ve genellikle bir dakikadan kısa sürede ana anahtarı buluyoruz.”
"Sadece birkaç dakika sürer. Mesela misafirimizle asansöre binebiliyorduk, misafirin cebinde anahtar varsa cihazımızla cebinden anahtarı okuyabiliyorduk. Daha sonra kapılardan herhangi birine doğru yürüyoruz ve genellikle bir dakikadan kısa sürede ana anahtarı buluyoruz," diye açıkladı Hirvonen.
Saldırı, ilk önce girmek istedikleri otelin herhangi bir kartını okuyarak gerçekleştirilir; süresi dolmuş olsa bile veya yalnızca normal bir misafirin kartı. Tuominen'in açıkladığı gibi bu kısım, ihtiyaç duydukları bilgileri doğrudan cebinizden okuyarak uzaktan yapılabilir.
Daha sonra, ilk okuduğu karttaki bilgiye göre ana anahtar kodunu tahmin edecek kadar cihazı oteldeki elektronik kilitlerden birine dokundurmanız yeterli. Bu yalnızca elektronik kilit sisteminin tamamen atlatılması değil, aynı zamanda hazır donanımın kullanıldığı pratik bir saldırıdır.
"Bu küçük bir cihaz, donanımının adı Proxmark, halka açık bir şey, internetten birkaç yüz avroya satın alabilirsiniz. Tuominen, cihazın oldukça küçük olduğunu, elinize kolayca sığdırabileceğinizi ve yaklaşık bir çakmak boyutunda olduğunu ifade etti.
Neyse ki F-Secure bu istismarın yaygın olarak kullanılmadığından oldukça emin. Çözüm oldukça yeni ve ellerinde tekrarlanabilir bir saldırı olduğunu öğrendiklerinde hemen kilit üreticisi Assa Abloy'a ulaşarak onlara haber verdiler.
"Ana anahtarı ilk kez oluşturmayı başardığımızda 2017'nin başlarıydı. Bu yeteneğe sahip olduğumuzu keşfettiğimizde hemen Assa Abloy ile iletişime geçtik. Onlarla ilk kez 2017 yılının Nisan ayında yüz yüze tanıştık. Bulgularımızı açıkladık ve saldırıyı açıkladık ve o zamandan beri bu güvenlik açıklarını düzeltmek için birlikte çalışıyoruz." dedi Tuominen. "Başlangıçta güvenlik açıklarını kendilerinin düzeltebileceklerini düşündüler, ancak güvenlik açığını düzeltip bize düzeltilmiş versiyonları gönderdiklerinde biz bunları da birkaç kez arka arkaya kırdık. O günden bu yana onlarla birlikte çalışıyoruz."
Endişelenmeli misin?
Yaz tatili planınız varsa ya da sık seyahat eden biriyseniz bu endişelenmeniz gereken bir şey mi diye merak ediyor olabilirsiniz? Muhtemelen değil. F-Secure ve Assa Abloy, etkilenen otellere yazılım yamaları sağlamak için el ele çalışıyor.
"[Assa Abloy] yamaları 2018'in başında duyurdu, yani yamalar birkaç aydır mevcut. Tuominen, "Yamaları ücretsiz olarak kaydedip indirebileceğiniz bir ürün web siteleri var" diye açıkladı. "Bu yalnızca bir yazılım yaması, ancak önce arka uç yazılımını güncellemeniz gerekiyor ve ardından her kapıya gidip o kapının donanım yazılımını güncellemeniz veya manuel olarak kilitlemeniz gerekiyor."
Dolayısıyla bir sonraki otele gidişinizde muhtemelen Assa Abloy marka elektronik kilitlere dikkat etmenize gerek kalmayacaktır. Yamalar yılın başından beri mevcut ve F-Secure'e göre herhangi bir yama yok. bu özel istismarın vahşi doğada - kendi testlerinin dışında - kullanıldığına inanmak için bir neden kurs. Bu, Assa Abloy'un resmi açıklamasında hemen tekrarladığı bir noktadır: hack'i küçümsemek.
Yine de dikkatli olmanın hiçbir zararı yoktur; bu nedenle pahalı veya hassas elektronik cihazlarla seyahat ediyorsanız bunları üzerinizde bulundurduğunuzdan veya otel odanızın kasasında fiziksel olarak güvende tuttuğunuzdan emin olun. Bunun bir elektronik kilit sisteminin bu şekilde tehlikeye atıldığı son sefer olmayacağını unutmamak önemlidir. Bu güvenlik açığını bulan F-Secure olduğu için şanslıyız. Diğer şirketler, bireyler ve hatta hükümetler bu kadar açık sözlü olmayabilir.
