Drift og vedlikehold i og rundt «dingser» Et undervurdert problem Øivind Kure, Prof. ITEM, NTNU

Transkript

1 Drift og vedlikehold i og rundt «dingser» Et undervurdert problem Øivind Kure, Prof. ITEM, NTNU

2 Fokus Potensielt sårbarhetsproblem Mange Dingser Dårlig design prosess Sårbart fordi verdikjedene er lang IP konnektivitet Gap mellom utnytte eksisterende IP nett og robusthet 2

3 Western Europe - Device Growth Traffic Profiles 2018 Forecast 2.8 billion networked devices in 2018, up from 1.6 billion in networked devices per capita in 2018, up from 3.9 per capita in M2M modules will account for 47% (1.3 billion) of all networked devices in 2018, compared to 27% (432.0 million) in 2013, (24.6% CAGR). PCs will account for 9% (239.3 million) of all networked devices in 2018, compared to 17% (271.8 million) in 2013, (-2.5% CAGR). M2M modules will average GB per month, up from GB in

4 KLIPP IFRA WEB

5 Fjernstyrte kontakter Hacking the D-Link DSP- W215 Smart Plug Utnytter bufferoverflow

6 Webkamera eksempel The Easiest: Bugged Networked Cameras Particular models of TRENDnet cameras that have since been patched and are no longer sold (though thousands remain in use) were vulnerable to the degree that any sane person would find terrifying: you need only know the public IP address of the camera. These cameras are typically used in small businesses, home security, and to monitor children and babies. 6

7 The Good News and Bad News About USB Security Like Nohl, Caudill and Wilson reverse engineered the firmware of USB microcontrollers.then they reprogrammed that firmware to perform disturbing attacks: In one case, infected USB can impersonate a keyboard to type any keystrokes the attacker chooses Bare 50% av chipset har denne svakhet PC/smart telefon leverdører har brukt alle leverandører I ulike produksjonsserier Nødvendigvis ikke oversikt over hvor/når 7

8 Joel backdoor D-link In other words, if your browser s user agent string is xmlset_roodkcableoj28840ybtide (no quotes), you can access the web interface without any authentication Affect D-link DIR-100,DIR-120,DI-624S,DI-524UP,DI-604S.DI-604UP.DI-604+.TM-G5240 Additionally, several Planex routers also appear to use the same firmware: BRL-04R,BRL-04UR,BRL-04CW 8

9 Fellesnevner Svakhet funnet gjennom målrettet analyse av en mistenkelig dings Svakheter i firmware Dårlig design, unngår ikke kjent svakhet Ingen sikkerhet Bruker Backdoors Risiko uten at «dingseier» har riskoadferd Publisert, addressert, men krever at eier gjør oppdatering 9

10 Hentet ifra 7th Framework prosjekt CRISALIS utført Eurecom David Balzarotti et. al KVANTITATIV ANALYSE

11 Utfordringer stor skala analyse Utvalg Mange ulike typer «dingser» Identifikasjon Mange ulike typer format og versjon markeringer Utpakking Leverandør spesifikke format Skalering Verifisering 11

12 Metode Web crawler for å laste ned mulige firmware image ca 170 K Identifisering og utpakking av firmware Valgt ut ca 32 K Analyse kjøres som en del av utpakking Analyse Søk etter password files Passord knekking John the ripper Søk etter creditials Selfsigned certificates shared creditials Søk etter keywords Korrelering Image med lignede sfeatures Date enhancements Web tags inne i firmware for queries imot Shodan Sertifikat mot HTTPS surveys 12

13 Svakheter 26K firmware images var 693 image med svakhet Password hash 100 ulike password hash ifra 681 ulike firmware images, 27 leverandører For 58 av disse ble passordene knukket Sertifikater og private RSA 109 private RSA nøkler ifra 428 image 35 K device (mest overvåkningskameras) Utdatert software Flere eksempler på 3dj part software som er utdatert Webserver konfigurasjon 847 web konfigurasjoner 87% root privilegier 13

14 Backdoors Søkte på ulike relaterte strenger Typiske tekst strenger funnet 326 image med ca 1000 match Hard code telenet credentials 2 K device Hard code web access credential 101 K devices Gjenbruk av samme private key hos ulike leverandører Eksempel Automatisk styring av hjemmet Stor levenrdør, 500 K brukere lastet ned app Full kontroll (root) via en gitt multicast addresse Samme typen backdoor 2 andre klasser av device ifra to andre leverandører Fellesnevner samme System on chip leverandør for nettverk 14

15 Svakheter software engineering Hard coding Avhengig av 3rd party software Utdatert og derfor også sårbart Webservere som kjører som root Build server tilgjengelig over nett 15

16 KVALITATIV ANALYSE

17 Uoversiktlig eco system På dings nivå Chip leverandør Komponenter leverandør System integrator OEM leverandør System leverandør På software siden samme type kjede Samme komponent/chip brukes i mange ulike system og dings Billige dingser med et stort nedslagsfelt 17

18 BETYDNING

19 Botnets

20 Betydning Samme størrelsesområde som botnet Ca 100 K imot botnets varierer ifra 1000K til 50 K «Dingser» er et vekstområde «Dingser» vil bli en Integrert del av samfunnet Manglende system og rutiner for oppdatering Betydelig grad av sårbarhet Automatisert analyse er gjennomførbar ifra liten organisasjon og oppover Mange potensielle angripere 20

21 Konsekvenser System design System design basert på at dingser er kompromittert Tolerer at komponenter opptrer fiendtlig Oppdatering system av dings essensielt Valg Kvalitet på dings er mere enn pris og funksjon Vedlikehold blir en viktig parameter Forbedre utviklingsprosessen av komponenter Screening? Hvem styrer og betaler 21