A lo largo de la semana, se recogieron varias noticias sobre el tema "lo que todavía está mal con IoT" (números anteriores:
1 ,
2 ,
3 ). Se detectaron vulnerabilidades en la interfaz web para rastreadores GPS, en cámaras de video en red D-Link y dispositivos similares de diferentes fabricantes de China, e incluso en paneles LCD con conexión inalámbrica, que generalmente se usan para presentaciones de oficina.
Comencemos con el problema que afecta al número máximo de dispositivos: videocámaras, timbres controlados a distancia y monitores para bebés de muchos fabricantes de China. El investigador Paul Marrapeze descubrió (
noticias , un breve
informe ) que el acceso a dichos dispositivos se puede obtener sin autorización clasificando los números de serie, que se compilan utilizando un algoritmo simple.
Todos los dispositivos comparten una aplicación de control remoto común conocida como iLnkP2P. En la primera conexión, el propietario del dispositivo IoT debe escanear el código de barras impreso en la caja o ingresar manualmente el número de serie. En consecuencia, los atacantes pueden escanear fácilmente toda la gama de números de serie, encontrar dispositivos que funcionen y acceder a ellos utilizando el nombre de usuario y la contraseña predeterminados.
Incluso si el propietario cambia la contraseña, en algunos casos puede ser interceptada, ya que algunos de los dispositivos vulnerables no usan cifrado de datos. Según el investigador, el cifrado de datos se reclama para algunos dispositivos, aunque de hecho la información se transmite en texto claro. En total, se identificaron 15 tipos de dispositivos con al menos seis fabricantes diferentes. Es poco probable que se compile una lista completa de dispositivos vulnerables; es más fácil identificarlos por el nombre de la aplicación y parte del número de serie.
El desarrollador de la aplicación no respondió a las solicitudes del investigador, y es poco probable que pueda cerrar completamente esta vulnerabilidad: tendrá que romper el mecanismo de autorización para nuevos dispositivos. Además, el sitio del desarrollador de software parece estar pirateado, hay un script que redirige a los visitantes al patio de recreo chino. Solo ayudará el bloqueo de la transferencia de datos a través del puerto UDP 32100, a través del cual los dispositivos acceden a Internet.
El autor de otro "estudio" tiene problemas claros con un enfoque ético para encontrar vulnerabilidades. En lugar de notificar al proveedor, un hacker llamado L&M pirateó decenas de miles de perfiles de servicio de geolocalización y filtró información a los medios (
noticias ,
artículo original en Motherboard). Este es un servicio web para los rastreadores GPS ProTrack e iTrack.
Estos rastreadores generalmente se instalan en automóviles y le permiten rastrear de forma remota los movimientos. En algunos casos, es posible una funcionalidad avanzada, como arrancar y parar el motor. Para el acceso a datos y control se utilizan aplicaciones para teléfonos inteligentes. Mientras exploraba aplicaciones, L&M descubrió que, de manera predeterminada, los clientes de servicio reciben la contraseña 123456, y no todos la cambian.
Como resultado, fue posible acceder a datos sobre la ubicación del dispositivo, el nombre real del cliente, y para algunos dispositivos fue posible apagar el motor de forma remota si el automóvil está parado o en movimiento a una velocidad de hasta 20 kilómetros por hora. Motherboard logró contactar a los cuatro propietarios de los dispositivos y confirmar la autenticidad de los datos recibidos sin autorización. Una vulnerabilidad interesante y potencialmente peligrosa, pero en cualquier caso, los estudios de seguridad se realizan de manera un poco diferente.
Agregue el estudio de ESET (
noticias ,
informe de la compañía) sobre la vulnerabilidad en las cámaras IP D-Link DCS-2132L a la lista de problemas de IoT. Los expertos han descubierto que una parte importante de los datos entre la cámara y la aplicación de control se transmite sin cifrado. Esto hace posible interceptar datos de video, pero solo con un script Man-In-The-Middle o con acceso a una red local. En este último caso, es posible reemplazar el firmware del dispositivo.
Finalmente, los investigadores de Tenable Security encontraron (
noticias ,
informes ) 15 vulnerabilidades en pantallas inalámbricas populares de varios fabricantes, incluidos Crestron AirMedia y Barco wePresent. Todos los monitores afectados usan (casi) el mismo código para conectar las computadoras de forma inalámbrica. Estos dispositivos, en primer lugar, no requieren cables para conectarse a una computadora y, en segundo lugar, se pueden controlar a través de la interfaz web. Las vulnerabilidades descubiertas al examinar el dispositivo Crestron AM-100 permiten el acceso completo al monitor inalámbrico.
Este problema es interesante en el contexto del escenario de uso de tales paneles: están instalados en oficinas, pueden tener acceso a la red local de la empresa y, al mismo tiempo, acceso simplificado al panel para los invitados. La configuración inexacta del monitor puede hacer una violación grave en la protección de una red informática. Según los investigadores, las vulnerabilidades fueron parcialmente cubiertas por una actualización de software.
Descargo de responsabilidad: las opiniones expresadas en este resumen pueden no coincidir siempre con la posición oficial de Kaspersky Lab. Los estimados editores generalmente recomiendan tratar cualquier opinión con escepticismo saludable.