सुरक्षा सप्ताह 36: टेलनेट बंद होना चाहिए

टेलनेट एक बहुत पुराना प्रोटोकॉल है। विकिपीडिया की रिपोर्ट है कि यह 1969 में विकसित किया गया था, और कई वर्षों से कंप्यूटर और सर्वर तक दूरस्थ पहुंच के लिए सक्रिय रूप से उपयोग किया गया है, दोनों यूनिक्स / लिनक्स के तहत और विंडोज सिस्टम के लिए (टेलनेट को विंडोज एनटी और विंडोज 2000 में शामिल किया जा सकता है) । वही विकिपीडिया की रिपोर्ट है कि टेलनेट का उपयोग धीरे-धीरे अधिक सुरक्षित एसएसएच प्रोटोकॉल के पक्ष में शून्य हो गया। और इसलिए ऐसा हुआ, लाखों स्वायत्त नेटवर्क उपकरणों के अलावा - मुख्य रूप से राउटर और आईपी कैमरे जो इस प्रोटोकॉल के लिए "प्रतिक्रिया" करते हैं, अक्सर मालिक के ज्ञान के बिना।

दो हफ्ते पहले, हमने मिकरोटिक राउटर में कमजोरियों पर चर्चा की। लेकिन वह भेद्यता - अभी भी कुछ दरार है। पिछले सप्ताह प्रकाशित एक कास्परस्की लैब के अध्ययन से पता चलता है कि एक IoT डिवाइस पर सभी हमलों में से अधिकांश (तीन-चौथाई) टेलनेट प्रोटोकॉल पर हमले हैं। यदि आपका डिवाइस इस प्रोटोकॉल का जवाब देता है, खासकर अगर यह इंटरनेट से सुलभ है, तो इस बारे में सोचें कि क्या इसे रोकने का समय है। केवल एक अपवाद है: यदि आप टेलनेट के माध्यम से स्टार वार्स प्रसारित करते हैं।

कास्परस्की लैब के विशेषज्ञों ने पारंपरिक तरीकों से आंकड़ों को एकत्र किया - हनीपोट्स का उपयोग करते हुए। वास्तव में, यदि आप किसी ऐसे सिस्टम को इकट्ठा करते हैं जो किसी भी उपलब्ध हार्डवेयर से टेलनेट प्रोटोकॉल का उपयोग करते हुए 23 पोर्ट पर प्रतिक्रिया करता है, तो इसे सीधे इंटरनेट से कनेक्ट करें और कुछ मिनटों तक प्रतीक्षा करें, आपको लॉग में सामान्य डिफ़ॉल्ट पासवर्ड का उपयोग करते हुए लॉगिन प्रयास दिखाई देंगे। ये पहले से संक्रमित सिस्टम नए कमजोर उपकरणों के लिए इंटरनेट को लगातार स्कैन करके बॉटनेट का विस्तार करने की कोशिश कर रहे हैं। अध्ययन के लिए उपयोग किए जाने वाले हाइपिपोट्स थोड़ा अधिक जटिल हैं: वे न केवल लॉग इन करने के प्रयास को रिकॉर्ड करते हैं, बल्कि यह भी रिकॉर्ड करते हैं कि हमलावर "सफल" पैठ के बाद क्या करने की कोशिश कर रहे हैं।


यहाँ कुछ सामान्य संख्याएँ हैं। IoT उपकरणों के लिए मैलवेयर वेरिएंट की संख्या लगातार बढ़ रही है: 2017 की तुलना में इस वर्ष के 7 महीनों में लगभग तीन गुना अधिक संशोधनों का पता चला। ज्यादातर वे टेलनेट प्रोटोकॉल (सभी हमलों का 75.40%) पर हमला करने की कोशिश करते हैं, दूसरे स्थान पर एसएसएच (11.59% - यह भी कम से कम पासवर्ड प्रविष्टि को अक्षम करने के लिए वांछनीय है, और इससे भी बेहतर, पोर्ट को पुन: असाइन करें)। बाकी (13.01%) अन्य प्रोटोकॉल का उपयोग करते हुए एक हमला है, जैसे एक ही मिकरोटिक राउटर के कस्टम नियंत्रण इंटरफ़ेस।

हर पांचवें हमले में मिराई बॉटनेट के मैलवेयर के एक वेरिएंट को डाउनलोड किया गया। बॉटनेट के रचनाकारों को पहले ही पकड़ा जा चुका है, लेकिन इसका स्रोत कोड जनता के लिए अपलोड कर दिया गया है, ताकि 2016 में महामारी शुरू करने के लिए जिम्मेदार लोगों का कब्जा आगे के हमलों को रोक न सके। आप यहां मिराई के बारे में अधिक पढ़ सकते हैं, लेकिन नीचे दी गई तस्वीर स्पष्ट रूप से दिखाती है कि कौन सा लॉगिन सेट - बॉटनेट पासवर्ड का विस्तार करने की कोशिश कर रहा है।


इन जोड़ों द्वारा, एक कमजोर डिवाइस की पहचान करना काफी संभव है: एक आईपी कैमरा, एक सेट-टॉप बॉक्स, एक डिजिटल वीडियो रिकॉर्डर, एक नेटवर्क प्रिंटर, और इसी तरह। बॉटनेट्स के रचनाकारों के बीच एक निश्चित प्रतिस्पर्धा है: इसलिए टेलनेट या एसएसएच प्रोटोकॉल के माध्यम से उन्हें स्वीकार करने वाले किसी भी उपकरण के लिए बड़ी संख्या में अनुरोध, और एक सफल हमले के बाद पासवर्ड बदलने की प्रवृत्ति - अन्यथा अगले डिवाइस पर आपके मॉनिटरिंग सॉफ़्टवेयर को स्थापित करने की कोशिश की जाएगी।


देश के अनुसार, "हमलावर" इस ​​तरह वितरित किए जाते हैं। ब्राज़ील पहले आता है, एक ऐसा देश जिसका आईओटी बॉटनेट के बारे में एक से अधिक बार उल्लेख किया गया है। कुल मिलाकर, "हनिपोट्स" ने 86,560 अद्वितीय आईपी पतों से 12 मिलियन हमले दर्ज किए, एक और 27,000 आईपी ने मालवेयर के वितरण में भाग लिया। दिलचस्प बात यह है कि आईपी पर हमला करने वालों की संख्या संक्रमित उपकरणों की कुल संख्या से बहुत कम थी। कई स्पष्टीकरण हो सकते हैं: एनएटी के पीछे संक्रमित उपकरणों को ढूंढना, हमलों के लिए बॉटनेट के केवल एक छोटे हिस्से का उपयोग करना, या कुछ और। जैसा कि आमतौर पर होता है, साइबर क्रिमिनल्स की कार्रवाई पर नज़र रखने से तस्वीर का कुछ ही हिस्सा मिलता है।

आप किसी बोटनेट की शक्ति का मूल्यांकन कर सकते हैं जब इसका उपयोग उसके इच्छित उद्देश्य के लिए किया जाता है। 2016 में, डीएनएस डीएनएस प्रदाता पर हमले की शक्ति 1 टेराबाइट्स प्रति सेकंड से अधिक हो गई , इसे मिराई बॉटनेट द्वारा नियंत्रित 100 हजार से अधिक उपकरणों के साथ किया गया था। हालाँकि, कास्परस्की लैब के विशेषज्ञ ठीक ही कहते हैं कि "पैराडाइवल जीवन" लाखों डिवाइसों के साथ केवल डिफ़ॉल्ट पासवर्ड द्वारा कवर किया जाता है। अगला चरण IoT उपकरणों में कमजोरियों का शोषण है, जिसमें डिफ़ॉल्ट पासवर्ड की आवश्यकता नहीं होती है। इस तरह के और अधिक जटिल हमले रीपर बॉटनेट द्वारा किए जा सकते हैं।

यहां दी गई कमजोरियों के कुछ उदाहरण दिए गए हैं: डी-लिंक 850 एल राउटर पर पूर्ण नियंत्रण प्राप्त करना; आगे पासवर्ड ब्रूट बल के साथ सीरियल नंबर द्वारा बाहर से " प्रत्यक्ष पहुंच " की सुविधा के साथ आईपी कैमरे; सबसे सरल और आसान नकली कुकी तक पहुंच के साथ सीसीटीवी प्रणाली।


लेकिन यह सब भविष्य में है, लेकिन अभी के लिए, ऊपर की प्लेट यह स्पष्ट करती है कि IoT पर 90% से अधिक हमले आम क्रूरता बल हैं। कमजोरियों की अभी आवश्यकता नहीं है । मैंने विशेष प्रशासन इंटरफेस के बारे में भी बात नहीं की है, लेकिन रिपोर्ट में और उनके बारे में बहुत कुछ लिखा गया है ।

यह प्राथमिक उपचार की पूर्ण अनुपस्थिति का कुछ प्रकार है। बीस साल पहले, असुरक्षित POP3 प्रोटोकॉल का उपयोग करके मेल सर्वर से जुड़ना और क्लीयर टेक्स्ट में मैसेंजर सर्वर को पासवर्ड ट्रांसफर करना आम बात हो गई थी। इंटरनेट युवा और भोला था। अब सुरक्षा के लिए इस दृष्टिकोण के साथ उपकरणों का उत्पादन करने के लिए - ठीक है, इसे बहुत नरम, शॉर्टसाइट करने के लिए। क्या करें? सबसे पहले, IoT डिवाइस को नेटवर्क से एक्सेस करने योग्य न बनाएं। सभी की मदद के लिए वीपीएन। बेशक, यह सलाह उन लोगों के लिए बेकार है जिनके पास आईपी कैमरा है, लेकिन यह पता नहीं है कि टेलनेट और वीपीएन क्या हैं।

क्या हमें उम्मीद है कि निर्माता धीरे-धीरे IoT उपकरणों की सुरक्षा में सुधार करेंगे? यह लाखों स्पष्ट रूप से कमजोर उत्पादों की नेटवर्क उपलब्धता को रद्द नहीं करेगा, जो कि स्मार्टफोन और लैपटॉप के विपरीत, वर्षों से अपडेट नहीं किए गए हैं। और सब कुछ इतना बुरा है कि प्रसिद्ध क्रिप्टोग्राफर ब्रूस श्नेयर ने उद्योग के राज्य विनियमन के लिए कहा - ठीक है, जो कि क्रिप्टोग्राफी के संबंध में शत्रुता के साथ माना जाता है। क्या कोई अन्य तरीके हैं? बहुत स्पष्ट नहीं है।

यहां आपके लिए नवीनतम समाचार है । WD माय क्लाउड राउटर्स में कमजोरता पाई गई। मैं उद्धृत करता हूं: "पश्चिमी डिजिटल नेटवर्क ड्राइव के सीजीआई इंटरफेस के कार्यान्वयन के बाद से कुकीज़ को प्रमाणीकरण के लिए उपयोग करने की अनुमति मिलती है, हमलावर सत्र के दौरान कुकी: उपयोगकर्ता नाम = व्यवस्थापक स्ट्रिंग सहित किसी भी कमांड को निष्पादित करने के लिए एक HTTP अनुरोध भेज सकता है।"


डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।