सुरक्षा सप्ताह 19: आईपी कैमरा, जीपीएस ट्रैकर्स और वायरलेस मॉनिटर्स में कमजोरियाँ

सप्ताह के दौरान, "आईओटी के साथ अभी भी गलत क्या है" विषय पर कई समाचार उठाए गए थे (पिछले मुद्दों: 1 , 2 , 3 )। जीपीएस ट्रैकर्स के लिए वेब इंटरफेस में डी-लिंक नेटवर्क वीडियो कैमरों और चीन से विभिन्न निर्माताओं के समान उपकरणों और यहां तक ​​कि वायरलेस कनेक्शन वाले एलसीडी पैनल में भी कमजोरियों का पता चला था, जो आमतौर पर कार्यालय प्रस्तुतियों के लिए उपयोग किए जाते हैं।

चलो उपकरणों की अधिकतम संख्या को प्रभावित करने वाली समस्या से शुरू करते हैं: कैमकोर्डर, चीन से कई निर्माताओं से दूरस्थ रूप से नियंत्रित डोरबेल्स और बेबी मॉनिटर। शोधकर्ता पॉल मर्रेपेज़ ने खोजा ( समाचार , एक संक्षिप्त रिपोर्ट ) जो कि ऐसे उपकरणों तक पहुंच सीरियल नंबर के माध्यम से छांटकर प्राधिकरण के बिना प्राप्त की जा सकती है, जिन्हें एक साधारण एल्गोरिथ्म का उपयोग करके संकलित किया गया है।

सभी उपकरण iLnkP2P नामक एक सामान्य रिमोट कंट्रोल एप्लिकेशन को साझा करते हैं। पहले कनेक्शन पर, IoT डिवाइस के मालिक को मामले पर मुद्रित बारकोड को स्कैन करने या मैन्युअल रूप से सीरियल नंबर दर्ज करने की आवश्यकता होती है। तदनुसार, हमलावर आसानी से सीरियल नंबर की पूरी श्रृंखला को स्कैन कर सकते हैं, काम कर रहे उपकरणों को ढूंढ सकते हैं और डिफ़ॉल्ट लॉगिन और पासवर्ड का उपयोग करके उन्हें एक्सेस कर सकते हैं।


यहां तक ​​कि अगर मालिक पासवर्ड बदलता है, तो कुछ मामलों में इसे इंटरसेप्ट किया जा सकता है, क्योंकि कुछ कमजोर डिवाइस डेटा एन्क्रिप्शन का उपयोग नहीं करते हैं। शोधकर्ता के अनुसार, कुछ उपकरणों के लिए डेटा एन्क्रिप्शन का दावा किया जाता है, हालांकि वास्तव में जानकारी स्पष्ट पाठ में प्रसारित की जाती है। कुल में, 15 प्रकार के उपकरणों को कम से कम छह अलग-अलग निर्माताओं की पहचान की गई थी। कमजोर उपकरणों की एक पूरी सूची को संकलित करने की संभावना नहीं है, यह एप्लिकेशन के नाम और सीरियल नंबर के भाग द्वारा उन्हें पहचानना आसान है।

एप्लिकेशन डेवलपर ने शोधकर्ता के अनुरोधों का जवाब नहीं दिया, और यह संभावना नहीं है कि वह इस भेद्यता को पूरी तरह से बंद कर पाएगा: उसे नए उपकरणों के लिए प्राधिकरण तंत्र को तोड़ना होगा। इसके अलावा, सॉफ़्टवेयर डेवलपर की साइट हैक होने लगती है, एक स्क्रिप्ट है जो आगंतुकों को चीनी खेल के मैदान पर पुनर्निर्देशित करती है। केवल यूडीपी पोर्ट 32100 के माध्यम से डेटा के हस्तांतरण को अवरुद्ध करना, जिसके माध्यम से डिवाइस इंटरनेट तक पहुंच में मदद करेंगे।

एक और "अध्ययन" के लेखक के पास कमजोरियों को खोजने के लिए एक नैतिक दृष्टिकोण के साथ स्पष्ट समस्याएं हैं। विक्रेता को सूचित करने के बजाय, एल एंड एम नाम के एक हैकर ने हजारों जियोलोकेशन सेवा प्रोफाइलों को हैक किया और मीडिया ( समाचार , मदरबोर्ड पर मूल लेख ) को जानकारी लीक कर दी। यह ProTrack और iTrack GPS ट्रैकर्स के लिए एक वेब सेवा है।

ये ट्रैकर्स आमतौर पर कारों में स्थापित होते हैं और आपको दूरस्थ रूप से ट्रैक आंदोलनों की अनुमति देते हैं। कुछ मामलों में, उन्नत कार्यक्षमता संभव है, जैसे इंजन को शुरू करना और रोकना। डेटा तक पहुंच के लिए और स्मार्टफोन के लिए नियंत्रण अनुप्रयोगों का उपयोग किया जाता है। अनुप्रयोगों की खोज करते समय, एल एंड एम ने पाया कि डिफ़ॉल्ट रूप से, सेवा ग्राहकों को पासवर्ड 123456 प्राप्त होता है, और हर कोई इसे नहीं बदलता है।


नतीजतन, डिवाइस के स्थान के बारे में डेटा तक पहुंचना संभव हो गया, क्लाइंट का वास्तविक नाम, और कुछ उपकरणों के लिए यदि कार खड़ी है या 20 किलोमीटर प्रति घंटे की गति से आगे बढ़ रही है तो इंजन को दूर से बंद करना संभव था। मदरबोर्ड उपकरणों के चार मालिकों से संपर्क करने और प्राधिकरण के बिना प्राप्त आंकड़ों की प्रामाणिकता की पुष्टि करने में कामयाब रहा। एक दिलचस्प और संभावित खतरनाक भेद्यता, लेकिन किसी भी मामले में, सुरक्षा अध्ययन थोड़ा अलग तरीके से किया जाता है।

IoT समस्याओं की सूची में डी-लिंक DCS-2132L आईपी कैमरों में भेद्यता के बारे में ESET अध्ययन ( समाचार , कंपनी की रिपोर्ट ) जोड़ें। विशेषज्ञों ने पाया है कि कैमरे और नियंत्रण एप्लिकेशन के बीच डेटा का एक महत्वपूर्ण हिस्सा एन्क्रिप्शन के बिना प्रसारित होता है। यह वीडियो डेटा को इंटरसेप्ट करना संभव बनाता है, लेकिन केवल मैन-इन-द-मिडिल स्क्रिप्ट के साथ या स्थानीय नेटवर्क तक पहुंच के साथ। बाद के मामले में, डिवाइस फर्मवेयर को बदलना संभव है।

अंत में, टेनबल सुरक्षा शोधकर्ताओं ने पाया ( समाचार , रिपोर्ट ) Crestron AirMedia और Barco wePresent सहित कई निर्माताओं से लोकप्रिय वायरलेस डिस्प्ले में 15 भेद्यताएं। सभी प्रभावित मॉनिटर कंप्यूटर को वायरलेस तरीके से कनेक्ट करने के लिए एक ही कोड का उपयोग करते हैं (लगभग)। इन उपकरणों, सबसे पहले, कंप्यूटर से कनेक्ट करने के लिए तारों की आवश्यकता नहीं होती है, और दूसरी बात, वेब इंटरफ़ेस के माध्यम से नियंत्रित की जा सकती है। क्रस्ट्रॉन एएम -100 डिवाइस की जांच करते समय कमजोरियों की खोज की गई जो वायरलेस मॉनिटर तक पूर्ण पहुंच की अनुमति देती है।


इस तरह के पैनलों का उपयोग करने के परिदृश्य के संदर्भ में यह समस्या दिलचस्प है: वे कार्यालयों में स्थापित हैं, उद्यम के स्थानीय नेटवर्क तक पहुंच सकते हैं और एक ही समय में - मेहमानों के लिए स्वयं पैनल तक सरलीकृत पहुंच। गलत मॉनिटर सेटिंग्स कंप्यूटर नेटवर्क की सुरक्षा में एक गंभीर उल्लंघन कर सकती हैं। शोधकर्ताओं के अनुसार, कमजोरियों को आंशिक रूप से एक सॉफ्टवेयर अपडेट द्वारा कवर किया गया था।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।