A svéd David Jacoby napjai jó részét a Kaspersky Lab szolgálatával tölti, tekintve, hogy a cég evangelistája. Otthon azonban átlényegül hackerré. Igaz, ártatlan hackerré, mert saját eszközeivel kísérletezik, például azzal, hogy mennyire biztonságos az otthona. Az érdekes kísérletről a Biztonságportál készített összefoglalót.

A hackerkedés tárgya két, különböző gyártótól származó hálózati adattároló (NAS), egy okostévé, egy műholdvevő és egy nyomtató volt. És mindjárt el is áruljuk az eredményt: a hálózati tárolóknál 14, az okostévénél pedig egy sérülékenységet talált. A routerben viszont több rejtett, távoli vezérlést lehetővé tevő funkciót is felfedezett.

Mindehhez ráadásul mindössze 20 percre volt szüksége.

Jacoby szerint egyébként ezeknél az eszközöknél különösen fontos kérdés az életciklus, ami egy-két év. A gyártók többsége utána már biztonsági javításokat sem ad berendezéseihez. Pedig a fenti berendezések mindegyikét jellemzően tovább használják, mint a gyártó által megadott életciklus.

A NAS-ok súlyos hibákat tartalmaztak

Jacoby a legsúlyosabb sérülékenységeket a hálózati adattárolókban találta, olyanokat is, melyek révén a támadó távolról rendszerműveleteket hajthat végre adminisztrátori jogosultságokkal. Több konfigurációs fájlhoz tartozott nem megfelelő jogosultsági szint, és persze az örök probléma: a jelszót egyszerű szöveges formában történő tárolására is akadt példa. Az egyik NAS alapértelmezett jelszava mindössze egy karakter hosszúságú volt, míg a másik valamilyen rejtélyes okból mindenkivel megosztotta a titkosított jelszavakat tartalmazó konfigurációs fájlját.

Az egyik feltárt sérülékenység kihasználásával olyan adatterületre is fel lehetett tölteni fájlt, ami elvileg a felhasználóknak nem hozzáférhető. Ez lehetne akár rosszindulatú állomány is, ami a NAS-t egyből fertőzési gócponttá tenné a környezetében. És ami különösen pikáns a dologban: a fertőző fájl törlésének egyetlen módja, ha kihasználjuk azt a sérülékenységet, amivel feltöltöttük.

Közbeékelődéses támadás az okostévéből

Az okostévével sem jobb a helyzet: a tévé és a gyártója ugyanis kommunikálnak egymással, csakhogy nem titkosított csatornán. Már az is érdekes, hogy kommunikálnak, de ez részben érthető: így jönek a frissítések, az új appok stb. (bár ez megoldható azért elegánsabban is). Ám itt az igazi veszély, hogy az, hogy ez a kommunikációs forma ún. man-in-the-middle típusú, azaz közbeékelődéses támadásokra ad lehetőséget.

Jacoby próbaképpen lecserélte a tévé egyik ikonját – normál esetben az is a gyártó szerveréről töltődik le. Mivel a kommunikációt nem titkosították, az átvitel során külső személy is módosíthatja az átvitt adatokat. Ha tévé Java kódokat is tud futtatni, akár összetett támadások is indíthatók egy okostévével.

Ehhez képest az már nem is meglepő, hogy az internetkapcsolatot biztosító DSL router is veszélyes: rajta keresztül hozzá lehet férni a helyi hálózatra kapcsolódó eszközökhöz (PC, tévé, NAS, telefon stb.)

A vége mindig bullshit

Bár Jacoby egyből előrántja a szokásos szöveget (használjunk biztonsági szoftvert, frissítsünk firmware-t, váltzotassuk meg az alapértelmezett user/password párost stb.), lássuk be, ez a felhasználók többségének meghaladja a technikai felkészültségét. Hiába lehet akár egy otthoni router segítségével is külön hálózatot kialakítani a különböző készülékekhez, vagy korlátozni az azokhoz történő hozzáférést (DMZ/VLAN), a netezők többségének valószínűleg ez nem menne technikai segítség nélkül. Azt igénybe venni pedig snassz vagy egyszerűen macerás.

Tehát valószínűleg minden marad a régiben, sőt az Internet of Things hatására nöekvő összekapcsoltság következtében egyre súlyosabb lesz – már ha az eszközgyártókat nem szorítja rá valami arra, hogy tegyenek valamit készülékeik biztonságáért.