Анализ уязвимостей IoT-устройств на российском рынке

Автор: эксперт по наступательной безопасности Sitronics Group Котиков Никита.

Как показывает статистика, применение в повседневной жизни «умных» вещей и их компонентов стремительно растет – чего стоят одни лишь «умные» колонки, давно ставшие полноправными членами семей для многих из нас. Не стоит забывать и о популяризации интеграции IoT в медицину, промышленность, транспорт – они везде. По нескромным подсчетам портала Statista, количество «умных» вещей уже буквально через 6 лет превысит 29 миллиардов.

Как известно, рост количества выпускаемых устройств всегда требует повышения уровня их защиты и глубокой экспертизы специалистов. Первые атаки на «умные» устройства были зафиксированы более 10 лет назад, а в настоящее время уже можно выделять отдельное направление защиты, связанное с IoT.

На прошлой неделе в интернете обсуждали крупную DDoS-атаку с использованием «умных» щеток. Статья оказалась фейком, тем не менее, специалисты Fortinet по защите IoT-устройств на конкретном примере прокомментировали реальную возможность такого механизма воздействия, чем в очередной раз подчеркнули актуальность вопроса защиты «умных» устройств.

В рамках обеспечения безопасности IoT можно выделить три направления угроз.

Физическое воздействие на устройство

«Умные» устройства строятся на базе существующих чипов (например, Espressif ESP32), что автоматически подразумевает потенциальную подверженность устройств характерным для используемого микроконтроллера недостаткам. Ярким примером является сбой в работе чипа (Fault Injection), позволяющий обойти механизмы Secure Boot и шифрование памяти, вызванный направленным электромагнитным полем. В этом случае злоумышленник получает возможность беспрепятственно взаимодействовать с памятью и выполнять производный код.

Нередки случаи, когда разработчики IoT-устройств в принципе не используют функционал Secure Boot и шифрование памяти, что также позволяет злоумышленнику беспрепятственно выкачивать незашифрованную прошивку устройства для анализа, а также загружать на устройство модифицированный код. Сторонняя прошивка может нести в себе недокументированные возможности и позволяет злоумышленнику использовать устройство пользователя не по назначению (посредством исполнения вредоносного кода) или препятствовать его нормальному функционированию вплоть до состояния «кирпича».

Поэтому немаловажным будет обратить внимание на анализ безопасности самого исходного кода прошивки – зачастую именно там содержатся недостатки, приводящие в дальнейшем к появлению 0-day уязвимостей, раскрытию учетных данных, директорий backend-серверов и иной критической информации.

Не стоит забывать и о загрузочной информации (bootlog), которая считывается в процессе перезагрузки устройства и модулей микроконтроллера. Bootlog потенциально может содержать такие данные как: версия прошивки, учетные данные в открытом виде, наименования используемых беспроводных точек доступа и пароли к ним, а также используемые ключи шифрования (даже после проведения процедуры «обнуления» – Factory Reset).

Удаленное воздействие на устройство

Одной из распространенных ошибок разработчиков IoT-устройств является использование слабых алгоритмов шифрования или полное их отсутствие, что автоматически открывает дорогу злоумышленникам с использованием атак типа «человек посередине» (MiTM). В этом случае нарушитель получит возможность инспектировать все передаваемые между устройствами и серверами данные, в том числе секреты доступа и конфигурационную информацию. Также нарушитель может применить данную технику в отношении протоколов взаимодействия узлов между собой – BLE или ZigBee, что позволит ему выдавать себя за другое устройство и потенциально нарушить работоспособность системы.

Еще один из наиболее распространенных методов воздействия – ограничение объема добавляемых к использованию устройств (разновидность отказа в обслуживании). В качестве примера – потенциальный злоумышленник создает более 30 фальшивых экземпляров конечных точек ZigBee, которые заполняют всю память маршрутизирующих устройств, в то время как пользователь не имеет возможности присоединить к системе легитимное устройство.

Воздействие на backend-инфраструктуру

При использовании «умных» устройств необходимо уделить максимум внимания разработке мер защиты в отношении конечных точек, с которыми производится взаимодействие. Соответственно, в первую очередь необходимо определить наличие открытых портов и используемых сервисов, а также проверить их конфигурацию и актуальность версий.

Важной задачей является обеспечение безопасного доступа к административным интерфейсам и сервисам, в том числе, исключение использования учетных данных по умолчанию или простых комбинаций.

Как и в случае с самими устройствами, необходимо обратить внимание на использование стойких алгоритмов шифрования для предотвращения атак типа «человек посередине» (MiTM).

Стоит отметить, что IoT-устройства на сегодняшний день представляют наибольший интерес для злоумышленников по ряду причин:

• Простота использования в DDoS;
• Проксирование трафика;
• Нарушение конфиденциальности (видеокамеры);
• Внедрение ВПО.

Несмотря на наличие актуальных угроз и рост числа инцидентов в отношении «умных» устройств, большинство активных экземпляров по-прежнему недостаточно защищены. Для предотвращения нелегитимного воздействия необходимо реализовать комплексный подход к обеспечению защиты IoT-устройств и исключить наличие популярных уязвимостей.

В качестве заключения хотелось бы представить сводный перечень актуальных недостатков в отношении «умных» устройств:

1. Уязвимости микропроцессоров.
2. Небезопасная конфигурация (Secure Boot / Flash Encrypt).
3. Раскрытие информации (исходный код, bootlog).
4. Слабые алгоритмы шифрования.
5. Атаки на протоколы пейринга и взаимодействия (BLE, ZigBee).
6. Небезопасные конфигурации сервисов.
7. Использование учетных данных по умолчанию / слабые пароли.
8. Некорректный контроль обновлений компонентов.

Избежать возникновения недостатков поможет реализация комплексного подхода к безопасности функционала на этапах проектирования, конструирования и разработки ПО, а также использование технологий собственного межсетевого экранирования и стойких алгоритмов шифрования данных.

Оригинал публикации на сайте CISOCLUB: "Анализ уязвимостей IoT-устройств на российском рынке".

Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.

Подписывайтесь на нас: VK | Twitter | Rutube | Telegram | Дзен | YouTube.