Átjáróház a legtöbb otthoni NAS szoftvere
Jacob Holcomb, a baltimore-i (MD, USA) Independent Security Evaluators szakembere tavaly az otthoni routerek, idén pedig a hálózati adattárolók biztonságát vette górcső alá a Black Hat konferencián. A téma ugyan változott, de a konklúzió nemigen: a vizsgált termékek biztonsága csapnivaló.
Próbaképpen 10 különböző otthoni, illetve SOHO kategóriás hálózati adattárolót vett szemügyre biztonsági szempontból Holcomb, és azt találta, ezeknek az eszközöknek a védelme még az otthoni Wi-Fi routerekénél is gyengébb, a szoftvereik hemzsegnek a különféle sérülékenységektől. "Egyetlen eszköz sem volt, ami felett ne tudtam volna átvenni az uralmat" - idézi Holcombot az amerikai Computerworld. A szakértő a Las Vegasban zajló Black Hat biztonsági konferencián közel egy órában ismertette vizsgálódásának lesújtó eredményeit. "Legalább 50 százalékuk azonosítás nélkül törhető."
Rengeteg a sebezhetőség
Holcomb a vizsgálataihoz összesen 10 különféle gyártótól származó NAS-t használt: Asustor AS-602T, TRENDnet TN-200 és TN-200T1, QNAP TS-870, Seagate BlackArmor 1BW5A3-570, Netgear ReadyNAS104, D-LINK DNS-345, Lenovo IX4-300D, Buffalo TeraStation 5600, Western Digital MyCloud EX4 és ZyXEL NSA325 v2 hálózati tárolókat. Bár a projekt csak nemrég indult, a MITRE már több mint 20 sebezhetőséget írt fel a Common Vulnerabilities and Exposures (CVE) listára Holcomb felfedezései alapján és valószínűleg még jóval többet fog.
A NAS-ok szoftverében számos különféle hibát talált Holcomb: command injection sebezhetőséget, puffertúlcsorduláshoz vezető hibát, azonosítás megkerülésére alkalmas módszereket, információszivárgást, véletlen vagy szándékosan a kódban maradt backdoort például. A kutató szerint ezekben az eszközben a sérülékenységek kihasználásával root shell szerezhető, vagyis a támadó a legmagasabb jogosultsággal adhat ki parancsokat vagy futtathat programokat.
A Black Hat konferencián Holcomb egy D-Link, egy NetGear, egy Buffalo és egy TRENDnet eszköz ellen mutatott be sikeres támadásokat, illetve demonstrálta a Seagate eszközében elrejtett backdoort, illetve az Asusutor hálózati eszközének gyenge cookie-generálási algoritmusát, amely session-lopásra és illetéktelen behatolásra alkalmas. A szakértő az összes megtalált sebezhetőséget jelentette a gyártóknak, azonban a friss szoftverek megjelenéséig még hetek vagy hónapok telhetnek el, és egyáltalán nem biztos, hogy a javított verziókat a felhasználók telepíteni fogják valaha. Ilyen, már javított sebezhetőséget használ ki a SynoLocker nevű malware is, amely Synology hálózati tárolók szoftverében talált sebezhetőségen keresztül a meghajtó teljes tartalmát titkosítja és túszul ejti, a felhasználónak fizetnie kell a bűnözőknek, hogy visszakapja féltve őrzött információt.
Nagy pénz, nagy szívás: útravaló csúcstámadó IT-soknak Az informatikai vezetősködés sokak álma, de az árnyoldalaival kevesen vannak tisztában.
Az otthoni routerek és NAS-ok biztonsági rései persze nem vehetők egy kalap alá. Egy router megtörésével a támadók akár a komplett hálózati forgalmat megfigyelhetik, eltéríthetik vagy módosíthatják, ráadásul a routerek szinte biztosan csatlakoznak a nyilvános internetre, így könnyebben támadhatók. Egy otthoni NAS támadásához először a hálózatba kell bejutni, de siker esetén a bűnözők a felhasználók teljes digitális archívumát megszerezhetik vagy manipulálhatják, pótolhatatlan adatokat (pl. családi képeket vagy munkával kapcsolatos dokumentumokat) semmisíthetnek meg. Közel sem biztos tehát, hogy aki tárhely helyett egy otthoni hálózati tárolóra bízza titkait, nagyobb biztonságban tudhatja őket.
A kisvállalati NAS-okkal sem biztos, hogy jobban járunk
Holcomb szerint ami ennél is aggasztóbb lehet, hogy számos gyártó az alsó kategóriás, otthoni használatra szánt hálózati tárolók kódbázisára építi a nagyobb kapacitású és teljesítményű vállalati verziók szoftverét is, így semmilyen garancia nincs arra, hogy ezek felhasználóit nem lehet ilyen banális sérülékenységeken keresztül támadni. "Egy vállalati verzióért kifizetett felár nem jelenti azt, hogy a biztonsági szint magasabb lenne" - figyelmeztet a kutató.