นักวิจัยจาก Trail of Bits เพิ่งได้รับรางวัลรองชนะเลิศในหมวด Most Innovative Exploitation Technique ที่การแข่งขัน Junkyard ของ DistrictCon หลังจากสามารถเจาะระบบอุปกรณ์เครือข่ายที่เลิกผลิตแล้วสองชิ้น ความสำเร็จของพวกเขาในการเจาะเราเตอร์ Netgear WGR614v9 และ BitDefender Box V1 ได้จุดประกายการถกเถียงที่น่าสนใจในชุมชนความปลอดภัยเกี่ยวกับว่าฮาร์ดแวร์ที่หมดอายุการสนับสนุน (EOL) มีความเสี่ยงมากกว่าอุปกรณ์ใหม่จริงหรือไม่
ข้อมูลจำเพาะของอุปกรณ์ที่ถูกโจมตี
| อุปกรณ์ | ประเภท | สถาปัตยกรรม | ช่องโหว่หลัก | วิธีการโจมตี |
|---|---|---|---|---|
| Netgear WGR614v9 | เราเตอร์ | ระบบ MIPS32 | การข้ามการยืนยันตัวตน, Buffer overflow, การแทรกคำสั่ง | การโจมตีผ่าน UPnP daemon โดยใช้ข้อความ SOAP |
| BitDefender Box V1 | อุปกรณ์รักษาความปลอดภัย | ระบบ ARM | การดาวน์เกรดเฟิร์มแวร์โดยไม่ต้องยืนยันตัวตน, การแทรกคำสั่ง | การดาวน์เกรดเฟิร์มแวร์ + การแทรกพารามิเตอร์ MD5 |
 |
|---|
| Trail of Bits ได้รับรางวัลที่ DistrictCon สำหรับเทคนิคการใช้ประโยชน์ที่สร้างสรรค์ |
ความขัดแย้งหลักด้านความปลอดภัย
ผลการวิจัยของทีมงานได้เน้นย้ำคำถามพื้นฐานที่กำลังแบ่งแยกผู้เชี่ยวชาญด้านความปลอดภัย: อุปกรณ์ที่ถูกทิ้งร้างมีช่องโหว่มากกว่าอุปกรณ์ใหม่จริงหรือไม่ สมาชิกในชุมชนหลายคนโต้แย้งว่าช่องโหว่เหล่านี้มีอยู่ตั้งแต่วันแรก ไม่ใช่เพราะอุปกรณ์เสื่อมสภาพตามอายุ ข้อบกพร่องที่ถูกเอาเปรียบ รวมถึงการข้ามการยืนยันตัวตน การล้นบัฟเฟอร์ และช่องโหว่การแทรกคำสั่ง ถูกฝังอยู่ในเฟิร์มแวร์ตั้งแต่อุปกรณ์เหล่านี้ออกจำหน่ายครั้งแรก
มุมมองนี้ท้าทายสมมติฐานทั่วไปที่ว่าใหม่กว่าเท่ากับปลอดภัยกว่า เราเตอร์ใหม่เอี่ยมที่วางอยู่บนชั้นวางร้านค้าในวันนี้น่าจะมีช่องโหว่ที่ยังไม่ถูกค้นพบซึ่งนักวิจัยยังไม่ได้พบ ความแตกต่างคืออุปกรณ์ EOL มีเวลามากกว่าสำหรับนักวิจัยด้านความปลอดภัยในการค้นพบข้อบกพร่อง
เศรษฐศาสตร์ของการวิจัยช่องโหว่
การอภิปรายเผยให้เห็นมุมมองทางเศรษฐกิจที่น่าสนใจของภัยคุกคามทางไซเบอร์ ฮาร์ดแวร์ที่ถูกทิ้งร้างซึ่งมีฐานการติดตั้งขนาดใหญ่กลายเป็นเป้าหมายที่น่าสนใจสำหรับผู้ไม่หวังดี เพราะผลตอบแทนจากการลงทุนสูงกว่า เมื่ออุปกรณ์หลายล้านเครื่องมีช่องโหว่เดียวกันที่ไม่สามารถแก้ไขได้ ความพยายามที่ใช้ในการพัฒนาการโจมตีจะได้ผลตอบแทนในพื้นผิวการโจมตีที่ใหญ่กว่ามาก
ในขณะเดียวกัน เวลาและทักษะที่ต้องใช้ในการค้นหาช่องโหว่ใหม่ในฮาร์ดแวร์ที่เพิ่งออกใหม่มักจะผลักดันนักวิจัยไปสู่โปรแกรมค่าตอบแทนการค้นหาบั๊กที่ถูกกฎหมายมากกว่าการใช้ประโยชน์ในทางที่ผิด สิ่งนี้สร้างแรงกดดันทางตลาดตามธรรมชาติที่ทำให้อุปกรณ์ EOL อันตรายกว่าในทางปฏิบัติ แม้ว่าจะไม่ได้มีความปลอดภัยน้อยกว่าโดยธรรมชาติเมื่อผลิต
วิธีแก้ปัญหาเชิงปฏิบัตินอกเหนือจากการเปลี่ยนใหม่
การอภิปรายในชุมชนได้ให้แนวทางเชิงปฏิบัติหลายประการสำหรับการจัดการกับฮาร์ดแวร์ EOL แทนที่จะทิ้งอุปกรณ์เก่าทันที ผู้ใช้สามารถลดความเสี่ยงผ่านการแบ่งส่วนเครือข่ายและการเลือกซอฟต์แวร์อย่างระมัดระวัง ผู้ใช้ที่ใส่ใจความปลอดภัยบางคนได้เปลี่ยนไปสร้างเราเตอร์ของตัวเองโดยใช้ฮาร์ดแวร์ PC มาตรฐานกับ OpenBSD หรือระบบปฏิบัติการที่คล้ายกัน ซึ่งได้รับการอัปเดตความปลอดภัยเป็นประจำเป็นระยะเวลานานกว่า
อย่าซื้อมันตั้งแต่แรก หากยังไม่ได้รับการสนับสนุนจาก OpenWRT
แนวทางนี้สะท้อนความตระหนักที่เพิ่มขึ้นว่าวงจรชีวิตความปลอดภัยควรเป็นข้อพิจารณาหลักเมื่อซื้ออุปกรณ์เครือข่าย ไม่ใช่แค่ความคิดหลังเมื่ออุปกรณ์หยุดรับการอัปเดต
ภาพใหญ่สำหรับความปลอดภัย IoT
การถกเถียงขยายไปนอกเหนือจากเราเตอร์และอุปกรณ์ความปลอดภัยไปสู่ระบบนิเวศ Internet of Things ที่กว้างขึ้น Smart TV อุปกรณ์ระบบอัตโนมัติในบ้าน และฮาร์ดแวร์ที่เชื่อมต่ออื่นๆ เผชิญกับความท้าทายที่คล้ายกันเมื่อผู้ผลิตเลิกสนับสนุน การวิจัยได้เน้นย้ำว่าแม้แต่อุปกรณ์ที่เน้นความปลอดภัยอย่าง BitDefender Box ก็สามารถกลายเป็นภาระเมื่อกลไกการอัปเดตขาดการป้องกันการดาวน์เกรดที่เหมาะสม
การอภิปรายชี้ให้เห็นว่าอาจต้องมีแนวทางด้านกฎระเบียบ โดยสมาชิกชุมชนบางคนเสนอกฎหมายที่กำหนดให้ผู้ผลิตต้องเปิดซอร์สไดรเวอร์เมื่อเลิกสนับสนุน หรือเสนอการคืนเงินให้กับลูกค้าที่เหลือกับฮาร์ดแวร์ที่ไม่ได้รับการสนับสนุน
คำศัพท์ทางเทคนิค:
- EOL (End-of-Life): เมื่อผู้ผลิตหยุดให้การอัปเดตและการสนับสนุนสำหรับผลิตภัณฑ์
- UPnP: Universal Plug and Play โปรโตคอลที่อนุญาตให้อุปกรณ์ค้นพบและสื่อสารกันในเครือข่าย
- Buffer overflow: ช่องโหว่ที่โปรแกรมเขียนข้อมูลไปยังบัฟเฟอร์มากกว่าที่สามารถรองรับได้ ซึ่งอาจทำให้ผู้โจมตีสามารถรันโค้ดที่เป็นอันตรายได้