中国足彩网14选9|中国足彩网比分直播网

iLnkP2P 爆嚴重漏洞:全球 200 萬物聯網設備受影響

為促進社區發展,運維派尋求戰略合作、贊助、投資,請聯系微信:helloywp

新的研究發現,數百萬安全攝像頭和其他消費類電子產品中的P2P(peer-to-peer)通信技術存在著幾個關鍵的安全漏洞,使設備暴露在遭受竊聽,憑證竊取和遠程攻擊的威脅之中。

安全漏洞涉及由中國深圳云尼科技開發的軟件——iLnkP2P。?iLnkP2p捆綁了數百萬物聯網(IoT)設備,包括安全攝像頭和網絡攝像頭,嬰兒監視器,智能門鈴和數字視頻錄像機。

iLnkP2P旨在讓這些設備的用戶無需修改防火墻,就能夠從世界上任何地方快速輕松地遠程訪問物聯網設備:用戶只需下載移動應用程序,掃描條形碼或輸入印在設備底部的六位數ID,P2P軟件處理其余步驟,使得用戶可以輕松訪問。

但根據安全研究員Paul Marrapese與KrebsOnSecurity分享的深入分析,iLnkP2P設備提供無身份驗證或加密的訪問路徑,使得潛在的攻擊者可以繞過任何防火墻限制,輕松建立與這些設備的直接連接。

Marrapese說,他建立的概念驗證腳本確定了全球超過200萬個易受攻擊的設備(見上圖)。他發現39%的易受攻擊的物聯網設備都在中國;另外19%位于歐洲; 7%在美國。

雖然幾乎不可能列舉出超過一百萬個只有六位數ID的設備,但Marrapese指出,每個設備ID都以唯一的、標識哪個制造商生產了該設備字母前綴開頭,而且現在市面上有數十家企業在iLnkP2P軟件的白名單上。

例如,HiChip是一家中國的物聯網供應商,根據Marrapese的說法,該廠家生產的物聯網設備占據了易受攻擊設備的半壁江山,該廠商使用FFFF,GGGG,HHHH,IIII,MMMM,ZZZZ作為前綴。

Marrapese表示,從理論上講,這使他們能夠僅為這些前綴支持近600萬臺設備,實際上,在2019年3月,在線設備的數量約為1,517,260臺。通過列舉所有其他供應商的前綴,在線設備數量接近200萬臺。

Marrapese表示,他還構建了一個概念驗證攻擊,可以通過濫用內置的“心跳”功能來竊取設備中的密碼。 在連接到網絡后,iLnkP2P設備將定期向其預配置的P2P服務器發送心跳或“我在這里”的消息,并等待進一步的指示。

Marrapese繼續講到,P2P服務器會將連接請求指向最近收到的心跳消息的來源,只需知道有效的設備UID,攻擊者就有可能發出欺詐性的心跳消息,這些消息將取代真正的設備發出的任何消息。 連接后,大多數客戶端將立即嘗試以純文本形式作為管理用戶進行身份驗證,從而允許攻擊者獲取設備的憑據。

更糟糕的是,即使攻擊者不想打擾攔截設備密碼,其中很多人也會使用出廠默認密碼在出廠默認狀態下運行。 物聯網惡意軟件Mirai利用這一點,迅速傳播到數百萬臺設備。

更重要的是,正如我們在Mirai看到的那樣,這些物聯網設備中內置的固件和軟件通常基于多年前的計算機代碼并充滿安全漏洞,這意味著任何能夠與他們直接通信的人也可能能夠 使用惡意軟件遠程破壞它們。

Marrapese表示,盡管有人試圖通知中國的CERT,超過四個月的時間,iLnk以及其他生產這些設備的六家主要供應商都對此毫不理會。 包括HiChip和iLnk都沒有回應KrebsOnSecurity發出的評論請求。

有趣的是iLnk的網站(p1.i-lnk [.] com)目前似乎無法正常運行,對其HTML源代碼檢查發現,該網站目前受到模糊腳本的攻擊,瀏覽者瀏覽網頁容易跳轉到中文游戲網站上。

盡管這些漏洞普遍存在影響,但Marrapese的研究表明,供應商并不打算采取補救措施。

“由于幾個原因,這些漏洞的性質使它們極難修復,”Marrapese寫道。 “由于在制造過程中永久分配的設備UID不可能,因此不太可能進行基于軟件的修復。 此外,即使發布了軟件補丁,大多數用戶更新其設備固件的可能性也很低。 由于相當大的后勤挑戰,物理設備召回也不太可能。 深圳云尼科技是一家上游供應商,由于采用了白標和轉售的方式,因此不可估量的有多少子供應商。”

Marrapese表示,沒有切實可行的方法來關閉受影響設備上的P2P功能。許多物聯網設備可以使用內置于基于硬件的路由器(稱為通用即插即用(UPnP))中的功能在防火墻中打孔。但是簡單地關閉一個路由器上的UPnP并不會阻止設備建立P2P連接,因為它們依賴于稱為“UDP打孔”的不同通信技術。

Marrapese說,通過設置阻止發往UDP端口32100的流量的防火墻規則,應該可以阻止易受攻擊的設備與任何P2P服務器進行通信。

然而,一個更安全的想法是簡單地避免購買或使用宣傳任何P2P功能的物聯網設備。之前的研究發現了其他物聯網系統內置的P2P功能中的類似漏洞。

Marrapese在這里更詳細地記錄了他的發現。 枚舉漏洞已分配給CVE-2019-11219,并且中間人漏洞已分配給CVE-2019-11220。

原文鏈接:

https://krebsonsecurity.com/2019/04/p2p-weakness-exposes-millions-of-iot-devices/

網友評論comments

發表評論

電子郵件地址不會被公開。 必填項已用*標注

暫無評論

Copyright ? 2012-2019 YUNWEIPAI.COM - 運維派 - 粵ICP備14090526號-3
掃二維碼
掃二維碼
返回頂部
中国足彩网14选9 中国福利彩票双色球走势图 体彩组六六码遗漏 在农村如何赚钱 北京pk10基本走势软件 一码独胆技巧pk10 过去赚钱不花钱的开店项目 捕鱼游戏哪个好玩一点 梦幻西游跑环怎么赚钱吗 北京pk赛车技巧走势 重庆时彩开奖结果查询 计算机工程赚钱 四川时时走势图 上海时时奖结果查询 山东群英会中奖规则表 北京pk10群彩计划软件 东京1.5分彩是官方的吗