D-Link taustiņi Blunder pakļauj ikvienu riskam

Reklāma

Kā patērētāji mēs visi esam spiesti uzticēties zināmiem tehnoloģiju uzņēmumiem, kurus mēs izmantojam. Galu galā vairums no mums nav pietiekami kvalificēti, lai paši atklātu drošības nepilnības un ievainojamības.

Debates par privātumu un neseno furor, ko izraisa Windows 10 Vai Windows 10 WiFi Sense funkcija rada drošības risku? Lasīt vairāk ir tikai viena finierzāģa daļa. Vēl viena - kopumā draudīgāka daļa - ir tā, kad pašai aparatūrai ir trūkumi.

Lietpratīgs datora lietotājs var pārvaldīt savu klātbūtni tiešsaistē un pielāgot pietiekamus iestatījumus ierobežot viņu bažas par privātumu Viss, kas jums jāzina par Windows 10 konfidencialitātes jautājumiemKaut arī operētājsistēmai Windows 10 ir dažas problēmas, kas lietotājiem jāapzinās, daudzas prasības ir izsmidzinātas nesamērīgi. Šeit ir mūsu ceļvedis par visu, kas jums jāzina par Windows 10 konfidencialitātes jautājumiem. Lasīt vairāk , bet nopietnāka ir produkta pamata koda problēma; to ir daudz grūtāk pamanīt, un grūtāk ir uzrunāt galalietotāju.

Kas notika?

Jaunākais uzņēmums, kas izjauc savu ceļu uz drošības murgu, ir populārs Taivānas tīkla iekārtu ražotājs D-Link. Daudzi no mūsu lasītājiem izmantos savus produktus mājās vai birojā; 2008. gada martā viņi kļuva par lielāko Wi-Fi produktu pārdevēju pasaulē, un viņi šobrīd kontrolē aptuveni 35 procentus tirgus.

Iepriekš šodien izplatījās ziņas par gaffe, kas redzēja, ka firma izlaiž privātā koda parakstīšanas atslēgas nesenā programmaparatūras atjauninājuma avota kodā. Privātās atslēgas tiek izmantotas kā veids, kā dators var pārbaudīt, vai produkts ir oriģināls un vai produkta kods nav ticis mainīts vai bojāts kopš tā sākotnējā izveidošanas.

Tāpēc nespeciālistu izpratnē šī nepilnība nozīmē, ka hakeris var pats izmantot publicētās atslēgas programmas, lai maldinātu datoru, domājot, ka viņa vai viņas ļaunprātīgais kods faktiski ir likumīgs D-Link produkts.

Kā tas notika?

D-Link jau ilgu laiku lepojas ar savu atvērtību. Daļa no šīs atklātības ir apņemšanās atvērt visa uzņēmuma programmaparatūru, izmantojot vispārējās publiskās licences (GPL) licenci. Praksē tas nozīmē, ka ikviens var piekļūt jebkura D-Link produkta kodam - ļaujot to pielāgot un grozīt, lai tas atbilstu viņu precīzajām prasībām.

Teorētiski tā ir slavējama pozīcija. Tie no jums, kuri seko līdzi Apple iOS vs Android debatēm, bez šaubām, zina, ka viena no lielākajām kritikām Cupertino bāzētajā uzņēmumā ir viņu nelokāmā apņemšanās palikt slēgtiem cilvēkiem, kuri vēlas nomainīt avotu kods. Tas ir iemesls, kāpēc tādu pielāgoto ROM nav Android izstrādātais ciānmodulis Kā instalēt CyanogenMod jūsu Android ierīcēDaudzi cilvēki var piekrist, ka Android operētājsistēma ir diezgan satriecoša. Tas ir ne tikai lieliski lietojams, bet arī bezmaksas, tāpat kā atvērtā pirmkoda, lai to varētu pārveidot ... Lasīt vairāk Apple mobilajām ierīcēm.

Monētas pretējā puse ir tāda, ka, izgatavojot liela mēroga atklāta avota kļūdas, tām var būt milzīgs trieciena efekts. Ja viņu programmaparatūra būtu slēgta avota, tā pati kļūda būtu bijusi daudz mazāka problēma un daudz mazāka iespējamība, ka tā tiktu atklāta.

Kā tas tika atklāts?

Trūkumu atklāja norvēģu izstrādātājs, kas pazīstams kā “bartvbl”, kurš nesen bija iegādājies D-Link DCS-5020L novērošanas kameru.

Būdams kompetents un zinātkārs izstrādātājs, viņš nolēma apmesties “zem motora pārsega” ierīces programmaparatūras avota kodā. Tajā viņš atrada gan privātās atslēgas, gan ieejas frāzes, kas vajadzīgas programmatūras parakstīšanai.

Viņš sāka pats veikt eksperimentus, ātri atklājot, ka viņš spēj izveidot Windows pieteikumu, kuru parakstīja viena no četrām atslēgām, tādējādi parādot, ka tas nāk no D-Link. Pārējie trīs taustiņi nedarbojās.

Viņš dalījās atradumos ar holandiešu tehnoloģiju ziņu vietni Tweakers, kas savukārt atklājumu nodeva holandiešu drošības firmai Fox IT.

Viņi apstiprināja ievainojamību, izdodot šādu paziņojumu:

“Kodu parakstīšanas sertifikāts tiešām ir paredzēts programmaparatūras pakotnei, programmaparatūras versijai 1.00b03. Tā avota datums ir šā gada 27. februāris, kas nozīmē, ka šī sertifikāta atslēgas tika izlaistas krietni pirms sertifikāta termiņa beigām. Tā ir liela kļūda ”.

Kāpēc tas ir tik nopietni?

Tas ir nopietns vairākos līmeņos.

Pirmkārt, Fox IT ziņoja, ka vienā mapē ir četri sertifikāti. Šie sertifikāti nāca no Starfield Technologies, KEEBOX Inc. un Alpha Networks. Tos visus varēja izmantot, lai izveidotu ļaunprātīgu kodu, kuram ir iespēja apiet pretvīrusu programmatūra Salīdziniet savu pretvīrusu darbību ar šīm piecām labākajām vietnēmKādu pretvīrusu programmatūru vajadzētu izmantot? Kurš ir "labākais"? Šeit apskatīsim piecus labākos tiešsaistes resursus antivīrusu veiktspējas pārbaudei, lai palīdzētu jums pieņemt apzinātu lēmumu. Lasīt vairāk un citas tradicionālās drošības pārbaudes - patiešām lielākā daļa drošības tehnoloģiju uzticēsies parakstītajiem failiem un ļaus tiem iziet bez šaubām.

Otrkārt, progresīvie pastāvīgo draudu (APT) uzbrukumi kļūst par arvien iecienītāku hakeru darbības veidu. Viņi gandrīz vienmēr izmanto pazaudētus vai nozagtus sertifikātus un atslēgas, lai pakļautu savus upurus. Jaunākie piemēri ir Destover tīrītāju ļaunprātīga programmatūra 2014. gada noslēguma polemika: Sony Hack, The Interview un ZiemeļkorejaVai tiešām Ziemeļkoreja uzlauza Sony Pictures? Kur ir pierādījumi? Vai kādam citam izdevās gūt labumu no uzbrukuma, un kā incidents tika virzīts uz filmas reklamēšanu? Lasīt vairāk tika izmantots pret Sony 2014. gadā un Duqu 2.0 uzbrukums Apple ražotājiem no Ķīnas.

Ir acīmredzami, ka nav lietderīgi pievienot vairāk noziedznieka bruņojuma, un tas atgriežas pie sākumā pieminētā uzticības elementa. Mums, patērētājiem, ir jābūt modriem, aizsargājot savus uz drošību balstītos aktīvus, lai palīdzētu cīnīties pret kibernoziedznieku draudiem.

Kas tiek ietekmēts?

Godīga atbilde ir tāda, ka mēs nezinām.

Lai arī D-Link jau ir izlaidušas jaunas programmaparatūras versijas, nav iespējams pateikt, vai hakeriem pirms bartvbl publiskās atklāšanas izdevās iegūt un izmantot atslēgas.

Ir cerība, ka, analizējot ļaunprātīgas programmatūras paraugus tādos pakalpojumos kā VirusTotal, galu galā varētu rasties atbilde uz jautājumu, vispirms jānogaida, līdz tiek atklāts potenciālais vīruss.

Vai šis atgadījums satricina jūsu uzticību tehnikai?

Kāds ir jūsu viedoklis par šo situāciju? Vai šādi trūkumi ir neizbēgami tehnoloģiju pasaulē, vai arī uzņēmumi ir vainojami viņu sliktajā attieksmē pret drošību?

Vai kāds šāds atgadījums liks jums izmantot D-Link produktus nākotnē, vai jūs piekrītat problēmai un turpināt to neatkarīgi?

Kā vienmēr, mēs labprāt dzirdētu no jums. Jūs varat mums paziņot savas domas komentāru sadaļā zemāk.

Attēla kredīts: Matiass Rips caur Flickr.com