D-Link Keys Blunder plasserer alle i fare

Som forbrukere er vi alle nødt til å legge en viss grad av tillit til teknologibedrifterne vi bruker. Tross alt er de fleste av oss ikke dyktige nok til å oppdage sikkerhetsmuligheter og sårbarheter alene.

Debatten om personvern og den nylige furoren forårsaket av Windows 10 Er Windows 10s WiFi Sense-funksjon representere en sikkerhetsrisiko? Betyr Windows 10s WiFi Sense-funksjon en sikkerhetsrisiko? Les mer er bare en del av stikksagen. En annen - helt uhyggelig del - er når selve maskinvaren har feil.

En kunnskapsrik datamaskinbruker kan klare sin online-tilstedeværelse og tilpasse tilstrekkelige innstillinger for å begrense personvernet. Alt du trenger å vite om Windows 10s personvernproblemer Alt du trenger å vite om Windows 10s personvernproblemer Mens Windows 10 har noen problemer som brukerne må være oppmerksomme på av mange krav er blitt blåst ut av proporsjoner. Her er vår guide til alt du trenger å vite om Windows 10s personvernproblemer. Les mer, men et problem med den underliggende koden til et produkt er mer alvorlig; Det er mye vanskeligere å få øye på, og tøffere for en sluttbruker å adressere.

Hva har skjedd?

Det siste selskapet å blundre seg inn i et sikkerhetsmardrøm er populær taiwansk nettverksutstyrs produsent, D-Link. Mange av våre lesere vil bruke sine produkter enten hjemme eller på kontoret; i mars 2008 ble de nummer én leverandør av Wi-Fi-produkter i verden, og de kontrollerer for tiden rundt 35 prosent av markedet.

Nyheter brøt tidligere i dag av gaffe som så firmaet slipper sin private kodesigneringsnøkler inne i kildekoden til en nylig fastvareoppdatering. Private nøkler brukes som en måte for en datamaskin for å verifisere at et produkt er ekte og at koden til produktet ikke er blitt endret eller ødelagt siden det opprinnelig ble opprettet.

I lekmanns vilkår betyr dette smutthullet at en hacker kunne bruke de publiserte nøklene på sine egne programmer for å lure en datamaskin til å tro at hans eller hennes ondsinnede kode faktisk var legitim en D-Link-produkt.

Hvordan skjedde det?

D-Link har prided seg for sin åpenhet i lang tid. En del av denne åpenheten er en forpliktelse til å åpne all sin firmware under en GPL-lisens. I praksis betyr det at alle kan få tilgang til koden til et D-Link-produkt, slik at de kan tilpasse og endre det slik at de passer til deres egne presise krav.

I teorien er det en prisverdig posisjon å ta. De av dere som holder deg oppdatert av Apple iOS vs Android debatten, vil uten tvil være oppmerksom på at en av de største kritikkene som er nådd på Cupertino-baserte selskapet, er deres ubøyelige forpliktelse til å forbli lukket for folk som ønsker å finjustere kilden kode. Det er grunnen til at det ikke er noen tilpassede ROM-er som Android's Cyanogen Mod. Slik installerer du CyanogenMod på Android-enheten. Slik installerer du CyanogenMod på Android-enheten. Mange mennesker kan være enige om at Android-operativsystemet er ganske kjempebra. Ikke bare er det flott å bruke, men det er også gratis som i åpen kildekode, slik at den kan endres ... Les mer for Apples mobilenheter.

Den motsatte siden av mynten er at når store åpen kildeblunders er laget, kan de ha en enorm knock-on effekt. Hvis deres firmware var lukket kilde, ville den samme feilen ha vært mye mindre av et problem og langt mindre sannsynlig å ha blitt oppdaget.

Hvordan ble det oppdaget?

Feilen ble oppdaget av en norsk utvikler kjent som “bartvbl” som nylig kjøpte D-Links DCS-5020L overvåkingskamera.

Å være en kompetent og nysgjerrig utvikler bestemte han seg for å peke rundt “under panseret” i enhetens firmware kildekode. Innenfor det fant han både private nøkler og passordene som trengs for å signere programvaren.

Han begynte å utføre sine egne eksperimenter, og fant raskt at han var i stand til å lage et Windows-program som ble signert av en av de fire nøklene. Dermed gir det utseendet at det kommer fra D-Link. De andre tre nøklene virket ikke.

Han delte sine funn med nederlandske tech news site Tweakers, hvem det snurde passerte oppdagelsen på det nederlandske sikkerhetsfirmaet Fox IT.

De bekreftet sårbarheten og utstedte følgende erklæring:

“Kodesigneringssertifikatet er faktisk for en fastvarepakke, firmware versjon 1.00b03. Dens kildedato 27. februar i år, noe som betyr at sertifikatets nøkler ble utgitt godt før sertifikatet utløp. Det er en stor feil”.

Hvorfor er det så alvorlig?

Det er seriøst på en rekke nivåer.

For det første rapporterte Fox IT at det var fire sertifikater i samme mappe. Disse sertifikatene kom fra Starfield Technologies, KEEBOX Inc. og Alpha Networks. Alle kunne ha blitt brukt til å opprette ondsinnet kode som har muligheten til å omgå antivirusprogramvare. Sammenlign Anti-Virus-ytelsen med disse 5 toppsider. Sammenlign dine anti-virus-ytelser med disse 5 toppsider. Hvilke anti-virusprogramvare bør bruke? Hvilken er den "beste"? Her ser vi på fem av de beste elektroniske ressursene for å sjekke anti-virus ytelse, for å hjelpe deg med å ta en informert beslutning. Les mer og andre tradisjonelle sikkerhetskontroller - faktisk vil de fleste sikkerhetsteknologier stole på filer som er signert og la dem passere uten spørsmål.

For det andre blir avanserte vedvarende trussel (APT) angrep blitt en stadig mer favorisert modus operandi for hackere. De bruker nesten alltid tapte eller stjålne sertifikater og nøkler for å underkaste sine ofre. Nylige eksempler inkluderer Destover Wiper Malware 2014s Endelig Controversy: Sony Hack, Intervjuet og Nord-Korea 2014s Endelig Controversy: Sony Hack, Intervjuet og Nord-Korea Har Nord-Korea virkelig hacket Sony Pictures? Hvor er beviset? Gjorde noen andre å vinne fra angrepet, og hvordan ble hendelsen spunnet i kampanje for en film? Les mer brukt mot Sony i 2014 og Duqu 2.0-angrepet på Apples kinesiske produsenter.

Å legge til mer makt til den kriminelle armory er klart ikke fornuftig, og kommer tilbake til det element av tillit som er nevnt i starten. Som forbrukere trenger vi disse selskapene å være årvåken i å beskytte deres sikkerhetsbaserte eiendeler for å bidra til å bekjempe trusselen om cyberkriminelle.

Hvem er berørt?

Det ærlige svaret her er at vi ikke vet.

Selv om D-Link allerede har gitt ut nye versjoner av fastvaren, er det ingen måte å fortelle om hackere klarte å trekke ut og bruke nøklene før bartvbls offentlige oppdagelse.

Det er håpet at å analysere malware prøver på tjenester som VirusTotal kan gi et svar på spørsmålet, vi må først vente på at et potensielt virus blir oppdaget.

Gjør dette hendelsen din tro på Tech?

Hva er din mening om denne situasjonen? Er feil som dette en uunngåelighet i teknologien, eller er bedriftene skylden for deres dårlige holdning til sikkerhet?

Ville en hendelse som dette sette deg av med D-Link-produkter i fremtiden, eller vil du godta problemet og fortsette uansett?

Som alltid vil vi gjerne høre fra deg. Du kan fortelle oss dine tanker i kommentarfeltet nedenfor.

Bildekreditt: Matthias Ripp via Flickr.com

Utforsk mer om: Online Security, Router.