Производители аппаратного обеспечения повторно используют SSH-ключи

image

Теги: уязвимость, SSH-ключ, компрометация

Использование одних и тех же ключей подвергает устройства риску компрометации.

Как показало исследование, проведенное специалистами компании Sec Consult, производители домашних маршрутизаторов, IoT-устройств и прочего аппаратного обеспечения практикуют повторное использование небольшого набора жестко закодированных ключей, подвергая девайсы риску массовой компрометации. Иными словами, если злоумышленник обладает возможностью получить доступ к одному устройству, он может скомпрометировать тысячи других даже если они от разных производителей.

Эксперты изучили 4 тыс. устройств от 70 производителей аппаратного обеспечения и обнаружили, что значительное количество продуктов имеют одинаковые жестко закодированные SSH-ключи и SSL-сертификаты. В результате злоумышленники могут извлечь ключи из прошивки и использовать их для получения доступа к миллионам гаджетов, перехватывать и дешифровать HTTPS-соединения и т.д.

Проблема заключается в способе, которым производители реализуют свою продукцию, поясняет старший консультант Sec Consult Стефан Вибек. К примеру, компании по производству чипов часто комплектуют их набором средств для разработки программ для адаптации под определенные приложения. При этом в подавляющем большинстве случаев исходный код продукта не изменяется, так же как не изменяются ключи и сертификаты, включенные в качестве примера.

«Одним из интересных аспектов является источник ключей. Некоторые ключи мы находили в одном или нескольких продуктах из одной серии. В других случаях одни и те же ключи содержались в решениях разных производителей», - отмечают в Sec Consult. В общем во всех проанализированных устройствах эксперты нашли порядка 580 закрытых ключей, и по крайней мере 230 из них используются на просторах интернета.

В августе этого года эксперты сообщили о проблеме команде CERT/CC, которая, в свою очередь, уведомила всех затронутых производителей и интернет-провайдеров. Некоторые из них уже выпустили обновления для своих прошивок.

Telegram Подписывайтесь на канал "SecurityLab" в Telegram, чтобы первыми узнавать о новостях и эксклюзивных материалах по информационной безопасности.