Privacy, Security, Society - Computer Science for Business Leaders 2016
תוכן עניינים:
- שיטה אחת היא לנצל פגיעות שהתגלתה לאחרונה בממשק האינטרנט של המצלמה המאפשרת לתוקפים מרחוק לקבל תמונת מצב מהזיכרון של המכשיר.
- ] הדבר הטוב ביותר הוא שהמצלמות הללו לא יחשפו לאינטרנט. עם זאת, אם יש צורך בכך, יש למקם את המצלמות מאחורי חומות אש או מערכות למניעת חדירה עם כללים קפדניים.
המצלמות נמכרות תחת המותג Foscam בארה"ב, אך ניתן למצוא את אותם מכשירים באירופה ובמקומות אחרים עם מיתוג שונה, כך אומרים החוקרים של קואליס, סרגיי שייקאן וארטם חרוטיוניאן, ניתח את האבטחה של המכשירים והם אמורים להציג את הממצאים שלהם על גרזן באבטחה תיבת התיבה באמסטרדם ביום חמישי.
Tutorials provid על ידי ספק המצלמה יש הוראות כיצד להפוך את המכשירים לנגישים מהאינטרנט על ידי הגדרת כללי העברת היציאות בנתבים. בגלל זה, מכשירים רבים כאלה נחשפים לאינטרנט וניתן לתקוף אותם מרחוק. [
[קריאה נוספת: כיצד להסיר תוכנות זדוניות ממחשב Windows שלך]
מציאת המצלמות קלה וניתן לביצוע בכמה דרכים. שיטה אחת כוללת שימוש במנוע החיפוש Shodan כדי לחפש כותרת HTTP ספציפית לממשקי משתמש מבוססי אינטרנט של המצלמות. שאילתה כזו תחזיר יותר מ -100,000 מכשירים, אמרו החוקרים.הספקים שמוכרים את המצלמות האלה גם מגדירים אותם להשתמש בשירותי DNS דינמיים משלהם. לדוגמה, מצלמות Foscam מקצות שם מארח של הסוג [שתי אותיות וארבע ספרות].myfoscam.org. על-ידי סריקה של כל מקום. Myfoscam.org שם התוקף יכול לזהות את רוב מצלמות Foscam המחוברות לאינטרנט.
בסביבות 2 מתוך 10 מצלמות אפשר למשתמשים להתחבר עם שם המשתמש המוגדר כברירת מחדל ואין סיסמה, אמרו החוקרים. עבור כל השאר יש סיסמאות שהוגדרו על ידי המשתמש, יש דרכים אחרות לפרוץ.
שיטות ההתקפה
שיטה אחת היא לנצל פגיעות שהתגלתה לאחרונה בממשק האינטרנט של המצלמה המאפשרת לתוקפים מרחוק לקבל תמונת מצב מהזיכרון של המכשיר.
זיכרון זה יכלול את שם המשתמש והסיסמה של מנהל המערכת בטקסט ברור יחד עם מידע רגיש אחר, כגון אישורי Wi-Fi או פרטים על התקנים ברשת המקומית. הספק תוקן את הפגיעות בקושחה האחרונה, 99% ממצלמות Foscam באינטרנט עדיין פועלות בגרסאות קושחות ישנות יותר ופגיעות. יש גם דרך לנצל את הפגיעות גם אם הקושחה האחרונה מותקנת אם יש לך אישורים ברמת המפעיל עבור המצלמה.
שיטה אחרת היא לנצל פגם של זיוף בקשת אתר (CSRF) בממשק על ידי הטעיית מנהל המצלמה כדי לפתוח קישור בעל מבנה מיוחד. זה יכול לשמש כדי להוסיף חשבון מנהל משני למצלמה.
שיטה שלישית היא לבצע התקפה בכוח הזרוע כדי לנחש את הסיסמה, כי המצלמה אין הגנה מפני זה את הסיסמאות מוגבלים 12 דמויות, אמרו החוקרים.
לאחר שהתוקף מקבל גישה למצלמה הוא יכול לקבוע את גרסת הקושחה שלו, להוריד עותק מהאינטרנט, לפרוק אותו, להוסיף קוד סוררים אליו ולכתוב אותו בחזרה למכשיר.
הקושחה מבוססת על uClinux, מערכת הפעלה מבוססת לינוקס עבור התקנים משובצים, ולכן מבחינה טכנית המצלמות האלה הן מכונות לינוקס המחוברות לאינטרנט. זה אומר שהם יכולים להפעיל תוכנות שרירותיות כמו לקוח botnet, פרוקסי או סורק, כי מאז המצלמות מחוברות לרשת המקומית, הם יכולים לשמש לזיהוי התקפות מקומיות מרחוק, אחרת הם יהיו נגישים מהאינטרנט, הם אמרוישנן מגבלות מסוימות על מה ניתן להפעיל על מכשירים אלה שכן יש להם רק 16MB של RAM ו CPU איטי ואת רוב המשאבים נמצאים כבר בשימוש על ידי תהליכים ברירת המחדל שלה. עם זאת, החוקרים תיארו כמה התקפות מעשיות. אחד מהם כרוך ביצירת חשבון מנהל אחורי נסתר שאינו מופיע בממשק האינטרנט.
התקפה שנייה כוללת שינוי הקושחה להפעלת שרת proxy ביציאה 80 במקום בממשק האינטרנט. פרוקסי זה יוגדר כך שיתנהג אחרת, בהתאם למי שמתחבר אליו.
לדוגמה, אם מנהל המערכת ניגש למצלמה מעל יציאה 80, ה- proxy יציג את ממשק האינטרנט הרגיל מכיוון שמנהל המערכת לא יצטרך להגדיר את הדפדפן שלו השתמש בכתובת ה- IP של המצלמה כשרת proxy. עם זאת, תוקף שתקבע את הדפדפן שלהם באופן זה יקבל את החיבור שלהם דרך ה- proxy.
תרחיש של התקפה שלישית כולל הרעלת ממשק האינטרנט לטעינת קוד JavaScript מאוכסן מרחוק. הדבר יאפשר לתוקף לסכן את דפדפן מנהל המצלמה כאשר הוא מבקר בממשק.
התקפות אוטומטיות
החוקרים פרסמו כלי קוד פתוח בשם "getmecamtool" שניתן להשתמש בו כדי להפוך את מרבית ההתקפות הללו לאוטומטיות, כולל הזרקת קובצי הפעלה לתוך הקושחה או תיקון ממשק האינטרנט.
הדבר היחיד שהכלי אינו הופך לאוטומטי הוא התקפות העקיפה של האימות, אמרו החוקרים. הכלי מחייב אישורי כניסה תקפים לשימוש עבור המצלמה הממוקדת, מדד שהחוקרים נקטו כדי להגביל את ההתעללות.
המצלמות רגישות גם להתקפות מסוג מניעת שירות משום שהן יכולות לטפל רק ב- HTTP בו זמנית קשרים. לדברי החוקרים, אפשר להשתמש בהתקפה כזו, למשל, כדי להשבית את המצלמה בזמן ביצוע שוד. [
] הדבר הטוב ביותר הוא שהמצלמות הללו לא יחשפו לאינטרנט. עם זאת, אם יש צורך בכך, יש למקם את המצלמות מאחורי חומות אש או מערכות למניעת חדירה עם כללים קפדניים.
יש לאפשר גישה אליהן רק ממספר מצומצם של כתובות IP מהימנות, ומספר המרבי של חיבורים בו-זמניים צריך להיות הם אמרו. בידוד של המצלמות מהרשת המקומית הוא גם רעיון טוב, כדי למנוע מהם התעללות לתקוף התקנים מקומיים.
אם אתה מעוניין בפריסת מצלמת ה- IP בחדות גבוהה, כי הוא לא ידוע להיות רגישים על זה גרזן, יש לנו ביקורות של שלושה דגמים חדשים
מיקרוסופט תובעת שלוש עבור הונאה הונאה לחץ מסיבית לחץ על מיקרוסופט הגישה תביעה ביום שני נגד שלושה אנשים מאשימים אותם הפעלת "מסיבי "מיקרוסופט הגישה תביעה ביום שני נגד שלושה אנשים האשימו אותם על הפעלת" מסיבית "לחץ על הונאת סכמה הכוללת רתימת מאות אלפי כתובות מחשב IP (אינטרנט פרוטוקול) למקד למפרסמים המקדמים ביטוח רכב ואת העולם של וורקראפט על שורת המשחק.
התביעה מרכזת על תוכנית מתחרים בילק על ידי לחיצה על המודעות שלהם באינטרנט, אמר מיקרוסופט בתי המשפט המשפט. בדרך כלל אחוז מהקליקים האלה גורם למכירות ולכסות את הסכום ששולם עבור התנועה. עם זאת, במקרה של הונאת קליקים לכאורה, לא נעשו המכירות ואת החברות הקורבן איבד כסף. סוג זה של פעילות גם כואב את הביצועים של המודעות והוא יכול לדחוף אותם למטה בדירוג.
נציגים אדוארד מארקי, דמוקרט מסצ 'וסטס, אנה אשו, דמוקרטית בקליפורניה, הציג את חופש שימור אינטרנט חוק ביום שישי. הצעת החוק אומרת שחובה על כל ספקי שירותי האינטרנט "לא לחסום, להתערב, להפלות, לפגוע או לפגוע ביכולתו של כל אדם להשתמש בשירות גישה לאינטרנט כדי לגשת, להשתמש, לשלוח, לפרסם, לקבל או להציע כל תוכן חוקי, יישום או שירות באמצעות האינטרנט. "בנוסף, החקיקה תאסור על ספקי פס רחב לחייב ספקי תוכן אינטרנט, שירות או יישום כדי לאפשר את המוצרים שלהם, מעבר לחיובים הרגילים של משתמשי הקצה עבור שירות
USTelecom, קבוצה המסחר המייצג ספקי פס רחב, קרא את חקיקה "מאכזבת". "ספקי שירותי הפס הרחב של המדינה מחויבים לאינטרנט פתוח וחופשי", אמר וולטר מקורמיק ג'וניור, נשיא ומנכ"ל USTelecom. "למרות שאנו עדיין בודקים את השפה, ברור כי חקיקה זו לא תשמור על חופש האינטרנט, אלא תוביל לרשת אינטרנט המנוהלת על ידי הממשלה, ותיצור אי ודאות רחבה ותערער את ההשקעה שמייצרת כיום מקומות עבודה, , והורדת מחירים עבור הצרכנים ".
מחברת תוכנות זדוניות פיננסיות מנסה להתחמק ממערכות אבטחה בנקאיות מקוונות על ידי חזרה לטכניקות גניבה מסורתיות יותר של דיוג, לפי חוקרי חברת האבטחה Trusteer. תוכניות בשימוש על ידי cybercriminals היום מסוגלים לחבל בזמן אמת עם הבנקאות המקוונת הפעלות ביוזמת הקורבנות על המחשבים שלהם. זה כולל את היכולת לבצע עסקאות הונאה ברקע ולהסתיר אותם מהמשתמש על ידי שינוי יתרת החשבון והיסטוריית העסקאות בתצוגה בדפדפן שלהם.
כתוצאה מכך, הבנקים החלו לפרוס מערכות כדי לפקח על האופן שבו לקוחות מקיימים אינטראקציה עם אתרי האינטרנט שלהם וזיהוי חריגות שעשויות להצביע על פעילות של תוכנות זדוניות. עם זאת, נראה כי כמה יוצרי תוכנות זדוניות חוזרים טכניקות מסורתיות יותר, כי כרוך לגנוב אישורים ולהשתמש בהם ממחשב אחר כדי להימנע מלהיות מזוהה. [