Video: Scanner Class - Character Input (Oktober 2024)
Hvor mange mennesker lyttede til Black Hat og talte om bagdørskonti, der var til stede i scannere, der blev brugt af mange lufthavne i USA og tænkte, "Hvordan skal jeg flyve hjem efter dette?" Jeg ved, at jeg gjorde det.
Mange af de maskiner, der er indsat ved lufthavns sikkerhedskontrolsteder, har indlejret konti med standard-adgangskoder, der kan misbruges, fortalte Billy Rios, direktør for trusselsinformation ved Qualys, til deltagere på Black Hat-konferencen onsdag. I dette tilfælde er bekymringen, at angribere muligvis kan bruge konti som en bagdør til at få adgang til systemet.
De indbyggede konti på scannerne blev ikke tilføjet som ondsindede bagdøre. Producenter gerne oprette indlejrede konti med hardkodede adgangskoder til vedligeholdelses- og supportformål. Selvom det er praktisk, udgør disse konti problemer, når administratorer ikke engang ved, at disse konti findes, og ikke engang kan ændre adgangskoder til noget andet.
Rios fandt, at nogle af disse lufthavnsscannere kunne fås adgang fra det offentlige internet. Kombiner det faktum, at disse systemer blev eksponeret, og bagdørskonti havde hardkodede standardadgangskoder, og implikationerne er lidt skræmmende. Hvis angriberen har fjernadgang til scanneren, kan han eller hun manipulere testresultater?
Denne tale var baseret på Morpho Detection Itemiser 3 sporeksplosiver og restdetekteringssystem, der blev brugt til at lede efter spor efter narkotika og eksplosiver på bagage, og Kronos 4500-tidsurssystemet. Rios fandt omkring 6.000 Kronos-systemer på det offentlige internet, men heldigvis var kun to blevet indsat i lufthavne. Den ene er blevet fjernet, og den anden er stadig online og i brug, sagde Rios.
Institut for Holemand Security's ICS-CERT frigav en rådgivning om Itemiser-fejlen den 24. juli.
Det andet foruroligende aspekt af foredraget var det faktum, at Transport- og sikkerhedsagenturet ikke validerede produktets funktioner og verificerede, at systemet fungerer som markedsført. Hospitaler inkluderer sikkerhedsvurderinger som en del af anskaffelsesprocessen. Hvorfor sker det ikke med TSA?
"Det er hvad jeg gerne vil se TSA gøre. Kig før du accepterer et produkt og kig efter en adgangskode til bagdøren uden at stole på leverandørernes goodwill" for at ændre adgangskoden, sagde Rios.
