IBM: Telnet opent Internet of Things voor hackers
Het Internet of Things (IoT) is volgens sommige experts de toekomst, maar de manier waarop hackers deze systemen kunnen aanvallen gaat terug tot 1969, zo stelt IBM. Slimme koelkasten, VoIP-telefoons, slimme televisies en op internet aangesloten beveiligingscamera's bestonden toen nog niet.
De technologie die veel van deze apparaten gebruiken wel, namelijk Telnet. Via Telnet is het mogelijk om op afstand toegang tot een systeem te krijgen. "Hoewel Telnet al sinds 1969 bestaat en niet meer zoveel gebruikt wordt als voorheen, zijn er veel embedded systeemapplicaties in IoT-apparaten, zoals routers, VoIP-telefoons, digitale videorecorders, televisies en industriële controlesystemen, die er gebruik van maken", zegt Scott Craig van IBM.
Onderzoek dat eerder deze maand werd uitgevoerd liet zien dat meer dan 16 miljoen apparaten op internet zijn aangesloten die via een Telnet-server toegankelijk zijn. Aangezien Telnet geen encryptie toepast zijn gebruikersnamen en wachtwoorden eenvoudig af te luisteren, merkt Craig op. In het geval een aanvaller een open Telnet-poort kan vinden is het vervolgens mogelijk om via bruteforce-aanvallen in te loggen, informatie voor verdere aanvallen te achterhalen en kan er worden gekeken of het systeem kwetsbaarheden bevat.
"Het gebruik van Telnet om IoT-apparaten aan te vallen is weer een voorbeeld van aanvallers die oudere technieken gebruiken om nieuwe technologie te compromitteren. IoT-apparaten en industriële controlesystemen die in onze netwerken aanwezig zijn krijgen niet altijd de aandacht die een nieuwe server krijgt en kunnen daarom eenvoudiger worden gehackt", besluit Craig.
Peter
a/ Waarom zou je het beheer remote over een publiek network doen,
b/ wat zijn de hardcoded default users/wachtwoorden ook al weer... admin/admin.
Kijk via wireshark even wat er over je network gaat en block het op je router.
Maar hoeveel mensen die een koelkast kopen, smart tv of zelfs een babyfoon hebben een idee waar jullie het over hebben?
Deze mensen kopen een product wat geleverd wordt door een fabricant en de kopers bloot stelt aan allerlei narigheden.
Als een auto fabricant dit zou doen zou hij binnen de korste keren voor de rechter staan en gelyched worden.
Maar met ITO is het de normaalste zaak van de wereld om je spul naar buiten te gooien en de consument (moedwillig?) te laten hacken.
Zeer onveilig, uiteraard. Maar daar hoef je op het internet nu ook weer niet van schrikken.
Het is dus lastiger om daar zware encryptie op te draaien (hoewel niet geheel onmogelijk lijkt mij, maar dat kan in sommige situaties te nadelig zijn voor het stroomverbruik hetgeen voor batterij gevoede IoT-appaatjes onwenselijk is.
Ook is het kostenverhogend omdat er dan onderdelen in het IoT apparaat moeten met meer capaciteit, en bijv. grotere
zonnepanelen etc...)
Goeroehoedjes
Dus... voortaan met dit document naar de Mediamarkt om de verkopers uit te horen :)
http://www.gsma.com/connectedliving/iot-security-guidelines-for-endpoint-ecosystem/
Kijk via wireshark even wat er over je network gaat en block het op je router.
Maar hoeveel mensen die een koelkast kopen, smart tv of zelfs een babyfoon hebben een idee waar jullie het over hebben?
Deze mensen kopen een product wat geleverd wordt door een fabricant en de kopers bloot stelt aan allerlei narigheden.
Als een auto fabricant dit zou doen zou hij binnen de korste keren voor de rechter staan en gelyched worden.
Maar met ITO is het de normaalste zaak van de wereld om je spul naar buiten te gooien en de consument (moedwillig?) te laten hacken.
Eh - autofabrikanten leveren ook producten die de kopers blootstellen aan allerlei narigheden. Had je het laatste nieuws even gemist over alle dingetjes in de auto die op afstand benaderbaar zijn? En dat die dus niet allemaal zo goed afgeschermd zijn omdat autofabrikanten:
a) geen bal weten of willen weten van cybersecurity
b) autofabrikanten dit soort onderdelen inkopen bij de goedkoopste leverancier, en daarbij niet letten op security
c) die leveranciers er niet perse rekening mee houden wat er gebeurt als hun spullenboel in een auto ingebouwd wordt en vervolgens gehackt.
Ik vind het voorlopig minder erg als mijn koelkast gehackt wordt dan mijn auto. Zolang de koelkast over mijn eigen LAN naar buiten wil, kan ik hem ook nog eens beter in de gaten houden.
die heeft er dus belang bij om wat aandacht te krijgen voor dit soort zaken. an sich is dat prima, maar ze is belanghebbend.
1 miljard devices met telnet zegt me niets.
1 miljard raket lanceerders ? kerncentrales ? beveiligings verlichting ?
t is maar waar het over gaat.
risiko managen is valideren en quantificeren, anders heeft t weinig zin.
( frequentie X bedrag per incident ) + reputatie schade = levert op of het de moeite is of niet....
zou wel graag data zien mbt waar gaat het nu precies over, voordat we massaal gaan roepen dat de zaak
dichtgemetseld moet worden.....
......
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
