Vitale infrastructuur kwetsbaar door gebruik semafoons
De vitale infrastructuur in tal van landen is kwetsbaar doordat er nog steeds van semafoons (pieper/pager) gebruik wordt gemaakt, waardoor gevoelige informatie eenvoudig kan lekken. Dat stelt beveiligingsbedrijf Trend Micro aan de hand van eigen onderzoek (pdf).
Onderzoekers wisten met zeer goedkope apparatuur, een software-defined radio (SDR) en een usb-dongel van rond de 20 euro, miljoenen berichten te onderscheppen. De berichten die via semafoons worden uitgewisseld zijn namelijk onversleuteld en kunnen op afstanden van tientallen kilometers worden opgevangen. Gedurende drie maanden wisten de onderzoekers op deze manier bijna 55 miljoen berichten op te vangen.
Het ging om berichten van allerlei systemen in verschillende sectoren, waaronder de vitale infrastructuur, zoals energiecentrales en chemische fabrieken, maar ook defensiebedrijven en fabrikanten van halfgeleiders. De onderschepte berichten in de vitale infrastructuur bleken zowel van geautomatiseerde systemen als werknemers afkomstig te zijn. De berichten bleken soms waardevolle informatie voor een aanvaller te bevatten, zoals informatie over contactpersonen, locaties binnen fabrieken en energiecentrales, instellingen van industriële controlesystemen, intranet ip-adressen, intranet hostnames en databasenamen en database-opdrachten.
De berichten waren onder andere van e-mail-naar-semafoon gateways afkomstig. Dit is een dienst van derde partijen die e-mails naar vooraf opgegeven semafoonnummers doorsturen. "Mensen hebben soms het valse idee dat e-mails privé en vertrouwelijke zijn. E-mails worden meestal in platte tekst via internet verstuurd. Het doorsturen van de e-mails naar semafoons zorgt ervoor dat ze door de lucht gaan, en nog meer risico lopen om door derden te worden gelezen, aangezien versleuteling van semafoonsystemen ongebruikelijk is", aldus de onderzoekers. Eén van de grootste defensiebedrijven ter wereld bleek via een dergelijk systeem meer dan 1380 e-mailadressen te lekken.
Volgens Trend Micro zijn gegevens zoals telefoonnummers en namen van contactpersonen te gebruiken voor social engineering-aanvallen, terwijl ip-adressen en hostnames van intranetten handig zijn om zich lateraal door een netwerk te bewegen. Daarnaast bleken de berichten ook informatie te bevatten die voor prijsafspraken zijn te gebruiken en voor hogere energieprijzen kunnen zorgen, omdat het partijen inzicht in gegevens geeft die de concurrentiepositie kunnen versterken, aldus het beveiligingsbedrijf. Organisaties krijgen dan ook het advies om semafoonberichten te versleutelen, berichtensystemen te gebruiken waarbij de afzender kan worden gecontroleerd en het lekken van informatie via de e-mail-naar-semafoon gateways te controleren.
toen waren er veel leukere dingen uit te halen want toen had een pager nog meer de functie van wat later SMS deed.
Het was toen ook heel gebruikelijk om een pager actie aan een monitoring systeem te hangen, maar ik neem toch
aan dat dat nu een stuk minder geworden is. De meeste openbare pager netwerken bestaan trouwens niet meer en
degenen die er nog wel zijn hebben meestal hun end of life announcement ook al wel gehad. Ik zal het ding weer
eens opstarten om te kijken wat er nu nog over heen gaat...
Punt 1: Mogelijk kans op social engineering.
Punt 2: Mogelijk kans op social engineering. (Dat hadden ze toch ook al bij punt 1 genoemd?)
Punt 3: Mogelijk sabotage bij fysieke toegang.
Echter de aanbevelingen gaan helemaal niet in op de conclusie.
Ja, het verkeer encrypten een leuk theoretisch advies, maar een beetje serieuze cipher maakt je bericht dan veel te lang. En wat doe je als zo'n bericht gewoon op de buzzer van een storingsmonteur moet komen? Moet die dan eerst z'n one time pad erbij pakken en zelf het bericht ontsleutelen? Zie je het al voor je, wat een kul...
Authenticate the source. Volgens mij was het probleem social engineering, dat voortkwam uit - kennis over de systemen - achterhaald uit de berichten, niet zozeer dat de ontvanger van de berichten slachtoffer zou zijn van social engineering. Dus hier slaan ze de plank wederom mis. Ben je bang voor het risico dat een aanvaller onbedoelde berichten gaat sturen naar de gebruiker van de pager (een terecht risico trouwens, jarenlang gebruikte KPN 06-nummers voor de pagers die te herleiden waren naar de unieke device nummers op het netwerk), dan mag je eigenlijk geen enkel bericht als vertrouwd zien. Immers zijn afzendergegevens tegenwoordig zeer eenvoudig te spoofen, en op het telefonienetwerk vindt er geen enkele controle plaats op deze data. Met andere woorden: eigenlijk zou je geen enkel bericht moeten vertrouwen, en altijd via een ander kanaal de bron moeten uitvragen om de authenticiteit van het bericht vast te stellen. Het advies zou dus moeten zijn: stuur alleen korte berichten uit waarbij het de ontvanger duidelijk wordt gemaakt om op een afgesproken systeem de melding verder uit te lezen.
Tot slot adviseren ze om leakage te auditen. Dat lijkt me pas de laatste stap van een maatregel. Volgens mij moet je als eerst beginnen bij het begin, door er voor te zorgen dat gevoelige data ((mis)bruikbaar voor Social Engineering, zoals ze zelf ook aangeven) überhaupt niet verzonden wordt.
Dat kan al, met exact de zelfde RTL-SDR dongel waar dit artikel over gaat. Met gratis software zoals ADSBSharp kan je dan de GPS bakens van overvliegende vliegtuigen opvangen zonder speciale antenne
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
