25.000 Fortinet-apparaten kwetsbaar voor DUHK-aanval
Meer dan 25.000 Fortinet-apparaten die voor vpn-verbindingen worden gebruikt en via internet bereikbaar zijn, zijn kwetsbaar voor een nieuwe cryptografische aanval genaamd DUHK waardoor aanvallers passief vpn-verbindingen kunnen ontsleutelen en zo het verkeer kunnen lezen.
DUHK staat voor Don't Use Hard-coded Keys en is ontwikkeld door Matthew Green, cryptograaf en hoogleraar aan de Johns Hopkins University, in samenwerking met Nadia Heninger en Shaanan Cohney. De kwetsbaarheid doet zich voor bij de de ANSI X9.31 Random Number Generator (RNG) in combinatie met een hard-coded seed key. De ANSI X9.31 RNG is een meer dan 20 jaar oud algoritme dat tot voor kort werd gebruikt om cryptografische sleutels te genereren die worden gebruikt om vpn-verbindingen en websessies te beveiligen, zodat derde partijen die niet kunnen onderscheppen.
Via de DUHK-aanval kan een aanvaller van kwetsbare implementaties de geheime encryptiesleutel achterhalen en zo het verkeer van vpn-verbindingen en websessies ontsleutelen en lezen. Het kan dan gaan om gevoelige informatie, zoals bedrijfsgegevens, inloggegevens, creditcardgegevens en andere vertrouwelijke content. De ANSI X9.31 RNG wordt in veel door overheden gecertificeerde producten gebruikt. Tot vorig jaar was ANSI X9.31 RNG één van de vier door de Verenigde Staten goedgekeurde nummergeneratoren voor gebruik in cryptografische modules. Inmiddels is het echter van de lijst verwijderd.
Netwerkfabrikant Fortinet maakte gebruik van deze kwetsbare nummergenerator. Het gaat om apparaten met FortiOS 4.x. Alle vpn-apparaten van Fortinet met FortiOS 4.3.0 tot en met FortiOS 4.3.18 kunnen door een passieve netwerkaanvaller, die het versleutelde handshake-verkeer kan waarnemen, worden ontsleuteld. Fortinet heeft met FortiOS 4.3.19 al vorig jaar een update uitgebracht die het probleem verhelpt. Volgens Green zijn er op internet echter meer dan 25.000 kwetsbare vpn-apparaten te vinden. De hoogleraar stelt dat het om een 'conservatief aantal' gaat, aangezien alleen machines werden geteld die op de scans van de onderzoekers reageerden. De onderzoekers hebben een document met hun bevindingen gepubliceerd (pdf) maar zullen de aanvalscode niet openbaar maken.
Slachtoffer rol much.
Slachtoffer rol much.
Oh, ik maakte een rekenfout, alles is natuurlijk minimaal 1x redundant dus slecht 12500 professionals dus hun management niet hebben kunnen overtuigen van de noodzaak tot patchen.
Dus de ongeschiktheid blijft maar dan vanwege het gebrek aan overtuigingskracht.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
