Duizenden onbeveiligde 3d-printers toegankelijk via internet
Duizenden 3d-printers zijn zonder wachtwoord toegankelijk via het internet en kunnen bijvoorbeeld opdrachten krijgen om voorwerpen te printen. Dat laat Xavier Mertens weten, handler bij het Internet Storm Center (ISC). Mertens vond ruim 3700 OctoPrint-interfaces waarvoor geen enkele authenticatie is vereist. OctoPrint is een webinterface voor het bedienen en monitoren van 3d-printers.
Via de interface is het mogelijk om 3d-objecten in de printer te laden. Doordat de printers zonder wachtwoord toegankelijk zijn zou een aanvaller bijvoorbeeld ingeladen ontwerpen via de interface kunnen achterhalen. Een andere mogelijkheid is het printen van een 3d-object. Mertens wijst naar verhalen waarbij goedkope 3d-printers in brand vlogen. Een andere mogelijkheid is dat een aanvaller een ontwerp dat door de printer is geladen downloadt, aanpast en vervolgens weer uploadt. Op deze manier zou de printer een voorwerp printen dat bijvoorbeeld minder veilig is.
Verder biedt OctoPrint een monitoringfeature die van een embedded webcam gebruikmaakt. Op deze manier kan een aanvaller kijken wat het slachtoffer aan het doen is. De handleiding van OctoPrint adviseert gebruikers die de webinterface via internet toegankelijk maken om altijd de toegangscontrole in te schakelen. De meeste webinterfaces die Mertens ontdekte bevinden zich in de Verenigde Staten, gevolgd door Duitsland en Frankrijk.
Maar ik zie nu door het openbaarmaken de kans voor scriptkiddies om "lollige" objecten te printen bij niets vermoedende eigenaren die vervolgens iets uit te leggen hebben aan hun partner(s)
TheYOSH
Maar ik zie nu door het openbaarmaken de kans voor scriptkiddies om "lollige" objecten te printen bij niets vermoedende eigenaren die vervolgens iets uit te leggen hebben aan hun partner(s)
Vroeger, toen we zwarte A4-tjes (met plakband aan elkaar) als rol door de fax gooide om iemands papier en toner op te maken. Vroeger, toen kon dat nog gewoon.
Ik heb wel eens wat (geautomatiseerde) printopdrachten naar poort 9100's gestuurd, op NL IP-space. Netjes beperkt tot 1 pagina met uitleg van de situatie. Daar is geen brandgevaar (of andere menselijke veiligheid) bij van toepassing. En in mijn ogen valt dat niet onder inbraak (print server print, net als een web server webt, daar is het internet voor uitgevonden). Een maand later stonden er een stuk minder open. En wie bel je anders voor je responsible disclosure (wie is de gebruiker van IP x?)? Ik print het wel voor ze, goeie en directe communicatie!
Wegens mogelijk brandgevaar bij dergelijke 3D printers weet ik niet of ik ze (ongecontroleerd) durf te hacken. Dat is het zelfde als ik niet aan de apparatuur van ProRail durf te komen (hack the railway.... let's not! human safety first!).
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
