Google-medewerker hackt RFID-toegangssysteem eigen kantoor
Een medewerker van Google heeft het RFID-toegangssysteem van Googles eigen kantoor in Sunnyvale gehackt, waardoor hij deuren zonder toegangspas kon openen en kon voorkomen dat andere medewerkers toegang kregen. Google maakt gebruik van de iStar Ultra- en IP-ACM-systemen van leverancier Software House. Het toegangssysteem werkt via een RFID-toegangspas.
Google-medewerker David Tomaschik monitorde het versleutelde netwerkverkeer van de iStar Ultra- en IP-ACM-systemen. Het versleutelde verkeer bleek niet willekeurig te zijn, terwijl dat wel het geval had moeten zijn. Verder onderzoek van Tomaschik wees uit dat alle apparaten van Software House een hardcoded encryptiesleutel gebruikten. Hierdoor was het mogelijk om commando's te vervalsen, zoals het commando om een deur te openen. Ook kon hij opgevangen netwerkverkeer opnieuw afspelen en zo bijvoorbeeld een deur openen of blokkeren.
Verder was het mogelijk om deze acties uit te voeren zonder dat hier een log van werd aangemaakt. Software House heeft een oplossing ontwikkeld, maar organisaties waar de kwetsbare systemen in gebruik zijn lopen nog steeds risico, zo meldt zakenblad Forbes. Google laat aanvullend weten dat het het eigen netwerk heeft gesegmenteerd om zo bescherming tegen kwetsbare systemen te bieden.
Je denkt dat de enige aanwijzingen de log van het toegangssysteem moeten zijn ?
De medewerker moest het netwerkverkeer van dit systeem kunnen lezen en injecteren - als je netwerkbeheer strak op orde is kan dat niet zomaar zonder veel ruis te maken in netwerk monitoring systemen.
Andere aanwijzigingen kunnen gewoon 'onverklaarbare' storingen van de deur zijn, of aangetroffen bezoekers waarvan niet al te duidelijk is hoe ze een ruimte in kwamen.
Als je dat soort dingen hebt , heb je een _aanwijzing_ dat er iets mis is met je toegangsbeheer - en als ze allemaal ontbreken heb je "geen aanwijzing dat het toegangssysteem misbruikt is" .
Dat staat los van het gevonden probleem
Je denkt dat de enige aanwijzingen de log van het toegangssysteem moeten zijn ?
De medewerker moest het netwerkverkeer van dit systeem kunnen lezen en injecteren - als je netwerkbeheer strak op orde is kan dat niet zomaar zonder veel ruis te maken in netwerk monitoring systemen.
Andere aanwijzigingen kunnen gewoon 'onverklaarbare' storingen van de deur zijn, of aangetroffen bezoekers waarvan niet al te duidelijk is hoe ze een ruimte in kwamen.
Als je dat soort dingen hebt , heb je een _aanwijzing_ dat er iets mis is met je toegangsbeheer - en als ze allemaal ontbreken heb je "geen aanwijzing dat het toegangssysteem misbruikt is" .
Vooral die tegenspraak geeft bij consumenten geen vertrouwen. Straks is er een inbraak in een systeem van Google, vervolgens krijgen hackers gevoelige gegevens in handen, maar het bedrijf weet intussen iedereen te sussen met de opmerking: we hebben geen aanwijzingen dat er een inbraak heeft plaatsgehad!
Dat staat los van het gevonden probleem
Dat staat los van het gevonden probleem
"defense in depth" is dat er meerdere beveiligingslagen achter elkaar zitten;https://nl.wikipedia.org/wiki/Diepteverdediging
dat google ervoor heeft gekozen te segmenteren, houdt het afspelen van opgenomen commando's niet tegen, dezelfde hack kan op al die aparte segmenten worden toegepast.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
