Draadloze Logitech-toetsenborden op afstand af te luisteren
Draadloze toetsenborden en muizen van fabrikant Logitech zijn door een beveiligingslek op afstand af te luisteren, waardoor een aanvaller bijvoorbeeld wachtwoorden kan achterhalen en zelfs het systeem met malware kan infecteren. Het is namelijk niet alleen mogelijk om het draadloze verkeer tussen de computer en het toetsenbord te onderscheppen, een aanvaller kan ook malafide commando's naar de computer sturen.
De problemen, die werden ontdekt door beveiligingsonderzoeker Marcus Mengs, spelen bij alle Logitech-apparaten die van de zogeheten Unifying-radiotechnologie gebruikmaken. Kwetsbare Unifying usb-ontvangers en draadloze toetsenborden worden sinds 2009 door Logitech geleverd, zo meldt het Duitse Heise. De technologie wordt zowel in goedkope als duurdere modellen gebruikt. De kwetsbare usb-ontvangers zijn via een klein logo van een oranje ster te herkennen.
Heise laat weten dat Logitech sommige van de kwetsbaarheden zal verhelpen, maar niet allemaal. Dit zou namelijk voor comptabiliteitsproblemen tussen verschillende Unifying-producten kunnen zorgen. Het gaat onder andere om een kwetsbaarheid waardoor een aanvaller toetsenbordcommando's in het versleutelde radioverkeer van de Unifying-toetsenborden kan injecteren, zonder dat de encryptiesleutel bekend hoeft te zijn. De aanvaller moet in dit geval wel tijdelijk toegang tot het toetsenbord hebben en wat toetsen indrukken. Het opgenomen radioverkeer is vervolgens te gebruiken om op afstand de aanval uit te voeren.
Een andere kwetsbaarheid, waardoor een aanvaller de versleutelde communicatie kan ontsleutelen als het pairingproces is opgenomen, zal ook niet worden verholpen. Logitech adviseert om apparaten alleen te pairen wanneer het zeker is dat er binnen een straal van tien meter "geen verdachte activiteit" plaatsvindt. Twee andere kwetsbaarheden waardoor een aanvaller met toegang tot de ontvanger de encryptiesleutel kan achterhalen, die voor het versleutelen van de communicatie wordt gebruikt, zal Logitech wel patchen. Gebruikers krijgen het advies om op firmware-updates te controleren. Wie geen risico wil lopen wordt aangeraden een keyboard en muis met draad te gebruiken.
maar:
Dus fysieke toegankelijkheid is een voorwaarde. Moet een thuisgebruiker zich nu zorgen maken? Neen denk ik zo. Als je een bijkans paranoïde security niveau exploiteert in je digitale omgeving, zou je de receiver kunnen verwijderen na gebruik van het toetsenbord en ergens verstoppen.
maar:
Dus fysieke toegankelijkheid is een voorwaarde. Moet een thuisgebruiker zich nu zorgen maken? Neen denk ik zo. Als je een bijkans paranoïde security niveau exploiteert in je digitale omgeving, zou je de receiver kunnen verwijderen na gebruik van het toetsenbord en ergens verstoppen.
Als iemand zich toegang tot mijn huis en daarmee toegang tot mijn Logitech toetsenbord heeft verschaft dan heb ik andere zorgen aan mijn hoofd dan dat het verkeer voortaan niet meer veilig is.
De kans is dan vrji groot dat ik helemaal niet meer over (computer)apparatuur beschik en dat mij alleen nog het goedkope toetsenbord rest...
Hangt er vanaf wie die thuisgebruiker is, en welke risico's er spelen. De gemiddelde thuisgebruiker niet. Verder vraag ik me af waarom je je specifiek richt op thuisgebruikers.
Hangt er vanaf wie die thuisgebruiker is, en welke risico's er spelen. De gemiddelde thuisgebruiker niet. Verder vraag ik me af waarom je je specifiek richt op thuisgebruikers.
Daar sta ik gewoon niet bij stil. Waarom zou ik? Ik ben een thuisgebruiker van twee zulke toetsenborden (Logitech K270)
Vraag je van mij om stil te staan bij een doelgroep die niet tot de mijne behoort? Waarom? Misschien kun je daar een antwoord op krijgen door de vraag algemeen te stellen (nieuw Topic?) want je zit er schijnbaar nogal mee. Ik niet.
Neen, je kunt de boel al 'afluisteren' binnen een bereik van ongeveer 7 meter. Dit is mij al eens gedemonstreerd op een security event ongeveer 1 jaar geleden.
https://www.cryptomuseum.com/covert/bugs/selectric/
Ook heel briljant hoe die Russen het signaal verstopten in de frequentie van een locaal televisie station. Verstoppen in de ruis!
Dat je zo een logitec keyboard kunt sniffen is al lang zo (veel beeldschermen trouwens ook). Maar het is lang niet meer zo briljant als zoals ze het vroeger flikten! Adembenemend slim. Nobelprijs voor security hacks bestaat helaas niet, maar de Russen van toen verdienen hem nog steeds.
Het laat trouwens ook zien dat eigenlijk niks veilig is, zelfs de beste brandkast kan open. Alleen het kunstje wordt duurder. Want hoe simpel het ook lijkt, weet de briljante geesten maar te vinden die het kunnen. De groep die later haha dat had ik ook kunnen bedenken roept, is altijd veel groter. En veel achteraffer.
Al het draadloze is gewoon kwetsbaar. Gemak en veiligheid gaan niet samen.
https://github.com/BastilleResearch/mousejack
https://www.spamtitan.com/web-filtering/mousejacking/
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
