Ernstige lekken in 13 WiFi-routers ontdekt
Verschillende populaire WiFi-routers bevatten lekken waardoor zowel lokale aanvallers als aanvallers via het internet toegang tot de apparaten kunnen krijgen en in staat zijn om verkeer te onderscheppen. Het gaat om modellen van fabrikanten Linksys, Belkin, Netgear, TP-Link, D-Link en Verizon en vijf niet nader genoemde modellen of fabrikanten.
Het onderzoek werd door Independent Security Evaluators (ISE) uitgevoerd. Alle 13 onderzochte routers zijn via het lokale netwerk te kapen en in vier gevallen is er geen actieve managementsessie vereist. 11 van de 13 routers zijn via het internet over te nemen, waarvan er in twee gevallen geen authenticatie nodig is.
Verder bleek dat tenminste de helft van de routers die network attached storage (NAS) aanbieden op afstand zijn aan te vallen. De volledige details zal ISE in de toekomst bekendmaken. Volgens de onderzoekers zijn WiFi-routers ondanks hun populariteit nauwelijks door beveiligingsonderzoekers onderzocht.
"De ernstige kwetsbaarheden die in deze apparaten beschikbaar is, demonstreren de noodzaak voor verder onderzoek." De nu ontdekte lekken zouden door een aanvaller met 'gemiddelde vaardigheden' zijn te misbruiken.
Firmware
De onderzoekers verdeelden de aanvallen in drie categorieën. De eerste categorie zijn aanvallen die direct tegen de router kunnen worden uitgevoerd en waarbij geen interactie van een gebruiker of toegang tot de inloggegevens is vereist. Als tweede zijn er de ongeauthenticeerde aanvallen.
Hierbij is een vorm van menselijke interactie vereist, zoals het openen van een kwaadaardige link of het surfen naar een onveilige pagina. In dit geval is er geen actieve sessie of toegang tot inloggegevens vereist.
De laatste categorie zijn aanvallen waarbij de aanvaller toegang tot inloggegevens heeft, bijvoorbeeld de standaard inloggegevens of dat het slachtoffer ten tijde van de aanval is ingelogd. Aan de hand van het onderzoek zijn er 17 problemen ontdekte waar 21 aparte CVE-nummers zijn toegekend. De leveranciers in kwestie zouden nog geen firmware hebben uitgebracht om de problemen op te lossen.
Dus: WPS-uit, PNP-uit, geen beheer op afstand, geen verborgen accounts, enz...
Natuurlijk verkoopt dat niet.
Leveranciers leveren liever functionaliteit in plaats van veiligheid.
Eerst zeg je dat het niet goed is in te stellen, daarna zeg je dat de leveranciers juist liever focussen dat gebruikers makkelijk dingen kunnen instellen?
The victim must have an active management session with the WRT310v2 router.
The victim must be fooled in to performing an action (e.g., by clicking an attacker provided link), browse to a malicious or compromised site, or be the victim of a man-in-the-middle attack."
The victim must have an active management session with the WRT310v2 router.
The victim must be fooled in to performing an action (e.g., by clicking an attacker provided link), browse to a malicious or compromised site, or be the victim of a man-in-the-middle attack."
- Wetgeving die eist dat devices veilig zijn, maakt devices niet veiliger. Enkel dat het door bepaalde (mogelijk slecht uitgevoerde, mogelijk niet uitgevoerde) checks komt. Dat zal geen representatie zijn van de werkelijkheid.
- Je wil geen push updates forceren vanuit leveranciers. 1 lek in dat systeem....
Ik denk dat onze politiek, zich met belangrijkere dingen bezig kan houden. Dan met technieken, die ze niet (en nooit zullen) begrijpen.
De kijk van gebruikers naar apparatuur, is anders. Het is 'gewoon een apparaat'.
Vergeet niet dat het internet (IPv4) is ontwikkeld als "experimenteel netwerk", en nooit een andere status heeft gekregen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.