Gisteren is door auteur Martin Barbella in http://www.exploit-db.com/exploits/15675/, aan de hand van enkele voorbeelden voor Linksys routers (WRT54G, WRT54G2 en BEFSR41) nog eens gewezen op het risico van het niet wijzigen van het standaard wachtwoord in netwerkapparatuur. Opvallend is dat Google Chrome in dit voorbeeld geen bescherming biedt, waar andere veelgebruikte webbrowsers dat wel doen.

In de voorbeelden wordt gebruik gemaakt van een CSRF (Cross Site Request Forgery) attack. Bij zo'n CSRF attack is sprake van 2 websites:

1) eentje die jij vertrouwt en waarop je moet inloggen (voorbeelden: webmail, twitter, maar ook de beheerinterface van netwerkapparatuur)
2) een kwaadaardige website.

De aanval bestaat eruit dat content geladen vanaf die kwaadaardige website, jouw browser aanzet om handelingen uit te voeren op de vertrouwde website. Dit kan op de volgende manieren plaatsvinden (ervan uitgaande dat de web browser of de vertrouwde site hier niet tegen beschermen), zodra je een webpagina opent van de kwaadaardige website:

A) Je bent tegelijkertijd ingelogd op de vertrouwde website;
B) Je bent niet ingelogd op de vertrouwde website maar die gebruikt een bekend user-ID en wachtwoord;
C) Je bent niet ingelogd op de vertrouwde website maar die gebruikt een te brute-forcen user-ID en wachtwoord.

De beschreven aanvallen hebben betrekking op B. Interessant daarbij vond ik de volgende passage uit Martin Barbella's exploit omschrijving:Een bekend artikel over CSRF aanvallen en preventie is in 2008 geschreven door Ed Felten en Bill Zeller (de blog http://www.freedom-to-tinker.com/blog/wzeller/popular-websites-vulnerable-cross-site-request-forgery-attacks bevat een link naar het artikel zelf). Een aardige samenvatting daarvan in de vorm van sheets vind je op deze pagina onder "CSRF": http://www.kjhole.com/WebSec/Downloads.html. In die PDF file doet de auteur Kjell Jørgen Hole de volgende aanbevelingen onder Client Side Defenses, met enkele aanvullingen van mijzelf erbij:
- Log uit zodra je een geautenticeerde sessie afsluit (vertrouw er niet op dat de server dit doet na een tijdje);
- Start geen andere sessies vanuit je webbrowser zolang je met een geauthenticeerde sessie bezig bent;
- Sla nooit usernames/wachtwoorden op in je webbrowser;
- Wijzig elk default (of via e-mail verkregen) initiëel wachtwoord in een lastig te raden exemplaar;
- Hergebruik nooit wachtwoorden;
- Gebruik een veilige webbrowser, zomogelijk met vertrouwde extensies die meer veiligheid bieden (bijv. NoScript voor Firefox biedt extra beschermende maatregelen o.a. tegen CSRF attacks, zie http://noscript.net/abe/ en http://noscript.net/faq).

Aanvulling 18:08: Linksys router model BEFSR41 toegevoegd.