IBM: Telnet opent Internet of Things voor hackers
Het Internet of Things (IoT) is volgens sommige experts de toekomst, maar de manier waarop hackers deze systemen kunnen aanvallen gaat terug tot 1969, zo stelt IBM. Slimme koelkasten, VoIP-telefoons, slimme televisies en op internet aangesloten beveiligingscamera's bestonden toen nog niet.
De technologie die veel van deze apparaten gebruiken wel, namelijk Telnet. Via Telnet is het mogelijk om op afstand toegang tot een systeem te krijgen. "Hoewel Telnet al sinds 1969 bestaat en niet meer zoveel gebruikt wordt als voorheen, zijn er veel embedded systeemapplicaties in IoT-apparaten, zoals routers, VoIP-telefoons, digitale videorecorders, televisies en industriële controlesystemen, die er gebruik van maken", zegt Scott Craig van IBM.
Onderzoek dat eerder deze maand werd uitgevoerd liet zien dat meer dan 16 miljoen apparaten op internet zijn aangesloten die via een Telnet-server toegankelijk zijn. Aangezien Telnet geen encryptie toepast zijn gebruikersnamen en wachtwoorden eenvoudig af te luisteren, merkt Craig op. In het geval een aanvaller een open Telnet-poort kan vinden is het vervolgens mogelijk om via bruteforce-aanvallen in te loggen, informatie voor verdere aanvallen te achterhalen en kan er worden gekeken of het systeem kwetsbaarheden bevat.
"Het gebruik van Telnet om IoT-apparaten aan te vallen is weer een voorbeeld van aanvallers die oudere technieken gebruiken om nieuwe technologie te compromitteren. IoT-apparaten en industriële controlesystemen die in onze netwerken aanwezig zijn krijgen niet altijd de aandacht die een nieuwe server krijgt en kunnen daarom eenvoudiger worden gehackt", besluit Craig.
Peter
a/ Waarom zou je het beheer remote over een publiek network doen,
b/ wat zijn de hardcoded default users/wachtwoorden ook al weer... admin/admin.
Kijk via wireshark even wat er over je network gaat en block het op je router.
Maar hoeveel mensen die een koelkast kopen, smart tv of zelfs een babyfoon hebben een idee waar jullie het over hebben?
Deze mensen kopen een product wat geleverd wordt door een fabricant en de kopers bloot stelt aan allerlei narigheden.
Als een auto fabricant dit zou doen zou hij binnen de korste keren voor de rechter staan en gelyched worden.
Maar met ITO is het de normaalste zaak van de wereld om je spul naar buiten te gooien en de consument (moedwillig?) te laten hacken.
Zeer onveilig, uiteraard. Maar daar hoef je op het internet nu ook weer niet van schrikken.
Het is dus lastiger om daar zware encryptie op te draaien (hoewel niet geheel onmogelijk lijkt mij, maar dat kan in sommige situaties te nadelig zijn voor het stroomverbruik hetgeen voor batterij gevoede IoT-appaatjes onwenselijk is.
Ook is het kostenverhogend omdat er dan onderdelen in het IoT apparaat moeten met meer capaciteit, en bijv. grotere
zonnepanelen etc...)
Goeroehoedjes
Dus... voortaan met dit document naar de Mediamarkt om de verkopers uit te horen :)
http://www.gsma.com/connectedliving/iot-security-guidelines-for-endpoint-ecosystem/
Kijk via wireshark even wat er over je network gaat en block het op je router.
Maar hoeveel mensen die een koelkast kopen, smart tv of zelfs een babyfoon hebben een idee waar jullie het over hebben?
Deze mensen kopen een product wat geleverd wordt door een fabricant en de kopers bloot stelt aan allerlei narigheden.
Als een auto fabricant dit zou doen zou hij binnen de korste keren voor de rechter staan en gelyched worden.
Maar met ITO is het de normaalste zaak van de wereld om je spul naar buiten te gooien en de consument (moedwillig?) te laten hacken.
Eh - autofabrikanten leveren ook producten die de kopers blootstellen aan allerlei narigheden. Had je het laatste nieuws even gemist over alle dingetjes in de auto die op afstand benaderbaar zijn? En dat die dus niet allemaal zo goed afgeschermd zijn omdat autofabrikanten:
a) geen bal weten of willen weten van cybersecurity
b) autofabrikanten dit soort onderdelen inkopen bij de goedkoopste leverancier, en daarbij niet letten op security
c) die leveranciers er niet perse rekening mee houden wat er gebeurt als hun spullenboel in een auto ingebouwd wordt en vervolgens gehackt.
Ik vind het voorlopig minder erg als mijn koelkast gehackt wordt dan mijn auto. Zolang de koelkast over mijn eigen LAN naar buiten wil, kan ik hem ook nog eens beter in de gaten houden.
die heeft er dus belang bij om wat aandacht te krijgen voor dit soort zaken. an sich is dat prima, maar ze is belanghebbend.
1 miljard devices met telnet zegt me niets.
1 miljard raket lanceerders ? kerncentrales ? beveiligings verlichting ?
t is maar waar het over gaat.
risiko managen is valideren en quantificeren, anders heeft t weinig zin.
( frequentie X bedrag per incident ) + reputatie schade = levert op of het de moeite is of niet....
zou wel graag data zien mbt waar gaat het nu precies over, voordat we massaal gaan roepen dat de zaak
dichtgemetseld moet worden.....
......
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.