Vitale infrastructuur kwetsbaar door gebruik semafoons
De vitale infrastructuur in tal van landen is kwetsbaar doordat er nog steeds van semafoons (pieper/pager) gebruik wordt gemaakt, waardoor gevoelige informatie eenvoudig kan lekken. Dat stelt beveiligingsbedrijf Trend Micro aan de hand van eigen onderzoek (pdf).
Onderzoekers wisten met zeer goedkope apparatuur, een software-defined radio (SDR) en een usb-dongel van rond de 20 euro, miljoenen berichten te onderscheppen. De berichten die via semafoons worden uitgewisseld zijn namelijk onversleuteld en kunnen op afstanden van tientallen kilometers worden opgevangen. Gedurende drie maanden wisten de onderzoekers op deze manier bijna 55 miljoen berichten op te vangen.
Het ging om berichten van allerlei systemen in verschillende sectoren, waaronder de vitale infrastructuur, zoals energiecentrales en chemische fabrieken, maar ook defensiebedrijven en fabrikanten van halfgeleiders. De onderschepte berichten in de vitale infrastructuur bleken zowel van geautomatiseerde systemen als werknemers afkomstig te zijn. De berichten bleken soms waardevolle informatie voor een aanvaller te bevatten, zoals informatie over contactpersonen, locaties binnen fabrieken en energiecentrales, instellingen van industriële controlesystemen, intranet ip-adressen, intranet hostnames en databasenamen en database-opdrachten.
De berichten waren onder andere van e-mail-naar-semafoon gateways afkomstig. Dit is een dienst van derde partijen die e-mails naar vooraf opgegeven semafoonnummers doorsturen. "Mensen hebben soms het valse idee dat e-mails privé en vertrouwelijke zijn. E-mails worden meestal in platte tekst via internet verstuurd. Het doorsturen van de e-mails naar semafoons zorgt ervoor dat ze door de lucht gaan, en nog meer risico lopen om door derden te worden gelezen, aangezien versleuteling van semafoonsystemen ongebruikelijk is", aldus de onderzoekers. Eén van de grootste defensiebedrijven ter wereld bleek via een dergelijk systeem meer dan 1380 e-mailadressen te lekken.
Volgens Trend Micro zijn gegevens zoals telefoonnummers en namen van contactpersonen te gebruiken voor social engineering-aanvallen, terwijl ip-adressen en hostnames van intranetten handig zijn om zich lateraal door een netwerk te bewegen. Daarnaast bleken de berichten ook informatie te bevatten die voor prijsafspraken zijn te gebruiken en voor hogere energieprijzen kunnen zorgen, omdat het partijen inzicht in gegevens geeft die de concurrentiepositie kunnen versterken, aldus het beveiligingsbedrijf. Organisaties krijgen dan ook het advies om semafoonberichten te versleutelen, berichtensystemen te gebruiken waarbij de afzender kan worden gecontroleerd en het lekken van informatie via de e-mail-naar-semafoon gateways te controleren.
toen waren er veel leukere dingen uit te halen want toen had een pager nog meer de functie van wat later SMS deed.
Het was toen ook heel gebruikelijk om een pager actie aan een monitoring systeem te hangen, maar ik neem toch
aan dat dat nu een stuk minder geworden is. De meeste openbare pager netwerken bestaan trouwens niet meer en
degenen die er nog wel zijn hebben meestal hun end of life announcement ook al wel gehad. Ik zal het ding weer
eens opstarten om te kijken wat er nu nog over heen gaat...
Punt 1: Mogelijk kans op social engineering.
Punt 2: Mogelijk kans op social engineering. (Dat hadden ze toch ook al bij punt 1 genoemd?)
Punt 3: Mogelijk sabotage bij fysieke toegang.
Echter de aanbevelingen gaan helemaal niet in op de conclusie.
Ja, het verkeer encrypten een leuk theoretisch advies, maar een beetje serieuze cipher maakt je bericht dan veel te lang. En wat doe je als zo'n bericht gewoon op de buzzer van een storingsmonteur moet komen? Moet die dan eerst z'n one time pad erbij pakken en zelf het bericht ontsleutelen? Zie je het al voor je, wat een kul...
Authenticate the source. Volgens mij was het probleem social engineering, dat voortkwam uit - kennis over de systemen - achterhaald uit de berichten, niet zozeer dat de ontvanger van de berichten slachtoffer zou zijn van social engineering. Dus hier slaan ze de plank wederom mis. Ben je bang voor het risico dat een aanvaller onbedoelde berichten gaat sturen naar de gebruiker van de pager (een terecht risico trouwens, jarenlang gebruikte KPN 06-nummers voor de pagers die te herleiden waren naar de unieke device nummers op het netwerk), dan mag je eigenlijk geen enkel bericht als vertrouwd zien. Immers zijn afzendergegevens tegenwoordig zeer eenvoudig te spoofen, en op het telefonienetwerk vindt er geen enkele controle plaats op deze data. Met andere woorden: eigenlijk zou je geen enkel bericht moeten vertrouwen, en altijd via een ander kanaal de bron moeten uitvragen om de authenticiteit van het bericht vast te stellen. Het advies zou dus moeten zijn: stuur alleen korte berichten uit waarbij het de ontvanger duidelijk wordt gemaakt om op een afgesproken systeem de melding verder uit te lezen.
Tot slot adviseren ze om leakage te auditen. Dat lijkt me pas de laatste stap van een maatregel. Volgens mij moet je als eerst beginnen bij het begin, door er voor te zorgen dat gevoelige data ((mis)bruikbaar voor Social Engineering, zoals ze zelf ook aangeven) überhaupt niet verzonden wordt.
Dat kan al, met exact de zelfde RTL-SDR dongel waar dit artikel over gaat. Met gratis software zoals ADSBSharp kan je dan de GPS bakens van overvliegende vliegtuigen opvangen zonder speciale antenne
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.