La faiblesse du P2P expose des millions de dispositifs IoT

Une technologie de communication peer-to-peer (P2P) intégrée à des millions de caméras de sécurité et autres produits électroniques grand public comporte plusieurs failles de sécurité critiques qui exposent les périphériques à des écoutes illicites, au vol de justificatifs d'identité et à des compromis à distance, selon de nouvelles recherches.

Une carte montrant la distribution d'environ 2 millions d'appareils compatibles iLinkP2P vulnérables aux écoutes clandestines, au vol de mots de passe et éventuellement à des compromis à distance, selon une nouvelle étude.

Les failles de sécurité concernent  iLnkP2P , un logiciel développé par la société chinoise Shenzhen Yunni Technology . iLnkP2p est fourni avec des millions de périphériques Internet des objets (IoT), y compris des caméras de sécurité et des webcams, des moniteurs pour bébé, des sonnettes intelligentes et des enregistreurs vidéo numériques.

iLnkP2P est conçu pour permettre aux utilisateurs de ces appareils d’y accéder rapidement et facilement de partout dans le monde, sans avoir à bricoler son pare-feu: les utilisateurs téléchargent simplement une application mobile, scannent un code à barres ou saisissent l’ID à six chiffres bas de l’appareil et le logiciel P2P gère le reste.

Une webcam faite par HiChip qui inclut le logiciel iLnkP2P.

Mais selon une analyse approfondie partagée avec KrebsOnSecurity par le chercheur en sécurité Paul Marrapese , les périphériques iLnkP2P ne proposent aucune authentification ni aucun cryptage et peuvent être facilement énumérés, permettant ainsi à des attaquants potentiels d’établir une connexion directe avec ces périphériques tout en contournant les restrictions du pare-feu.

Marrapese a déclaré que le script de validation de concept qu'il avait construit identifiait plus de deux millions d'appareils vulnérables dans le monde (voir la carte ci-dessus). Il a constaté que 39% des objets vulnérables de l'IoT se trouvaient en Chine; 19% sont situés en Europe; 7% d’entre eux sont utilisés aux États-Unis.

Bien qu'il puisse sembler impossible d'énumérer plus d'un million de périphériques avec un identifiant à six chiffres, Marrapese note que chaque identifiant commence par un préfixe alphabétique unique qui identifie le fabricant qui l'a fabriqué. logiciel iLnkP2P.

Par exemple, HiChip - un fournisseur d’Internet Chinois selon Marrapese qui représente près de la moitié des périphériques vulnérables - utilise les préfixes FFFF, GGGG, HHHH, IIII, MMMM et ZZZZ.

Ces préfixes identifient différentes lignes de produits et fournisseurs utilisant iLnkP2P. Si le code apposé sur votre appareil IoT commence par l'un de ceux-ci, il est vulnérable.

Déclaration:

"En théorie, cela leur permet de prendre en charge près de 6 millions d'appareils rien que pour ces préfixes", a déclaré Marrapese. «En réalité, l'énumération de ces préfixes a montré que le nombre d'appareils en ligne était d'environ 1 517 260 en mars 2019. En énumérant tous les préfixes des autres fournisseurs, le nombre total d'appareils est de 2 millions.»

M. Marrapese a ajouté qu'il avait également mis en place une attaque de validation de concept capable de dérober les mots de passe d'appareils en abusant de la fonctionnalité «pulsation» intégrée. Lorsqu’ils sont connectés à un réseau, les appareils iLnkP2P envoient régulièrement un message de pulsation ou «ici, je suis» à leurs serveurs P2P préconfigurés et attendent d’autres instructions.

Déclaration :

"Un serveur P2P dirigera les demandes de connexion vers l'origine du message de pulsation le plus récemment reçu", a déclaré Marrapese. «En connaissant simplement un UID de périphérique valide, il est possible pour un attaquant d'envoyer des messages de pulsation frauduleux qui remplaceront ceux émis par le périphérique authentique. Lors de la connexion, la plupart des clients tenteront immédiatement de s’authentifier en texte clair en tant qu’utilisateur administratif, permettant ainsi à un attaquant d’obtenir les informations d’identité du périphérique. 

Pour aggraver les choses, même si un attaquant ne veut pas déranger en interceptant les mots de passe de l'appareil, un grand nombre d'entre eux s'exécuteront dans leur état d'usine avec le mot de passe d'usine. Le programme malveillant IoT Mirai l'a prouvé de manière concluante, car il s'est rapidement étendu à des millions d'appareils en n'utilisant rien de plus que les informations d'identification par défaut pour les appareils IoT créés par des dizaines de fabricants .

De plus, comme nous l'avons vu avec Mirai, les microprogrammes et les logiciels intégrés à ces appareils IoT sont souvent basés sur un code informatique vieux de plusieurs années et regorgeant de failles de sécurité, ce qui signifie que toute personne capable de communiquer directement avec eux les compromettre à distance avec des logiciels malveillants.

Selon M. Marrapese, malgré les tentatives faites pour informer le CERT chinois, iLnk et une demi-douzaine de grands fournisseurs dont les produits constituent la majeure partie des appareils concernés, aucun d’entre eux n’a répondu à ses informations - bien qu’il ait commencé à les contacter il ya plus de quatre mois. . Ni HiChip ni iLnk n'ont répondu aux demandes de commentaires envoyées par KrebsOnSecurity.

Fait intéressant, le site Web d’iLnk (p1.i-lk [.] Com) semble actuellement non fonctionnel, et un examen de son code source HTML indique que le site est actuellement compromis par un script obscurci qui tente de rediriger les visiteurs vers un site chinois. site Web de jeu.

En dépit de l'impact généralisé de ces vulnérabilités, les recherches de Marrapese suggèrent qu'il est peu probable, voire irréalisable, de remédier aux problèmes des fournisseurs.

Déclaration :

«La nature de ces vulnérabilités les rend extrêmement difficiles à corriger pour plusieurs raisons», a écrit Marrapese. «La correction logicielle est peu probable en raison de l'impossibilité de modifier les UID de périphériques, qui sont affectés en permanence pendant le processus de fabrication. De plus, même si des correctifs logiciels ont été publiés, la probabilité que la plupart des utilisateurs mettent à jour le micrologiciel de leur périphérique est faible. Les rappels de périphériques physiques sont également peu probables en raison de difficultés logistiques considérables. Shenzhen Yunni Technology est un fournisseur en amont avec des sous-fournisseurs inestimables en raison de la pratique de l'étiquetage et de la revente des blancs. ”

M. Marrapese a déclaré qu'il n'existait aucun moyen pratique de désactiver la fonctionnalité P2P sur les périphériques concernés. De nombreux périphériques IoT peuvent percer des trous dans les pare-feu à l'aide d'une fonctionnalité intégrée aux routeurs matériels appelée Universal Plug and Play (UPnP) . Mais le simple fait de désactiver le protocole UPnP sur votre routeur n'empêchera pas les périphériques d'établir une connexion P2P, car ils s'appuient sur une technique de communication différente, appelée « perforation UDP ».

M. Marrapese a déclaré qu'il devrait être possible d'empêcher les périphériques vulnérables de communiquer avec tous les serveurs P2P en définissant des règles de pare-feu qui bloquent le trafic destiné au port 32100 UDP.

Cependant, serait simplement d'éviter idée beaucoup plus sûr d' acheter ou d' utiliser des appareils IdO qui annoncent des capacités P2P. Des recherches antérieures ont mis au jour des vulnérabilités similaires dans la fonctionnalité de P2P intégrée à d'autres systèmes IoT. Pour des exemples, voir  Pourquoi les gens craignent l’Internet des objets et les  chercheurs trouvent-ils du fourrage frais pour leurs canons d’attaque IoT ?

Marrapese a documenté ses découvertes plus en détail  ici . CVE-2019-11219 a été affectée à la vulnérabilité d'énumération, et à CVE-2019-11220, la vulnérabilité homme-au-milieu.

-------------------------------------------------------------------------------------------------------------------------------

De plus, si vous êtes intéressé par la lecture de tels articles, veillez à suivre ce blog en cliquant sur le bouton "S'abonner".

Et si vous avez des questions, n'hésitez pas à communiquer avec nous ou à commenter directement ci-dessous, ou sur "News Républic" application disponible sur smartphone Android, iios, windows phone, une fois installé, recherchez :  "Global Informatique" .... Certains sujet sont écrits directement sur "News Républic".., Sinon sur Facebook Page "News Global Technology"

Source : krebsonsecurity