Найти уязвимость в крупной системе управления медицинскими данными за 4 часа полета - ✅

За несколько часов до своей презентации на конференции Insomnihack в Женеве я бегло посмотрел вторую (а первая стала поводом для доклада) крупную систему для управления медицинскими записями - OpenMRS. Оказалось, что и там существуют проблемы, которые открывают для злоумышленника возможности украсть пользовательские данные.

А пока разработчики исправляют обнаруженные уязвимости, доктор, не доверяй своему пациенту.

В прошлую пятницу Алексей Канахин познакомил студентов МИФИ и подписчиков нашего канала с темой защиты информации в эпоху машинного интеллекта и квантовых вычислений.

Ключевые мысли, которые Алексей озвучил в своей лекции:

* Квантовая криптография != пост-квантовая криптография. Сохраняем компетентность и не путаем эти технологии.
* Гомоморфное шифрование - тренд в современной криптографии, который начинает набирать обороты и внедряется в отрасли с повышенными требованиями к конфиденциальности данных. Например, анализ и поиск по приватным данным или машинное обучение с использованием этих данных.
* Разработчик, не надо писать свои криптографические библиотеки, если только ты не ставишь задачу изобрести новый протокол передачи данных или криптографический примитив.
* Квантовый компьютер, представляющий угрозу современным цифровым сертификатам, ещё не создан, однако быть готовым к его появлению нужно уже сейчас, потому что атаки с его использованием будет крайне сложно заметить.

Мы подготовили видео-запись и подборку ссылок для самостоятельного изучения. Изучай и задавай вопросы в чате нашего канала.

Ожидание и реальность: развитие угроз для подключенной медицины

В 2017 году в Дублине мы сделали прогнозы по развитию угроз в отрасли «подключенной» медицины. 8 из 9 сценариев к настоящему времени уже случились.

В пункте 9 есть предположение, что «развивающиеся технологии, такие как интеллектуальные искусственные конечности и импланты для физиологических улучшений или встроенной дополненной реальности, не только позволяют людям с ограниченными возможностями приспособиться, почувствовать себя лучше и сильнее, но и несут в себе угрозу. Именно поэтому крайне важно интегрировать системы безопасности в эти технологии на ранних этапах проектирования».

Отсутствие громких инцидентов еще не означает, что в этот самый момент, где-то в исследовательских лабораториях не изготавливается протез с уязвимой версией прошивки. Хорошая идея для перспективного исследования на стыке областей бионики и кибербезопасности.

И еще один год на этом космическом корабле.

Мудрость, которую мы вместе процеживали каждый день: шторм - часть путешествия, команда - стержень, а наш корабль - не место, где можно отсидеться.

Дорогой экипаж, продолжаем спасать мир!

Атакующий: тук-тук
Роутер: кто там?
Атакующий: admin admin

В главных ролях: прошивка роутера с учетной записью, зашитой в код.

В чем разница между системой видеонаблюдения и системой видеошпионажа?

Уязвимость обхода аутентификации в веб-приложении и множественные захардкоженные учетные данные для telnet легким движением руки превращают видеонаблюдение в видео-подглядывание.

«Человек посередине», теперь я знаю, как ты выглядишь. Фото с крупнейшей ИБ-конференции.

Эй, роутер, если однажды твой производитель оставит приватный ключ в твоей прошивке на видном месте, то можешь с гордостью встретить своего «человека посередине» из вчерашнего поста.

- Можете ли вы вкратце рассказать о своей работе?
- 🦸🏻‍♂️

Где-то там, в 2020 году, в российском исследовательском институте большой компании только начинает собираться команда, которая станет сильнейшей в области кибербезопасности 5G и телекоммуникаций. С уникальными экспертами: от исследователей уязвимостей в облачных приложениях до математиков, которые ищут недостатки в алгоритмах.

И где-то там же, в 2020-м, сидя за кухонным столом в офисе, я чувствую себя %superhero_name, который не дает уязвимостям остановить прогресс.

Бэкдоры на заднем дворе D-Link: часть 2

Продолжение первой части отчета об анализе роутера, который достался от провайдера. Помимо зашитых в код учетных записей, бедолага без авторизации отдавал содержимое конфигурационного файла с паролями.

CVE-2018-12677 хранит все учетные данные пользователя в открытом виде в конфиге внутри прошивки. И это не было бы так критично, если бы вторая уязвимость (CVE-2018-12419) не сохраняла этот конфиг в JS-переменной, которая доступна для гостя. Без авторизации. В исходном коде страницы.

И еще один бэкдор в прошивке роутера D-Link DIR-620, который достался вместе с договором от провайдера услуг.

Как мы выяснили вчера, прошивка хранит пароли в конфигурационном файле в открытом виде. Помимо пользовательских данных в нем можно найти строку формата “support<substring>”. Это логин предустановленной учетной записи для веб-панели администратора, предназначенный для нужд сервис-провайдера, а пароль лежит рядом в открытом виде. Вот так появилась CVE-2018–12676.

Если встретил нечто подобное в своем кофигурационном файле, то лучше обнови роутер до актуальной версии заводской прошивки.

Итогом исследования стал отчет об уязвимостях, который был отправлен производителю, провайдеру связи и MITRE.

На фото я показываю примерный размер обнаруженной проблемы.

Результат: производитель выпустил новую версию прошивки с исправлениями для устройства, которое уже давно снято с поддержки.

«Вы мучали старую модель роутера. Может посмотрите нашу high-end модель на актуальном технологическом стеке?» - спросил вендор и отправил новый роутер для анализа.

Ок.

Следующий объект исследования: Digital Video Recorder китайского производства, распространяемый по модели “white label”.

Чем примечателен: низкобюджетная, но чрезвычайно популярная модель DVR, экспортируемая китайским производителем на внешние рынки.

Ландшафт угрозы: более 120000 устройств, доступных в Интернет.

Шансы на успешный анализ защищенности: 100%. Еще бы, там на поверхности неприкрытый auth bypass в административной веб-панели: просто меняем ссылку на “http://<IP>/<video_stream>.html”, чтобы получить доступ к видеопотокам.

Не стань частью IoT-ботнета: уязвимости в Network Video Recorder.

Результатом анализа DVR/NVR системы китайского производителя стали следующие уязвимости:
- обход аутентификации в веб-панели администратора;
- зашитая в прошивку административная учетная запись для Telnet;
- зашитые в прошивку учетные записи для веб-панели и RTSP-сервера.

Отчет с описанием обнаруженных проблем и рекомендациями по их исправлению отправлен вендору и в китайский национальный центр реагирования на компьютерные инциденты (CNCERT).