Sự thật đáng sợ: Với SN hoặc MAC, hacker có thể điều khiển thiết bị của bạn

[MinhSec]

Các nhà nghiên cứu vừa công bố một kỹ thuật tấn công hoàn toàn mới, cho phép xâm nhập thiết bị Internet vạn vật (IoT) ngay cả khi chúng đã được bảo vệ bằng tường lửa và không hề tồn tại lỗ hổng phần mềm. Phát hiện này đặt ra câu hỏi lớn: Những thiết bị IoT mà doanh nghiệp vẫn cho là an toàn… có thực sự an toàn?

Thông thường, hacker muốn chiếm quyền thiết bị IoT sẽ lấy địa chỉ IP và khai thác các lỗi bảo mật chưa được vá. Điều này chủ yếu xảy ra ở các tổ chức chậm cập nhật hoặc thiếu nhân sự an ninh mạng. Ngược lại, các doanh nghiệp có quy trình vá lỗi đầy đủ thường tin rằng hacker không thể làm gì nhiều.

Nhưng nghiên cứu mới chỉ ra: tường lửa không phải là “rào chắn cuối cùng” như mọi người nghĩ.

Kỹ thuật tấn công mới: Mạo danh thiết bị qua nền tảng đám mây​

Tại hội nghị Black Hat Europe sắp diễn ra ở London, nghiên cứu sinh Jincheng Wang (Đại học Nam Kinh) và chuyên gia bảo mật độc lập Nik Xe sẽ trình bày một mô hình tấn công mới cho phép chiếm quyền hàng loạt thiết bị IoT không cần IP, không cần lỗ hổng phần mềm và thậm chí thiết bị vẫn ở sau tường lửa.
Chìa khóa nằm ở dịch vụ quản lý đám mây thứ mà hầu hết thiết bị IoT hiện nay phụ thuộc để đồng bộ, cập nhật và giám sát.
Vì sao lại có thể mạo danh thiết bị IoT?

Hầu hết thiết bị IoT được xác thực với đám mây bằng số sê-ri (SN) hoặc địa chỉ MAC những thông tin tĩnh, đơn giản và thường bị xem nhẹ.
Nhiều nhà sản xuất để lộ các mã này qua:

• giao diện mạng không hạn chế
• điểm truy cập Wi-Fi
• API nội bộ bị mở công khai
• hoặc đơn giản… chúng có thể đoán được theo mẫu

Kẻ tấn công chỉ cần lấy được SN hoặc MAC, sau đó phân tích firmware để xem thiết bị giao tiếp với đám mây như thế nào. Từ đó, chúng có thể giả dạng thiết bị thật, đăng nhập lên nền tảng quản lý và gửi lệnh điều khiển.

Wang cho biết:
“Kẻ tấn công có thể quản trị thiết bị qua đám mây ngay cả khi thiết bị thật nằm sâu sau tường lửa hoặc hoàn toàn không kết nối Internet.”

Khi mạo danh thành công, hacker có thể:

• chặn giao tiếp của thiết bị thật
• gửi lệnh bàn quan hệ quản lý
• thay đổi cấu hình
• cài đặt thiết lập trái phép
• tạo cửa hậu từ xa

Và tất cả diễn ra mà doanh nghiệp khó lòng phát hiện, bởi lưu lượng trông giống như giao tiếp Cloud hợp lệ.

Nguy cơ cho doanh nghiệp và hướng phòng tránh​

Theo nhóm nghiên cứu, kiểu tấn công này đặc biệt nguy hiểm vì:

• khó truy vết
• không tạo log bất thường
• không cần khai thác lỗ hổng
• ảnh hưởng đến mọi thiết bị phụ thuộc Cloud

Giải pháp bắt buộc phải đến từ nhà sản xuất:

• yêu cầu xác thực đa lớp khi thiết bị đổi IP
• dùng UUID ngẫu nhiên thay vì SN hoặc MAC
• hạn chế API nội bộ
• mã hóa mạnh và kiểm tra tính hợp lệ của kết nối

Nhưng Wang cảnh báo:
“Nhiều nhà sản xuất âm thầm vá lỗi thay vì công bố, nên việc không có sự cố lớn không đồng nghĩa tấn công chưa từng xảy ra”.

Nguồn: Darkreading.com​

 

Được phối hợp thực hiện bởi các chuyên gia của Bkav, cộng đồng An ninh mạng Việt Nam WhiteHat và cộng đồng Khoa học công nghệ VnReview