Cacat Kritis dalam Jutaan Perangkat IoT Mungkin Tidak Pernah Diperbaiki


Ya, saat ini Intinya adalah klise bahwa produk internet yang murah dan umum dapat menyimpan kerentanan yang berpotensi mengekspos jutaan atau bahkan miliaran perangkat. Namun, hal itu tidak kalah penting setiap saat. Sekarang, penelitian baru dari firma keamanan IoT Forescout menyoroti 33 kelemahan dalam protokol internet open source yang berpotensi membuat jutaan perangkat tersemat terkena serangan seperti intersepsi informasi, penolakan layanan, dan pengambilalihan total. Perangkat yang terpengaruh menjalankan keseluruhan: sensor dan lampu smart home, pembaca barcode, peralatan jaringan perusahaan, sistem otomasi gedung, dan bahkan peralatan kontrol industri. Mereka sulit atau bahkan tidak mungkin untuk ditambal — dan menimbulkan risiko nyata bahwa penyerang dapat memanfaatkan kelemahan ini sebagai langkah pertama ke dalam rangkaian jaringan yang luas.

Pada konferensi keamanan Black Hat Eropa pada hari Rabu, peneliti Forescout akan merinci kerentanan yang ditemukan di tujuh “tumpukan TCP / IP” open source, kumpulan protokol komunikasi jaringan yang menjadi perantara koneksi antara perangkat dan jaringan seperti internet. Kelompok tersebut memperkirakan bahwa jutaan perangkat dari lebih dari 150 vendor kemungkinan besar mengandung kerentanan, yang secara kolektif mereka sebut Amnesia: 33.

Ketujuh tumpukan tersebut semuanya open source dan telah dimodifikasi serta diterbitkan ulang dalam berbagai bentuk. Lima dari tujuh telah ada selama hampir 20 tahun, dan dua telah beredar sejak 2013. Umur panjang itu berarti bahwa ada banyak versi dan variasi dari setiap tumpukan di luar sana tanpa otoritas pusat untuk menerbitkan tambalan. Dan bahkan jika ada, produsen yang telah memasukkan kode ke dalam produk mereka perlu secara proaktif mengadopsi patch yang benar untuk versi dan implementasi mereka, kemudian mendistribusikannya ke pengguna.

“Yang paling membuat saya takut adalah sangat sulit untuk memahami seberapa besar dampaknya dan berapa banyak perangkat yang lebih rentan di luar sana,” kata Elisa Costante, wakil presiden penelitian di Forescout. “Tumpukan yang rentan ini adalah open source sehingga semua orang dapat mengambil dan menggunakannya dan Anda dapat mendokumentasikannya atau tidak. 150 yang kami miliki sejauh ini adalah yang dapat kami temukan yang telah didokumentasikan. Tapi saya yakin ada berton-ton perangkat rentan lainnya yang belum kami ketahui. “

Lebih buruk lagi, dalam banyak kasus sebenarnya tidak layak bagi pembuat perangkat itu sendiri untuk mendorong tambalan bahkan jika mereka mau atau bisa. Banyak vendor mendapatkan fungsionalitas dasar seperti stack TCP / IP dari “system-on-a-chip” yang disediakan oleh pembuat silikon pihak ketiga, yang juga perlu terlibat dalam perbaikan. Dan jauh dari kemungkinan bahwa banyak dari pihak-pihak ini bahkan akan memiliki cara untuk memberikan tambalan. Dalam beberapa contoh, misalnya, peneliti Forescout menemukan bahwa kerentanan di berbagai perangkat dapat dilacak ke satu pembuat SoC yang bangkrut dan tidak lagi dalam bisnis.

“Situasi ini benar-benar kekacauan yang konyol, saya tidak tahu harus berkata apa lagi tentang itu,” kata Ang Cui, seorang hacker lama IoT dan CEO dari firma keamanan tertanam Red Balloon Security. “Anda bisa mengatakan dengan baik keamanan IoT itu buruk, apa pun. Tapi ada risiko kumulatif nyata dengan masing-masing jenis wahyu sistemik yang besar ini. Kami perlu melakukan yang lebih baik dalam merancang produk ini.”

Banyak kerentanan yang ditemukan oleh para peneliti Forescout adalah kekeliruan pemrograman dasar, seperti kurangnya apa yang disebut pemeriksaan validasi input yang mencegah sistem menerima nilai atau operasi yang bermasalah. Pikirkan tentang kalkulator yang menghasilkan kesalahan ketika Anda mencoba membagi dengan nol alih-alih jatuh karena tekanan mencoba mencari cara untuk melakukannya. Banyak dari bug tersebut adalah kelemahan “kerusakan memori” — karenanya dinamai Amnesia: 33 — yang memungkinkan penyerang membaca data dari memori perangkat atau menambahkan data ke dalamnya sehingga mereka dapat mengekstrak informasi, merusak perangkat sesuka hati, atau mengambil kendali . Beberapa kerentanan juga terkait dengan mekanisme konektivitas internet seperti bagaimana stack menangani catatan Sistem Nama Domain dan pengalamatan Protokol Internet seperti IPv4 dan IPv6 yang lebih baru.

Diposting oleh : SGP Prize