Buzz
Các thiết bị kết nối mà bạn ít nghĩ đến thường là những thiết bị không an toàn nhất. Đó là điều mà Ricky Lawshae, một nhà nghiên cứu an ninh tấn công tại Trend Micro, muốn chúng ta nhớ sau khi trình bày tại hội nghị hack DefCon vào thứ Sáu. Lawshae đã phát hiện hơn hai chục lỗ hổng trong các thiết bị Crestron được sử dụng bởi các doanh nghiệp, sân bay, sân vận động thể thao và chính quyền địa phương trên khắp đất nước.
Mặc dù Crestron đã phát hành một bản vá để sửa các vấn đề, một số yếu điểm cho phép hacker lý thuyết chuyển đổi các bảng cảm ứng Crestron chạy Android, được sử dụng trong văn phòng và phòng khách sạn, thành thiết bị giám sát. Nghiên cứu này cung cấp một lời nhắc quan trọng rằng các thiết bị hàng ngày của bạn không phải là mục tiêu hacker tiềm ẩn duy nhất trong cuộc sống của bạn.
Chưa bao giờ nghe về Crestron trước đây? Đó là mục tiêu. Công ty điện tử này sản xuất thiết bị dành cho khách hàng doanh nghiệp, phòng họp, khách sạn và nhà hát. Họ tạo ra các bảng cảm ứng mà công ty bạn có thể sử dụng để phối hợp cuộc họp, hoặc bạn có thể sử dụng trong phòng khách sạn để điều khiển rèm và đèn. Thiết bị Crestron không có gì nổi bật, và có thể được lập trình để đáp ứng mọi nhu cầu của tổ chức.
Thiết bị của công ty được sử dụng bởi các tên tuổi lớn như ExxonMobil, Boeing, Target, Twitter, Booz Allen Hamilton và Microsoft, theo một tài liệu trên trang web của công ty. Thậm chí các thượng nghị sĩ bang Virginia cũng sử dụng bảng điều khiển Crestron để bỏ phiếu cho các dự luật, theo một nghiên cứu mà công ty đã công bố.
"Trước khi tôi bắt đầu nghiên cứu về những thiết bị này, tôi chưa bao giờ nghe về Crestron," nói Lawshae. "Tôi không biết họ là ai cho đến khi tôi bắt đầu nghiên cứu về họ, và bây giờ tôi thấy chúng ở mọi nơi tôi đi." Anh ta đã tìm thấy hơn 20,000 thiết bị Crestron khác nhau trên thế giới được kết nối với internet mở, bằng cách sử dụng công cụ tìm kiếm IoT Shodan. Điều đó bao gồm cả ở Sân bay Quốc tế Las Vegas, gần nơi tổ chức hội nghị hack DefCon.
Bài thuyết trình của Lawshae tập trung đặc biệt vào hệ thống điều khiển MC3 của Crestron, chạy trên Windows, và bảng cảm ứng TSW-X60 của công ty, chạy trên Android.
Lawshae nhanh chóng nhận ra rằng những thiết bị này đã có các bảo vệ xác thực bảo mật bị tắt mặc định. Phần lớn, những thiết bị Crestron mà Lawshae phân tích được thiết kế để được cài đặt và cấu hình bởi các kỹ thuật viên bên thứ ba, có nghĩa là một kỹ sư IT cần tự nguyện bật các bảo vệ an ninh. Những người thực sự sử dụng thiết bị của Crestron sau khi chúng được cài đặt có thể thậm chí không biết rằng những bảo vệ như vậy tồn tại, chưa kể đến tầm quan trọng của chúng.
"Có sẵn xác thực, [Crestron có] cơ chế xác thực khá tốt, nhưng chúng đều bị tắt mặc định," nói Lawshae. "Người dùng chủ yếu không hề biết rằng dịch vụ này tồn tại và nên được bảo vệ bằng mật khẩu."
Thiết bị Crestron thực sự có tài khoản cổng sau đặc biệt được bảo vệ bằng mật khẩu. Nhưng công ty gửi thiết bị của mình với thuật toán được sử dụng để tạo mật khẩu ban đầu. Thông tin đó có thể được người dùng không có đặc quyền sử dụng để đảo ngược kỹ thuật mật khẩu chính nó, một lỗ hổng được phát hiện đồng thời bởi cả Lawshae và Jackson Thuraisamy, một nhà nghiên cứu lỗ hổng tại Security Compass.
Lawshae phát hiện hơn hai chục lỗ hổng khác trên các thiết bị, có thể được khai thác để biến chúng thành thiết bị nghe. Sử dụng một chức năng ẩn anh ta phát hiện, Lawshae có thể từ xa ghi âm qua microphone vào một tệp có thể tải về. Các giám đốc đang tham gia cuộc họp trong phòng họp sẽ không nhận được bất kỳ biểu hiện nào là họ đang bị ghi âm. Anh ta cũng có thể truyền video từ webcam từ xa, cũng như các mẹo vui khác, như mở một trình duyệt và hiển thị trang web đến một phòng đầy người tham dự cuộc họp mà họ không hề hay biết.
Những yếu điểm tương tự cũng có thể được lợi dụng bởi một người nội bộ hoặc ai đó đã có quyền truy cập vật lý vào một tòa nhà. Ví dụ, nếu một khách sạn sử dụng bảng cảm ứng của Crestron trong mỗi phòng khách sạn, một khách khích lệ có thể lý thuyết chuyển chúng thành webcam trực tiếp.
Crestron đã phát hành bản vá cho các lỗ hổng, và cập nhật firmware hiện đã có sẵn. Theo Nick Milani, giám đốc điều hành tiếp thị sản phẩm thương mại của Crestron, cập nhật là bắt buộc. "Chúng tôi không biết có bất kỳ ảnh hưởng tiêu cực nào do [các lỗ hổng]", Milani nói. "Chúng tôi đã phản ứng rất nhanh chóng."
Trung tâm tích hợp An ninh và Truyền thông Cyber quốc gia, thuộc Bộ An ninh Nội địa Hoa Kỳ, cũng đã phát đi thông báo về các lỗ hổng vào thứ Năm.
Mặc dù bạn có lẽ chưa bao giờ nghe về Crestron, thiết bị của họ có khả năng được cài đặt ở những nơi bạn thăm mỗi ngày. Nghiên cứu của Lawshae là một lời nhắc rằng an ninh mạng không chỉ giới hạn ở laptop và điện thoại di động. Kẻ thù tinh vi có thể tập trung vào những yếu điểm của mọi thứ—từ bảng cảm ứng đến đầu đọc thẻ tín dụng, thậm chí là đến các thiết bị như máy nhồi nhân. Khi thế giới trở nên đầy ắp với những thứ kết nối internet, những yếu điểm như vậy chỉ càng trở nên phổ biến hơn.
CẬP NHẬT: 10/8/2018, 3:15 CH EST: Câu chuyện này đã được cập nhật với bình luận từ Crestron.
Những điều tuyệt vời khác trên Mytour
- Đằng sau The Meg, bộ phim mà internet không để chết
- Những bước đơn giản để bảo vệ bản thân trên Wi-Fi công cộng
- Cách kiếm triệu từ việc tính phí tù nhân gửi email
- Người nào chịu trách nhiệm về thói quen công nghệ xấu của bạn? Câu trả lời phức tạp
- Di truyền học (và đạo đức) của việc làm cho con người phù hợp với sao Hỏa
- Muốn tìm thêm? Đăng ký bản tin hàng ngày của chúng tôi và không bao giờ bỏ lỡ những câu chuyện mới nhất và tuyệt vời nhất của chúng tôi
