Yleinen softa yskii salasanojen kanssa
3
Ennenkin esillä ollut tietoturvatutkija HD Moore raportoi kahdesta haavoittuvuudesta sulautetuissa järjestelmissä yleisesti käytetyssä VxWorks-käyttöjärjestelmässä.
Suomen Cert-fi selvittää faktat lyhyesti. Ensimmäinen haavoittuvuus liittyy käyttöjärjestelmän vakiona päällä olevaan debug-toiminnallisuuteen. Se mahdollistaa hyökkääjän koodin suorittamisen lähettämällä laitteelle udp-paketteja. Haavoittuvuus mahdollistaa myös käyttöjärjestelmän muistin sisällön tutkimisen.
Toinen haavoittuvuus on käyttöjärjestelmän vakiona käyttämässä tiivistealgoritmissa, Cert-fi jatkaa. Suunnitteluvirheen seurauksena useat eri salasanat tuottavat saman tiivisteen, jolloin salasanojen murtaminen yritys/arvaus-menetelmällä onnistuu paljon nopeammin, tutkija Mooren mukaan jopa vain puolessa tunnissa.
Löytyy
Marsistakin
Moore korostaa VxWorksin mitä moninaisinta käyttöä. Se oli hänen mukaansa suosituin sulautettu käyttöjärjestelmä vuonna 2005 ja on päässyt esimerkiksi Marsin Opportunity- ja Spirit-mönkijöihin.
Muita tunnettuja käyttöjärjestelmän hyödyntäjiä ovat Wikipedian mukaan esimerkiksi Hondan Asimo-robotti, BMW:n iDrive-järjestelmä ja Apache Longbow -taisteluhelikopteri.
HD Moore ei kuitenkaan sano, että nämä mainitut tuotteet olisivat haavoittuvia. Pitkät listat potentiaalisesti haavoittuvista ja haavoittuviksi jo tiedetyistä valmistajista on julkaistu internetissä.
Joukossa on muun muassa Apple, Canon, Cisco, Ericsson, Huawei, Xerox ja Nokia, joka on korjannut debug-aukon. Salasana-aukon pätevyydestä Nokian tuotteisiin ei ole tietoa.
Jos valmistaja ei ole vielä korjannut ongelmaa, Cert-fi tarjoaa rajoituskeinoja.
Lisää aukkoja
luvassa
VxWorks-alustan on kehittänyt Wind River Systems, joka on nykyään suoritinyhtiö Intelin omistuksessa. Käyttöjärjestelmän tavallisempia käyttökohteita ovat esimerkiksi tulostimet, kytkimet ja tukiasemat.
Tutkija Moore uskoo lisää haavoittuvuuksia löytyvän.
– Nämä kaksi mainittua haavoittuvuutta ovat vasta jäävuoren huippu, ja on paljon työtä jäljellä ennen kuin VxWorks on niin testattu kuin sen on tarpeen olla.
Kommentit (3)
Sitä ei vain kukaan tiedä eikä juuri välitä kun kaikki kohu on luotu monta vuotta windowsin ympärille. Tosin täytyy sanoa että viime aikoina kohu on ollut Applen ja Adoben suunnalla ja hyvä niin. Windowsistakin tuli silmätikkuna olemisen kautta eräs turvallisimmista käyttiksistä koska se sai paljon reikien etsijöitä liikkeelle.
Sen sijaan jokin VxWorks on ollut reikineen pimennossa vuosikaudet ja on esimerikki siitä mitä tarkoittaa "tietoturva tuntemattomuuden kautta". Kun sitten verho putoaa, ollaan housut kintuissa ongelmien kanssa.
Toivottavasti edes ne ketkä vielä sanovat että jokin softan tuntemattomuus olisi suoja väärinkäytöksiä vastaan ottaisivat nyt opikseen.
Mutta esitä sinä mielipiteitäsi, ehkä omissa piireissäsi sinua hurrataan.
Sikäli kuin minä tuon ymmärsin, niin siinä kirjoittaja toi esiin sitä että tuntemattomuus ei takaa turvallisuutta.
Siitä on turhaa yritää repiä mitään vastakkainasettelua, koska se on fakta.