Une technologie de communication peer-to-peer (P2P) intégrée à des millions de caméras de sécurité et autres appareils électroniques grand public comprend plusieurs failles de sécurité critiques qui exposent les appareils à l’écoute clandestine, au vol d’informations d’identification et à la compromission à distance, selon une nouvelle étude.
Une carte montrant la distribution de quelque 2 millions d’appareils compatibles iLinkP2P qui sont vulnérables à l’écoute clandestine, au vol de mot de passe et éventuellement à la compromission à distance, selon une nouvelle étude.
Les failles de sécurité impliquent iLnkP2Plogiciel développé par la société chinoise Technologie Yunni de Shenzhen. iLnkP2p est fourni avec des millions d’appareils Internet des objets (IoT), y compris des caméras de sécurité et des webcams, des moniteurs pour bébé, des sonnettes intelligentes et des enregistreurs vidéo numériques.
iLnkP2P est conçu pour permettre aux utilisateurs de ces appareils d’y accéder rapidement et facilement à distance depuis n’importe où dans le monde, sans avoir à bricoler leur pare-feu : les utilisateurs téléchargent simplement une application mobile, scannent un code-barres ou saisissent l’identifiant à six chiffres estampé sur le bas de l’appareil, et le logiciel P2P s’occupe du reste.
Une webcam fabriquée par HiChip qui inclut le logiciel iLnkP2P.
Mais selon une analyse approfondie partagée avec BreachTrace par un chercheur en sécurité Paul Marrapeseles appareils iLnkP2P n’offrent ni authentification ni cryptage et peuvent être facilement énumérés, ce qui permet aux attaquants potentiels d’établir une connexion directe avec ces appareils tout en contournant les restrictions du pare-feu.
Marrapese a déclaré qu’un script de preuve de concept qu’il avait construit avait identifié plus de deux millions d’appareils vulnérables dans le monde (voir la carte ci-dessus). Il a découvert que 39 % des objets IoT vulnérables se trouvaient en Chine ; 19 % supplémentaires sont situés en Europe ; sept pour cent d’entre eux sont utilisés aux États-Unis.
Bien qu’il puisse sembler impossible d’énumérer plus d’un million d’appareils avec seulement un identifiant à six chiffres, Marrapese note que chaque identifiant commence par un préfixe alphabétique unique qui identifie le fabricant qui a produit l’appareil, et il existe des dizaines d’entreprises qui marquent le Logiciel iLnkP2P.
Par example, HiChip – un fournisseur chinois d’IoT qui, selon Marrapese, représente près de la moitié des appareils vulnérables – utilise les préfixes FFFF, GGGG, HHHH, IIII, MMMM, ZZZZ.
Ces préfixes identifient différentes gammes de produits et fournisseurs qui utilisent iLnkP2P. Si le code estampé sur votre appareil IoT commence par l’un d’entre eux, il est vulnérable.
« En théorie, cela leur permet de prendre en charge près de 6 millions d’appareils pour ces seuls préfixes », a déclaré Marrapese. « En réalité, l’énumération de ces préfixes a montré que le nombre d’appareils en ligne était d’environ 1 517 260 en mars 2019. En énumérant tous les autres préfixes de fournisseurs, cela pousse le nombre vers 2 millions. »
Marrapese a déclaré qu’il avait également construit une attaque de preuve de concept qui peut voler les mots de passe des appareils en abusant de leur fonction intégrée de «battement de cœur». Une fois connectés à un réseau, les appareils iLnkP2P enverront régulièrement un battement de cœur ou un message « me voici » à leurs serveurs P2P préconfigurés et attendront d’autres instructions.
« Un serveur P2P dirigera les demandes de connexion vers l’origine du message de pulsation le plus récemment reçu », a déclaré Marrapese. « Simplement en connaissant un UID d’appareil valide, il est possible pour un attaquant d’émettre des messages de battement de cœur frauduleux qui remplaceront ceux émis par l’appareil authentique. Lors de la connexion, la plupart des clients tenteront immédiatement de s’authentifier en tant qu’utilisateur administratif en clair, permettant à un attaquant d’obtenir les informations d’identification sur l’appareil.
Pour aggraver les choses, même si un attaquant ne veut pas s’embêter à intercepter les mots de passe des appareils, un grand nombre d’entre eux fonctionneront dans leur état par défaut avec le mot de passe par défaut. Le malware IoT Mirai l’a prouvé de manière concluante, car il s’est rapidement propagé à des millions d’appareils en n’utilisant rien de plus que les informations d’identification par défaut pour les appareils IoT fabriqués par des dizaines de fabricants.
De plus, comme nous l’avons vu avec Mirai, les micrologiciels et logiciels intégrés à ces appareils IoT sont souvent basés sur un code informatique vieux de plusieurs années et rempli de failles de sécurité, ce qui signifie que toute personne capable de communiquer directement avec eux est également susceptible de pouvoir les compromettre à distance avec des logiciels malveillants.
Marrapese a déclaré malgré les tentatives de notification Le CERT chinois, iLnk et une demi-douzaine de grands fournisseurs dont les produits constituent l’essentiel des appareils concernés, aucun d’entre eux n’a répondu à ses signalements, même s’il a commencé à les contacter il y a plus de quatre mois. Ni HiChip ni iLnk n’ont répondu aux demandes de commentaires envoyées par BreachTrace.
Fait intéressant, le site Web d’iLnk (p1.i-lnk[.]com) semble actuellement non fonctionnel, et un examen de son code source HTML indique que le site est actuellement compromis par un script obscurci qui tente de rediriger les visiteurs vers un site Web de jeu chinois.
Malgré l’impact généralisé de ces vulnérabilités, les recherches de Marrapese suggèrent que la remédiation des fournisseurs est peu probable – et en fait, irréalisable.
« La nature de ces vulnérabilités les rend extrêmement difficiles à corriger pour plusieurs raisons », a écrit Marrapese. « La correction basée sur le logiciel est peu probable en raison de l’impossibilité de modifier les UID des appareils, qui sont attribués de manière permanente au cours du processus de fabrication. De plus, même si des correctifs logiciels ont été publiés, la probabilité que la plupart des utilisateurs mettent à jour le micrologiciel de leur appareil est faible. Les rappels d’appareils physiques sont également peu probables en raison de défis logistiques considérables. Shenzhen Yunni Technology est un fournisseur en amont avec des sous-fournisseurs inestimables en raison de la pratique de l’étiquetage blanc et de la revente. »
Marrapese a déclaré qu’il n’y avait aucun moyen pratique de désactiver la fonctionnalité P2P sur les appareils concernés. De nombreux appareils IoT peuvent percer des trous dans les pare-feu à l’aide d’une fonctionnalité intégrée aux routeurs matériels appelée Plug and Play universel (UPnP). Mais le simple fait de désactiver l’UPnP sur son routeur n’empêchera pas les appareils d’établir une connexion P2P car ils reposent sur une technique de communication différente appelée « Perforation UDP.”
Marrapese a déclaré qu’il devrait être possible d’empêcher les appareils vulnérables de communiquer avec n’importe quel serveur P2P en configurant des règles de pare-feu qui bloquent le trafic destiné au port UDP 32100.
Cependant, une idée beaucoup plus sûre serait simplement d’éviter d’acheter ou d’utiliser des appareils IoT qui font de la publicité quelconque Capacités P2P. Des recherches antérieures ont mis au jour des vulnérabilités similaires dans la fonctionnalité P2P intégrée à d’autres systèmes IoT. Pour des exemples, voir C’est pourquoi les gens craignent l’Internet des objets, et Les chercheurs trouvent du fourrage frais pour les canons d’attaque IoT.
Marrapese a documenté ses découvertes plus en détail ici. La vulnérabilité d’énumération a été attribuée CVE-2019-11219, et la vulnérabilité de l’homme du milieu a été attribuée CVE-2019-11220.
Lecture supplémentaire : Quelques règles de base pour sécuriser vos éléments IoT.