FSB murtautuu reitittimiin oletussalasanoilla

Monen organisaation verkossa on reititin, joka asennettiin vuosia sitten ja jäi sen jälkeen kaapin perälle. Laite toimii, joten siihen ei kosketa. Laiteohjelmistoa ei ole päivitetty, etähallinta on yhä päällä ja salasana on valmistajan oletus. Juuri tällainen näkymätön infrastruktuuri kiinnostaa Venäjän tiedustelua.

NSA:n, FBI:n ja vähintään kahdeksan Euroopan maan tiedustelu- ja kyberturvallisuusviranomaisten tässä kuussa julkaisema yhteisvaroitus nimeää tekijäksi Venäjän turvallisuuspalvelu FSB:n Center 16 -yksikön. Sen kerrotaan käyttäneen järjestelmällisesti hyväkseen huonosti ylläpidettyjä verkkolaitteita (CISA). Mukana ovat Ranska, Italia, Puola, Ruotsi, Suomi, Viro, Tanska ja Tšekki (NCSC NZ). Viesti on poikkeuksellisen suora: reitittimien perushygienia ei ole enää vain yksittäisen yrityksen IT-asia, vaan länsimaiden yhteinen haavoittuvuus.

Miten rakennuksen pohjapiirros päätyy ulos

Monissa reitittimissä on yhä käytössä vanha etähallintatoiminto, jonka avulla laitteita voidaan hallita verkon yli. Teknisesti kyse on SNMP-protokollasta. Sen alkuperäiset versiot suunniteltiin vuosikymmeniä sitten aikaan, jolloin tietoturvavaatimukset olivat toisenlaiset. Suojaus perustuu usein lyhyeen tekstijonoon, joka on jäänyt tehdasasetuksiin. Se voi olla kirjaimellisesti "public" tai "private". Internetiä skannaava hyökkääjä voi arvata sen (CISA).

Kun yhteys aukeaa, hyökkääjä voi käskeä reititintä kopioimaan oman asetustiedostonsa ja lähettämään sen hyökkääjän hallitsemalle palvelimelle (NSA). Asetustiedosto kertoo, mitä laitteita verkossa on, miten liikenne niiden välillä kulkee ja joskus myös sen, missä tunnistetietoja säilytetään. Käytännössä hyökkääjä saa organisaation sisäverkon kartan ja usein myös välineitä liikkua syvemmälle.

Kyberturvallisuuskeskus tiivisti riskin käytännönläheisesti: heikosti suojatut verkkolaitteet avaavat väylän kyberhyökkäyksille, eikä etähallintaa pidä jättää näkyviin julkiseen internetiin (Kyberturvallisuuskeskus). Kyse ei ole hienostuneesta murtautumisesta, vaan lukitsematta jääneestä huolto-ovesta.

Euroopan talouden perusrakenne on esillä

Varoituksessa luetellaan kohteiksi viestintä, energia, rahoituspalvelut, hallinto, puolustusteollisuus ja terveydenhuolto (CISA). Lista kattaa käytännössä eurooppalaisten talouksien kriittisen perusrakenteen.

Saksalaisessa uutisoinnissa korostui epäsymmetria: reitittimiä ja muita reunalaitteita, jotka sijaitsevat organisaation sisäverkon ja avoimen internetin rajalla, valvotaan usein löyhemmin kuin palvelimia tai kannettavia tietokoneita. Silti yksi väärä asetus voi riittää verkon kartoittamiseen (Handelsblatt, cyberdeutsch.news). Italian tiedustelupalvelut AISE ja AISI allekirjoittivat varoituksen (Decode39). Suomessa Suojelupoliisi julkaisi yrityksille ja kriittisille toimialoille oman rinnakkaisvaroituksensa (Supo).

Riski ei rajoitu ensimmäiseen uhriin. Kaapattu reititin voi toimia hyökkääjän väliasemana. Seuraava vihamielinen liikenne voidaan kierrättää uhrin verkon kautta, jolloin se näyttää tulevan luotettavalta eurooppalaiselta yritykseltä. Tämä peittää hyökkääjän jälkiä ja vaikeuttaa havaitsemista koko kumppani- ja alihankintaketjussa (AttackIQ).

Korjaus on arkinen, ja juuri siksi se jää tekemättä

Suositellut torjuntatoimet ovat tarkoituksella tylsiä: vanhat SNMP-versiot pois käytöstä, siirtyminen SNMPv3:een, joka edellyttää todellista tunnistautumista, oletussalasanojen vaihtaminen, etähallinnan rajaaminen tunnettuihin verkkoihin, laiteohjelmistojen päivittäminen ja sellaisten laitteiden korvaaminen, joihin ei enää saa tietoturvapäivityksiä (NSA). Kyberturvallisuuskeskus lisää listaan lokien keräämisen ja säilyttämisen 6–24 kuukauden ajalta (Kyberturvallisuuskeskus).

Yksikään näistä toimista ei vaadi uutta sääntelyä tai salaista tiedustelutietoa. Kyse on priorisoinnista. Sairaala tai kunta voi suojata työasemat hyvin, mutta sivutoimipisteen reitittimessä voi silti olla vuonna 2018 toimitettu oletussalasana.

Tästä kaksikymmentä maata nyt varoittaa. Venäjän valtiollinen tiedustelu ei välttämättä murra kehittyneitä puolustuksia. Se käyttää toistuvia ylläpitovirheitä, jotka ovat jääneet korjaamatta tuhansissa verkoissa. Vakoilu skaalautuu, koska sama pieni laiminlyönti toistuu organisaatiosta toiseen.