FSB wchodzi przez domyślne hasła

W wielu firmach i instytucjach router nie jest traktowany jak część infrastruktury bezpieczeństwa. Stoi w szafce technicznej, działa od lat, nikt nie aktualizuje jego oprogramowania, a hasło administracyjne bywa takie samo jak w dniu instalacji. Dopóki sieć działa, urządzenie znika z pola widzenia. Dla rosyjskiego wywiadu właśnie ta niewidoczność jest wartością.

We wspólnym ostrzeżeniu opublikowanym w tym miesiącu NSA, FBI oraz służby i agencje cyberbezpieczeństwa z co najmniej ośmiu państw europejskich wskazały konkretną strukturę: FSB Center 16, jednostkę rosyjskiej Federalnej Służby Bezpieczeństwa, która ma systematycznie wykorzystywać takie zaniedbane urządzenia (CISA). W koalicji znalazły się m.in. Francja, Włochy, Polska, Szwecja, Finlandia, Estonia, Dania i Czechy (NCSC NZ). To nie jest więc lokalny problem działów IT, lecz wspólna luka Zachodu.

Jak plan budynku wychodzi na zewnątrz

W wielu routerach nadal działa stara funkcja zdalnego zarządzania. Administrator może dzięki niej obsługiwać urządzenie przez sieć, bez fizycznego dostępu. Technicznie chodzi o SNMP, czyli protokół używany do monitorowania i konfiguracji sprzętu sieciowego. Jego pierwsze wersje powstały dekady temu i mają szczątkowe zabezpieczenia. „Hasłem” jest krótki ciąg tekstu, często pozostawiony w wersji fabrycznej: dosłownie „public” albo „private”. Takie wartości może odgadnąć każdy, kto skanuje internet (CISA).

Po uzyskaniu dostępu napastnik każe routerowi skopiować własny plik konfiguracyjny i wysłać go na kontrolowany przez siebie serwer (NSA). Taki plik jest notesem urządzenia: pokazuje, jakie elementy działają w sieci, którędy płynie ruch i czasem gdzie zapisano dane dostępowe. W praktyce daje mapę wewnętrzną organizacji, a niekiedy także narzędzia do wejścia głębiej.

Mechanizm jest prosty. Ktoś sprawdza kolejne drzwi, trafia na te bez zamka, kopiuje plan pięter, przegląda wewnętrzną książkę telefoniczną i widzi, gdzie trzymane są klucze. Fińskie centrum cyberbezpieczeństwa ujęło to bez technicznego żargonu: słabo chronione urządzenia sieciowe otwierają drogę do cyberataków, a organizacje nie powinny wystawiać paneli zdalnego zarządzania na publiczny internet (Kyberturvallisuuskeskus).

Odsłonięty kręgosłup europejskich gospodarek

Lista sektorów wskazanych w ostrzeżeniu brzmi jak spis podstawowych funkcji państwa i gospodarki: łączność, energetyka, usługi finansowe, administracja, przemysł obronny i ochrona zdrowia (CISA).

Niemieckie media zwróciły uwagę na asymetrię ryzyka. Routery i podobne urządzenia brzegowe, czyli sprzęt stojący między organizacją a otwartym internetem, bywają monitorowane słabiej niż serwery czy laptopy, choć jedna błędna konfiguracja wystarczy, by napastnik zaczął mapować sieć (Handelsblatt, cyberdeutsch.news). Pod ostrzeżeniem podpisały się włoskie służby AISE i AISI (Decode39). Fiński kontrwywiad Supo wydał równoległy komunikat dla firm i sektorów krytycznych (Supo).

Ryzyko nie kończy się na pierwszej ofierze. Przejęty router może stać się adresem pośrednim dla napastnika: późniejszy wrogi ruch przechodzi przez sieć poszkodowanej organizacji i wygląda tak, jakby pochodził od zaufanej europejskiej firmy. W ten sposób obecność atakującego zostaje „wyprana”, a wykrycie incydentu staje się trudniejsze dla partnerów i dostawców w całym łańcuchu (AttackIQ).

Naprawa jest nudna i na tym polega problem

Zalecenia służb są celowo mało efektowne: wyłączyć stare wersje SNMP, przejść na SNMPv3, który wymaga realnego uwierzytelniania, zmienić hasła fabryczne, ograniczyć zdalne zarządzanie do znanych sieci, aktualizować firmware i wymieniać urządzenia, które nie dostają już poprawek (NSA). Fińskie centrum cyberbezpieczeństwa dodało jeszcze obowiązek zbierania i przechowywania logów przez sześć do dwudziestu czterech miesięcy (Kyberturvallisuuskeskus).

Każdy punkt z tej listy dział IT może wykonać bez nowej ustawy, programu dotacyjnego czy odprawy kontrwywiadowczej. Brakuje nie wiedzy, lecz priorytetu. Szpital albo urząd gminy może mieć dobrze zabezpieczone laptopy, a jednocześnie router w filii nadal używa hasła nadanego przez producenta w 2018 r.

Właśnie przed tym schematem ostrzega dwadzieścia państw. Rosyjski wywiad państwowy nie musi za każdym razem przełamywać zaawansowanych zabezpieczeń. Wystarczy, że wejdzie przez techniczne przejścia, których nikt nigdy nie zamknął. Skala szpiegostwa bierze się stąd, że ten sam drobny błąd utrzymaniowy powtarza się w tysiącach sieci.