FSB izkorišča evropske usmerjevalnike

V marsikateri stavbi je usmerjevalnik, ki že leta stoji v omari. Namestili so ga pred časom, vdelane programske opreme ni nihče posodobil, geslo pa je ostalo tovarniško. Ker naprava deluje, se je nihče ne dotika. Prav ta nevidnost jo dela uporabno za ruske obveščevalne službe.

Skupno opozorilo, ki so ga ta mesec objavile ameriške NSA, FBI in obveščevalne službe najmanj osmih evropskih držav, za sistematično izkoriščanje takšnih pozabljenih naprav imenuje konkretno rusko enoto: Center 16 pri FSB (CISA). Med podpisnicami so Francija, Italija, Poljska, Švedska, Finska, Estonija, Danska in Češka (NCSC NZ). Opozorilo je mednarodno in varnost usmerjevalnikov obravnava kot skupno ranljivost zahodnih držav.

Kako tloris stavbe odide skozi vrata

Številni usmerjevalniki imajo še vedno vključeno staro funkcijo za oddaljeno upravljanje, ki skrbnikom omogoča nadzor opreme prek omrežja. Inženirji ji pravijo SNMP, protokol za preprosto upravljanje omrežja. Njegove prvotne različice so nastale pred desetletji in imajo zelo malo varnostnih zaščit. »Geslo« je pogosto kratek niz znakov, ki ostane na tovarniški nastavitvi: dobesedno »public« ali »private«. Kdor preiskuje internet, ga lahko ugane (CISA).

Ko napadalec dobi dostop, usmerjevalniku naroči, naj kopira svojo konfiguracijsko datoteko in jo pošlje na strežnik pod njegovim nadzorom (NSA). Ta datoteka je nekakšen zvezek naprave: kaže, katere naprave so v omrežju, kako se promet premika med njimi in včasih tudi, kje so shranjene dostopne poverilnice. Napadalec tako dobi notranji zemljevid organizacije in pogosto tudi ključe za nadaljnji premik v sistem.

V praksi je to podobno, kot da bi obveščevalec preizkušal vrata, dokler ne najde odklenjenih, nato pa preslikal tloris stavbe, prebral interni telefonski imenik in ugotovil, kje hranijo ključe. Finski center za kibernetsko varnost je tveganje opisal neposredno: slabo zaščitene omrežne naprave odpirajo pot kibernetskim napadom, organizacije pa teh nadzornih plošč ne bi smele puščati vidnih javnemu internetu (Kyberturvallisuuskeskus).

Izpostavljena hrbtenica evropskih gospodarstev

Opozorilo našteva ciljne sektorje: komunikacije, energetiko, finančne storitve, državno upravo, obrambno industrijsko bazo in zdravstvo (CISA). To je v bistvu hrbtenica vsakega evropskega gospodarstva.

Nemško poročanje je poudarilo nesorazmerje: usmerjevalniki in podobne robne naprave, torej oprema med organizacijo in odprtim internetom, so pogosto pod šibkejšim nadzorom kot strežniki ali prenosniki, čeprav za začetek kartiranja omrežja zadošča že ena napačna nastavitev (Handelsblatt, cyberdeutsch.news). Italijanski obveščevalni službi AISE in AISI sta opozorilo sopodpisali (Decode39). Finska obveščevalna služba Supo je za podjetja in kritične sektorje izdala vzporedno nacionalno opozorilo (Supo).

Tveganje se ne konča pri prvi žrtvi. Prevzeti usmerjevalnik lahko napadalcu služi kot posredniška točka: poznejši sovražni promet potuje skozi omrežje žrtve, zato je videti, kot da prihaja iz zaupanja vrednega evropskega podjetja. To prikrije prisotnost napadalca in oteži zaznavanje pri vseh partnerjih in dobaviteljih v verigi (AttackIQ).

Rešitev je dolgočasna, in prav v tem je težava

Priporočeni ukrepi so namenoma nezanimivi: izklop starih različic SNMP, prehod na SNMPv3, ki zahteva pravo avtentikacijo, zamenjava privzetih gesel, omejitev oddaljenega upravljanja na znana omrežja, posodobitev vdelane programske opreme in zamenjava naprav, ki ne prejemajo več popravkov (NSA). Finski center za kibernetsko varnost dodaja še zbiranje in hrambo dnevniških zapisov od šest do štiriindvajset mesecev (Kyberturvallisuuskeskus).

Vse na tem seznamu lahko informacijska ekipa naredi takoj, brez nove zakonodaje ali obveščevalnega brifinga. Vrzel ni v znanju, temveč v prednostnih nalogah. Bolnišnica ali občinska uprava ima lahko dobro zaščitene prenosnike, medtem ko usmerjevalnik v oddaljeni pisarni še vedno uporablja geslo, s katerim je bil dobavljen leta 2018.

Na ta vzorec opozarja dvajset držav. Ruska državna obveščevalna služba ne prebija nujno naprednih obrambnih sistemov. Vstopa skozi vzdrževalne odprtine, ki jih nihče ni zaklenil. Obveščevalna operacija se lahko širi zato, ker se ista majhna vzdrževalna napaka ponavlja v tisočih omrežjih.