Videó: New York All Stars - Pou La Vi (Lehet 2024)
Még a legösszetettebb motelben is ingyenes Wi-Fi biztosított. Arra számítottunk, hogy elvárjuk. Tehát természetesen ugyanolyan szintű szolgáltatást várunk el egy Airbnb-nél vagy más megosztó-gazdaságos bérleti díjnál. De van különbség, hatalmas különbség, amint ezt egy Black Hat beszélgetésében világossá tette Jeremy Galloway biztonsági szakértő.
A rövid távú bérleti díjak nagyobbak
Galloway egy ideig eltöltötte otthonát, hogy mekkora a rövid távú bérleti piac. Mivel a piaci méret becslések szerint évi 100 milliárd dollár, ez a felhőszolgáltatásokra fordított összes kiadás (110 milliárd dollár) és a kokain globális értékesítése (85 milliárd dollár) között helyezkedik el. Ó, és a szerencsejáték-ipar Las Vegasban? Ez körülbelül 6, 3 milliárd.
Azt is kijelentette, hogy több vendég használta az Airbnb-t ezen a nyáron, mint Görögország, Svédország vagy Svájc teljes népessége. Az egész világon több mint 2 000 000 Airbnb listával (vagy, ahogy ő hívta őket, célozzák) teljesen abszolút óriási. "Az Airbnb vadul népszerű pénzgép" - mondta Galloway. "De egy tanulmány kimutatta, hogy a vendégek 40 százaléka beismerte a szimatolást, miközben otthonukban tartózkodik. Megteszem! Megvizsgálom, hogy mi van zárva, és mi nem."
Egy hálózati állványok
"Te, a biztonsági szakemberek, vicces érzetet kaphatsz a hálózaton. Ez a hatodik érzésed van úgy, hogy az átlagos ember nem" - mondta Galloway. "Nagyon bízom a személyes otthoni hálózatot, ez 100 százalék. Egyetemi hálózat, nos, van informatikai biztonságuk, de az összes hallgató, azt mondanám, 50 százalék. Végül: egy véletlenszerű szállodakioszk, ez nulla Airbnb? 20% -ot mondtam."
Galloway egy online szexuális expozíciós számológépet mutatott rá analógiaként. Vegye figyelembe a partnereinek számát, és a partnerek számát, és láthatja, hány embernek volt kitéve. "Gondolj kétszer, mielőtt egy egyhálózati állványod lenne" - mondta Galloway. "Ez egy ostoba kifejezés, de a kereskedési kényelem összehasonlítása a kockázattal sok értelmet jelent."
Mit csinálhatnak a hackerek?
Galloway útválasztó-alapú támadások sokaságán ment keresztül az elmúlt néhány évben. A DNSChanger, a Hold féreg, a BlackMoon mindegyikét távolról módosítottuk az áldozatok útválasztóin. Galloway idézte Dan Geer biztonsági szuperhős állítását, amely szerint a router helyzete ugyanolyan érzékeny, mint a benzinszivárgás a zárt bevásárlóközpontban. "Ami engem illet, " mondta Galloway. "Azt mondanám, hogy az útválasztók biztonsága egy feltört dömpingelt fájl."
Természetesen ezeknek a támadásoknak szükségesek voltak arra, hogy távolról bejuthassanak az útválasztóba. Ha a támadó fizikai hozzáféréssel rendelkezik, mint például egy rövid távú bérlésnél, ez mindent megváltoztat. Galloway bemutatta az APT aláíró routerét. Nem, nem előrehaladott tartós fenyegetés; Fejlett gemkapocs- fenyegetés. "Önnek nem kell MacGyvernek lennie" - mondta Galloway. "Használjon hajlított gemkapcsot a router alaphelyzetbe állításához, és eltávolítsa a teljes biztonsági réteget. Ehhez semmi nem igényel nulla napos támadásokat vagy őrült kizsákmányolási kódot."
Egyre rosszabb, sokkal rosszabb. Valaki, aki fizikailag rendelkezik hozzáféréssel az útválasztóhoz, elfoghatja az érzékeny adatait, módosíthatja a megbízható adatokat, adatait injektálhatja és így tovább. - Igen - mondta Galloway -, az nem sokkal rosszabb.
Ezután felsorolt egy hihetetlen számú dolgot, amelyeket meg lehet tenni egy útválasztó feltörése érdekében, fizikai hozzáférésükkel, kezdve a bosszantóktól a katasztrofálisig. Konfigurálhatja saját eszközét távoli rendszergazdaként, és a látogatást követő hetekben megfigyelheti az útválasztót. Egy eszköz segítségével kibonthatja az összes eszközjelszót. Állítsa be naplószerverként, és passzív módon látja az összes forgalmat.
Az ijesztőbb oldalon beállíthat egy saját kiszolgálót az útválasztó DNS-kiszolgálójaként. Ez lehetővé tette a középtávú támadásokat, amelyek személyes információkat lophatnak el az útválasztón keresztül csatlakozó személyektől. "Nem támadhatja meg az embereket ezekkel a támadásokkal - jegyezte meg Galloway -, de megcélozhat konferenciákat, katonai bázisok közelében lévő helyszíneket, vállalati irodákat." Dan Kaminsky kulcsszójára hivatkozva azt mondta: "Az ICANN őrült hosszúságú, hogy a DNS biztonságos legyen. A DNS-t lulz-kel és kívánságokkal védted."
Amit tehetsz
Még mindig használhatja az Airbnb-t és a rövid távú bérleti díjakat, de ha bejelentkezik, védje meg magát. Galloway-nak mosodai listája volt a javaslatokról. Merevkódú DNS minden eszközén. Kapcsolja ki az automatikus proxy felfedezést. Használjon VPN-t. Kapcsolja ki a Wi-Fi-t, ha az eszköz celluláris adatokkal rendelkezik. A többi eszközt szétkapcsolja telefonjára, mint egy személyes hotspotot (csak kövesse nyomon a mobil adatfelhasználást). Kétfaktoros hitelesítés engedélyezése bárhol elérhető.
"Ez technikai jellegű, de van valami sokkal fontosabb" - mondta Galloway. "Változtassa meg az interfész módját. Egyetlen tanácsom - figyelje Mr. Robotot! Ön a lakosság 99% -ánál nagyobb biztonságnak fog kitenni magát. A legfelső egy százalékban lesz!"
Mit tehetnek az ingatlantulajdonosok?
Ha az Airbnb-bérleti látogatói rosszindulatú programokkal jönnek haza, nem adnak jó értékelést. És akkor is támaszkodhat ugyanazon a hálózaton, ha a bérleti díj csak egy szoba a házban. "Az egyetlen legjobb tanácsom, " mondta Galloway, "a fizikai hozzáférés megszüntetése. Zárja be az útválasztót egy szekrénybe vagy egy biztonságos helyiségbe. Zárja be egy elektronikus szekrénybe. Azt mondom, hogy a hackerek számára, és azt mondják: ha, tudok választani Igen. A lényeg nem a tökéletes biztonság megteremtése, hanem az, hogy őszinte emberek maradjanak."
"Azt is megfontolhatja, hogy nem kínál Wi-Fi-t - folytatta Galloway. "Vagy szerezzen egy külön alacsony sávszélességű vonalat csak a vendégek számára. Ez üzleti kiadás. Biztonsági másolat készítése és visszaállítása az útválasztó beállításainál rutinszerűen. És adjon hozzá egy online biztonsági részt a vendég útmutatóhoz."
Nincs jó hír
"Nem hagyhatok téged jó hírekkel" - fejezte be Galloway. "A probléma nem szűnik meg. 2011 óta minden év" a jogsértés éve ", főként az SQL Injection miatt. És az SQL Injection 1998 óta működik. Nincs javítás, frissítés vagy egyszerű javítás."
Csak annyit mondhatok, hogy wow. Ha szeretné tudni a teljes műszaki részleteket, hogy jobban megvédje magát, vagy otthoni útválasztó hackerré váljon, olvassa el a Galloway teljes bemutatóját.
