Pas på: Samme sikkerhedsnøgle kan anvendes i millioner af routere, kameraer og IoT-produkter

Genbrug af sikkerhedsnøgler i millioner af routere, webkameraer og IoT-enheder åbner døren for hackere. Læs her, hvilke producenter der er ramt, og hvad du kan gøre for at sikre dig.

Din sikkerhedsnøgle er din bedste ven, men den kan sagtens have nogle umanerligt kedelige kammerater.

En ny undersøgelse fra SEC Consult viser nemlig, at dovne hardwareproducenter har genbrugt en lille gruppe sikkerhedsnøgler i flere millioner enheder som routere, webkameraer og IoT-produkter.

Det betyder, at den samme sikkerhedsnøgle kan bruges til blandt andet man-in-the-middle angreb og passiv dekryptering af ellers sikre data.

Det er et problem, som Computerworld tidligere har advaret imod kunne ville blive en alvorlig trussel, hvis ikke producenterne tog det alvorligt.

Hvordan er det sket?
SEC Consult har undersøgt over 4.000 enheder fra mere end 70 producenter og opdaget, at de indeholdt 580 unikke sikkerhedsnøgler.

De sikkerhedsnøgler går igen hos næsten 10 procent af alle nettets HTTPS hosts og seks procent af alle SSH hosts.

Problemet opstår ofte i forbindelse med kompilering af firmware, forklarer Henrik Larsen, chef for DKCERT.

"Når en producent køber en chip fra eksempelvis Broadcom til en enhed med en masse forskellige komponenter, følger der noget eksempel-software med, som kan bruges til at lave firmware. Hvis producenten så er sjusket og bare compiler, ligger den samme sikkerhedsnøgle pludselig på tusinder af enheder."

Det betyder, at en hacker eksempelvis kan downloade det seneste firmware til det webcam, du bruger.

En dygtig hacker kan så udlede sikkerhedsnøglen fra firmware filen, og pludselig har han et fantastisk værktøj til at hacke tusinder af systemer med samme sikkerhedsnøgle.

Hvad betyder det for mig?
Hvis dine enheder er ramt af problemet, afhænger størrelsen på dit sikkerhedshul meget af dine egne indstillinger.

"Det ser ud til, at man skal sidde på lokalnetværket for at lave et man-in-the-middle angreb. Men hvis enheden er sat op til at kunne tilgås fra nettet, kan man lave sit man-in-the-middle angreb online og for eksempel se med på dit webcam eller komme ind ad din SSH indgang og stjæle informationer eller lave skader. Det er dog meget vanskeligere end angreb fra lokalnettet" forklarer Henrik Larsen.

En lang række af de mange IoT devices på markedet kan fjernstyres via din smartphone. Eksempelvis er der allerede flere IoT låse på markedet. Og hvis du ikke har styr på sikkerheden omkring dem, kan det godt blive problematisk.

"Hvis administrationsmodulet kan tilgås udefra, kan dine uvenner låse sig ind på samme måde, som du kan låse dine venner ind," vurderer Henrik Larsen.

Hvad kan jeg gøre?
Hvis en eller flere af dine enheder er ramt af problemet, anbefaler DKCERT, at du, hvor det er muligt, udskifter SSH-nøgler og X.509-certifikater, og slår fjernadministration (WAN) fra.

Læs også: Firmware på din PC og din telefon fyldt med sikkerheds-huller: Så dårligt står det til

Læs også: Firmware-fadæserne rammer os igen og igen: Her er forklaringen






Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Højer og Lauritzen ApS
Distributør af pc- og printertilbehør.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Fuel your IT with the best-kept secret in IBM

It takes massive computing power to accurately calculate weather forecasts – and to secure that people and businesses are able to access detailed information about whether it is going to rain, shine, storm, or snow. In this seminar, you will have the chance to hear the British Met Office describe how they do exactly that.

28. januar 2021 | Læs mere


Sandheden om Schrems II – erhvervslivets nye Cuba-krise

Konsekvenserne af Schrems II kan meget vel gå hen og blive en af de største udfordringer for danske virksomheder i 2021. Så tjek ind på denne onlinebriefing, hvor den hemmelige Schrems II gæst, ComplyCloud og Datatilsynet giver dig indsigt i, hvad dommen i virkeligheden handler om, og hvilke menneskelige hensyn der ligger bag.

29. januar 2021 | Læs mere


GDPR i dagligdagen: Fokus på Datatilsynets nye strategi ”Tilsyn med effekt” og Schrems II

GDPR er ikke statisk. Nu øger Datatilsynet GDPR-kontrollen med ny strategi i tre faser. Strategien har fået navnet 'Tilsyn med effekt', og med den åbner Datatilsynet op for et nyt koncept. Derudover er der med Schrems II kommet flere EU-retningslinjer, som man skal tage stilling til.

09. februar 2021 | Læs mere






Computerworld
Biden sender skjult besked til kode-folket: "Hvis du læser dette, har vi brug for din hjælp”
En stående invitation er blevet opdaget i kildekoden på Det Hvide Hus' hjemmeside. Men den er kun til de eksperter, der selv kan finde den.
CIO
Podcast: Hos Viking Life-Saving Equipment er it gået fra at være backend til at være noget, som kunderne spørger aktivt efter
Podcast, The Digital Edge: Viking leverer en stadig større del af deres produkt som en tjeneste. Som en del af tjenesten tager Viking ansvar for sikkerheden ved at levere, dokumentere og vedligeholde det nødvendige sikkerhedsudstyr. Hør hvordan Henrik Balslev senior digital director hos Viking har løftet den opgave.
White paper
IDC – styrken af en hybrid cloud strategi
Cloud computing er blevet en integreret del af forretningsstrategi og it-arkitektur for mange virksomheder i løbet af det sidste årti. Brugen af cloud er blevet udbredt, fordi virksomheder vil indføre nye forretningsmodeller, udtrække værdifuld indsigt fra enorme datamængder, håndtere krævende arbejdsbelastninger, levere nye produkter hurtigere og opnå konkurrencemæssige fordele. Men cloudadoption har også introduceret nye udfordringer. Denne undersøgelse af virksomhedens it-kunder fremhæver de største udfordringer med offentlig cloud.