Principais ameaças três aplicativos móveis
Pesquisadores de segurança afirmam ter descoberto uma miríade de problemas de segurança com os sistemas de comunicação por satélite. Mas enquanto grande fabricante Iridium disse que as falhas de segurança identificadas por pesquisadores de segurança em IOActive estavam na mão, Thuraya, outro serviço de comunicadores via satélite, criticou o relatório como impreciso.
Ruben Santamarta, um consultor de segurança na IOActive, descobriu as falhas depois de avaliar algumas das comunicações por satélite mais generalizada (SATCOM) terminais. Depois de pesquisar vários terminais SATCOM, incluindo aquelas feitas por grandes empresas Inmarsat e Iridium sab, Santamarta alegou que ele tinha encontrado que todos os dispositivos são vulneráveis a abusos. Ele disse vulnerabilidades incluía o que parece ser vários backdoors, credenciais codificadas, protocolos não documentados e inseguras e fracas algoritmos de criptografia.
A pesquisa de Santamarta focados em análise e engenharia reversa as atualizações de firmware livre e publicamente disponíveis para tecnologias SATCOM populares fabricados e comercializados por Harris, Hughes, Cobham, Thuraya, JRC e Iridium.
Múltiplas vulnerabilidades de alto risco foram descobertos em toda a firmware do dispositivo SATCOM estudado por IOActive. Estas vulnerabilidades tem o potencial de permitir que um agente malicioso para interceptar, manipular, ou comunicações de bloco, e em alguns casos, para assumir o controle do dispositivo físico.Se um desses dispositivos afetados pode ser comprometida, toda a infra-estrutura SATCOM poderia estar em risco. Navios, aviões, militares, serviços de emergência, serviços de mídia, e instalações industriais (oilrigs, gasodutos, estações de tratamento de água, turbinas eólicas, subestações, etc) poderiam ser afetados por essas vulnerabilidades. Os resultados da pesquisa do IO atividade deve ser uma esteira - chamada para ambos os vendedores e nós.
IOActive está atualmente trabalhando com o governo CERT Centros de Coordenação e os vendedores vulneráveis para ajudar a resolver as deficiências de segurança expostas pela sua pesquisa. Mais detalhes sobre as vulnerabilidades descobertas estão sendo retidos até que o último semestre de 2014, proporcionando vendedores a oportunidade de desenvolver e implantar correções.
El Reg colocar em consultas a vários provedores de tecnologia sentou comm nomeadas no relatório, incluindo Iridium, Harris, Cobham e Thuraya.
Cobham disse que estava revendo a pesquisa de IOActive enquanto Iridium minimizou os perigos supostamente destacados pela pesquisa da IOActive enquanto tranquilizar os usuários que quaisquer problemas de segurança serão conectados.
Iridium tem estado em contacto com o CERT, uma vez que trouxe essas preocupações para a nossa atenção e nós tomamos as medidas necessárias na rede Iridium para aliviar o problema. Após uma extensa pesquisa internamente, nós determinamos que o risco para assinantes Iridium é mínima, mas estamos tomando medidas de precaução para proteger nossos usuários.
No entanto Thuraya, que fornece serviços Comuns móveis via satélite para clientes blue chip globais e mais de 30 entidades governamentais em todo o mundo, tomou a exceção com a pesquisa de IOActive, que argumentou era enganosa.
Em primeiro lugar, há uma série de imprecisões em todo o whitepaper sobre Thuraya que gostaria de esclarecer. Por exemplo, o autor confunde Thuraya como sendo um fornecedor de hardware, o que não somos (nós somos um operador de comunicações móveis via satélite). O whitepaper também afirma Thuraya oferece serviço BGAN da Inmarsat, o que não é verdade, pois somos concorrentes. Satélites de Thuraya e rede core são baseados na tecnologia de forma alguma relacionado com o BGAN, que é um serviço Inmarsat.Em segundo lugar, o whitepaper afirma que "... não era viável para adquirir cada dispositivo de destino. Em vez disso, foi realizada uma análise estática firmware por engenharia reversa de todos os dispositivos. "Como os equipamentos da Thuraya não foi testado em um ambiente do mundo real, os resultados e as conclusões do whitepaper são teóricos e não uma avaliação adequada dos recursos de segurança do equipamento. Acreditamos que para uma avaliação credível, pelo menos o equipamento precisa ser fisicamente testado por especialistas na área.
Em terceiro lugar, não havia provas ou dados apresentados sobre o porquê ou como terminais IP da Thuraya são vulneráveis específico. Consequentemente, não somos capazes de fornecer comentários sobre as conclusões whitepaper ou como se relaciona com Thuraya, como nenhuma informação específica foi apresentado para nós de refutar ou avaliar a respeito de nossos produtos e tecnologia. Alguns fornecedores de equipamentos "estão em destaque no whitepaper (como Cobham e Harris), no entanto, não estão em posição de comentar sobre outros jogadores do setor" produtos e tecnologia.
IOActive publicou um post no blog descrevendo as principais conclusões de sua pesquisa para ir junto com uma de 25 páginas whitepaper (PDF) . ®
Nenhum comentário:
Postar um comentário