Krebs On Security - Velikanski DDoS-napad, ki je pred dvema tednoma onesposobil spletne strani Briana Krebsa, je bil doslej največji tovrstni napad v zgodovini, saj je presegal 600 Gb/s. Zaskrbljujoče pa je, da so ga izvajale pametne naprave, ki so priključene v internet (IoT), in zato seveda delujejo kot računalniki. Težava je, da pri načrtovanju pametnih stikal, usmerjevalnikov, IP-kamer, videopredvajalnikov, televizorjev in ostale opreme varnost ni bila na prvem mestu. Zaradi množice teh naprav je bil napad tako obsežen, čeprav napadalci niso uporabili nobene tehnike za umetno potenciranje obsega (denimo reflection attack)
Mirai je le eden izmed programov, ki v botnete spreminjajo IoT-naprave; drugi takšen program je Bashlight, verjetno pa obstaja še kakšen oziroma bo sedaj, ko je koda Miraia pobegnila. Bashlight naj bi na primer nadzoroval kar milijon naprav IoT. Večino teh naprav je mogoče očistiti že s ponovnim zagonom, seveda pa je potem treba zamenjati geslo, sicer problema nismo rešili.
Zakaj se je koda Mirai sedaj znašla na internetu, ni čisto jasno. Pogosto napadalci kodo objavijo, ko se jim preiskovalci zelo približajo. Kakorkoli, to kaže, da se nam obetajo velike težave. Do konca leta naj bi bilo na svetu 6,4 milijarde naprav IoT, ocenjuje Gartner, do leta 2020 pa več kot 20 milijard. Če jih bo le manjši del nezaščitenih, bo te še vedno ogromno.
Internet of things, je fina zadeva ja. Odvisno kdo si. Danes je žal prelahko stvari postavljat na net, in preveč ljudi, ki nimajo pojma to dela. Me zanima, kdaj bodo začei ddosat avtomobili. So idealne tarče. Jih je veliko, pa vsi imajo tovarniške nastavitve Se nam bo še kolcalo po Jugecih.
Never trust a computer you can't throw out a window
Povsem pričakovano, da gredo vsi po poti najmanjšega odpora: samo da deluje. Ko bi vsaj proizvajalci za vsako napravo nastavili drugo tovarniško geslo.
Težava je, da pri načrtovanju pametnih stikal, usmerjevalnikov, IP-kamer, videopredvajalnikov, televizorjev in ostale opreme varnost ni bila na prvem mestu.
Naj TV sam prestavlja programe, saj ima uporabnik dalinca v rokah, bo že sam prestavil nazaj?
No ja, centralno kurjavo in osvetiltev sobe imam na arduinotih, zvezano na OPI PC+. Zgleda, da bo treba it nazaj na klasične inštalacije in termostate...
Super, da bo pralni stroj, pa avto, pa printer,... vse to izvajalo napade. Sej me že ne preseneča eč ni, ker sem pred 3 leti moral avto peljat na update programske opreme. Ni in ni meje...
Io(shi)T ... tistega, ki se je to spomnil, bi bilo treba za jajca obesit z Empire State Buildinga.
Ja, dejmo obesit tistega, ki se je izmislil vse skupaj, ne tistih, ki so bili tako leni, da se jim niti privzeto nastavljenih gesel ni dalo zamenjati ...
Povsem pričakovano, da gredo vsi po poti najmanjšega odpora: samo da deluje. Ko bi vsaj proizvajalci za vsako napravo nastavili drugo tovarniško geslo.
To je velik problem s strani produkcije. Poleg tega moraš imeti nek sistem, kako obnoviti geslo, v primeru če ga uporabnik pozabi. Precej lažje bi bilo, da imaš default geslo in dokler ga ne spremeniš je dostop lahko samo lokalen.
A bi se dalo pred prvo uporabo prisiliti uporabnika, da geslo zamenja?
Seveda bi se dalo. Sam je treba najprej proizvajalce prisilit da uporabniku sploh omogočijo menjavo gesla (samo za info: večina BT blagajniških printerjev NE omogoča spremembe gesla... vsaj ne na uporabniku prijazen način). Po tem pa jih še prisilit v to da naprave sploh ni mogoče uporabljati dokler uporabnik ne zamenja gesla (al pa vsaj 'OK' stisne... če se mu že ne da).
Tudi če nekdo DDOSa avtomobil ... kaj se lahko zgodi? Zagotovo ima cache zemljevida, poti, celo goro senzorjev, ki nadzirajo vožnjo itd. Internetna povezava za delovanje avtomobila sploh ni ključna, verjamem da so tudi bodoči samovozeči narejeni tako, da lahko vozijo brez težav tudi tam, kjer ni mobilnega signala.
Veš kaj se zgodi ko te kdo DDoS-a? Zdaj si pa predstavljaj da se to zgodi v avtu (modernem, takem povezanem, v katerem niti ročna na dela več brez računalnika).... na neki cesti... sploh ni treba da je avtocesta...
DOS je lahko različen. Za vozila najbolj zaskrbljujoč bi bil tak napad, ki bi dajal legit zahtevke, ki bi pobrali celoten CPU čas glavnega procesorja. Potem tudi ostale stvari ali ne bi delovale, ali pa bi slabo delovale ...
Tudi če nekdo DDOSa avtomobil ... kaj se lahko zgodi? Zagotovo ima cache zemljevida, poti, celo goro senzorjev, ki nadzirajo vožnjo itd. Internetna povezava za delovanje avtomobila sploh ni ključna, verjamem da so tudi bodoči samovozeči narejeni tako, da lahko vozijo brez težav tudi tam, kjer ni mobilnega signala.
Na žalost ni tako. Na mojem zagovoru diplome sem imel še nekoga, ki je z eno napravo komuniciral z avtomobilom. Omenil je, da je frekvenco komunikacije omejil zaradi varnosti. Ni mi dalo miru, zato sem vprašal: a ne obstaja tu prioriteta, da najbolj pomembni taski dobijo prednost? Odgovor je bil negativen. Zadeva je narejena ZELO šalabajzarsko, zato je tole kar malo zaskrbljujoče.
DOS je lahko različen. Za vozila najbolj zaskrbljujoč bi bil tak napad, ki bi dajal legit zahtevke, ki bi pobrali celoten CPU čas glavnega procesorja. Potem tudi ostale stvari ali ne bi delovale, ali pa bi slabo delovale ...
Točno to sem jaz opisal zgoral. Samo zahteve je treba pošiljato (z dovolj veliko frekvenco) in zadeva se bo začela obešati.
Eu, ki je tko bolj fašistična bi lahko sprejela zakon, da morajo vse naprave z dostopom do interneta prvo od uporabnika zahtevat, da nastavi geslo preden sploh začnejo delovati. Tole z default l/p-ji je tragokomedija, ki se vleče odkar so začeli prodajati routerje, edina razlika je, da z vsakim nadaljevanjem zamenjajo igralce. Čakam na prvi DDOS napad pametnih ur. Sploh ne bom presenečen če se bo kdaj zgodil.
sej poglejmo samo pametni tunel golovec, odkar je 'povezan' stojimo vsak dan tudi ob 18:30 naprimer
Pred tunelom stojiš zato, ker se na drugi strani nabira kolona in ne želijo, da bi avtomobili stali v koloni v tunelu. Zato spuščajo v intervalih.
pravim le da zaradi te 'pameti' vsak dan cakas, medtem ko ja prej 20 let slo brez problemov. No res so na drugi strani se pametni kolicki.
Vse lepo in prav s pametnimi napravami, le po pameti jo je treba uporabljat. Vsak mikser res ne rabi pameti, pa tudi v avtu je za moj okus ne maram. se smatram sam dovolj. ;)
Ne govorimo o tem ali se da hekat te naprave (itak se jih da... že od kar so na trgu). Govorimo o tem da se bo vse te naprave (od insulinskih črpalk in srčnih spodbujevalnikov... do ur, avtov in pralnih strojev) dalo spremenit v bote za DDoS napade (ali kaj podobnega).
"ubil ga je lastni BT printer... ker mu je zdosal pacemaker-ja"
sej poglejmo samo pametni tunel golovec, odkar je 'povezan' stojimo vsak dan tudi ob 18:30 naprimer
Pred tunelom stojiš zato, ker se na drugi strani nabira kolona in ne želijo, da bi avtomobili stali v koloni v tunelu. Zato spuščajo v intervalih.
pravim le da zaradi te 'pameti' vsak dan cakas, medtem ko ja prej 20 let slo brez problemov. No res so na drugi strani se pametni kolicki.
Vse lepo in prav s pametnimi napravami, le po pameti jo je treba uporabljat. Vsak mikser res ne rabi pameti, pa tudi v avtu je za moj okus ne maram. se smatram sam dovolj. ;)
Se popolnoma strinjam ;) Smo prišli že do te stopnje, da nam naprave otežujejo življenje...in ne obratno.
sej poglejmo samo pametni tunel golovec, odkar je 'povezan' stojimo vsak dan tudi ob 18:30 naprimer
Pred tunelom stojiš zato, ker se na drugi strani nabira kolona in ne želijo, da bi avtomobili stali v koloni v tunelu. Zato spuščajo v intervalih.
pravim le da zaradi te 'pameti' vsak dan cakas, medtem ko ja prej 20 let slo brez problemov. No res so na drugi strani se pametni kolicki.
Vse lepo in prav s pametnimi napravami, le po pameti jo je treba uporabljat. Vsak mikser res ne rabi pameti, pa tudi v avtu je za moj okus ne maram. se smatram sam dovolj. ;)
Se popolnoma strinjam ;) Smo prišli že do te stopnje, da nam naprave otežujejo življenje...in ne obratno.
Na prvi uč, butasta trditev. Ampak spet ni tako mimo. Določene stvari naredijo več težav kot koristi.
There will be chutes!
It came from the lab.
Like tears in rain. Time to die. v_1 2012-21
Se nam bo še kolcalo po Jugecih. 