BLACK HAT AVRUPA 2022 – Londra – Araştırmacı Douglas McKee, güvenlik açıklarını araştırdığı bir tıbbi hasta izleme cihazındaki şifreleri çıkarma konusunda hiç şansı yoktu. Cihazı incelemek için gereken kimlik bilgileri katmanlarını kaldırmak için çalıştırdığı GPU parola kırma aracı boş çıktı. Birkaç ay sonra, tıbbi cihazın belgelerini okumak için oturduğunda, şifrelerin her zaman basılı olarak orada olduğunu keşfetti.
Trellix güvenlik açığı araştırma direktörü McKee, bugün burada yaptığı bir sunumda, "Sonunda, tüm şifrelerin doğrudan belgelerde düz metin olarak açıkça yer aldığı belgeleri okumayı başardım," dedi. Parolaların da sisteme sabit kodlanmış olduğu ortaya çıktı, bu nedenle başarısız parola kırma işlemi çok büyük bir aşırılık oldu. O ve ekibi daha sonra cihazda, monitör cihazındaki hasta bilgilerini tahrif etmelerine izin veren hatalar keşfetti.
McKee'ye göre, belgelere göz yumamamak, üzerinde çalıştıkları donanım aygıtlarını ve yazılımları ve tersine mühendislik çalışmalarını incelemeye hevesli güvenlik araştırmacıları tarafından yaygın bir yanlış adımdır. O ve Trellix'te kıdemli güvenlik araştırmacısı olan meslektaşı Philippe Laulheret, "Daha Zor Başarısız Olun: Kendimize Rağmen Kritik Sıfır Günlerini Bulmak” sunumu burada, hackleme projelerinde yaptıkları hatalar veya yanlış hesaplamalar üzerine savaş hikayelerinden bazılarını paylaştı: araştırmacılar için faydalı ders olduğunu söyledikleri aksilikler.
Laulheret, "Gittiğimiz tüm konferanslarda [onlar] parlak sonuçları gösteriyor" ve güvenlik araştırmalarında sıfır gün gibi başarıları gösteriyor, dedi. Araştırmacılar, güvenlik açıklarını ararken yol boyunca başarısızlık ve aksilik dizilerini her zaman duymadığınızı söyledi. Onların durumunda, devre kartlarını yakan donanım korsanlıklarından, çalışmayan uzun soluklu kabuk koduna kadar her şey buydu.
İkinci durumda, McKee ve ekibi, kendisine bağlı cihazları uzaktan açıp kapatmak için Wi-Fi özellikli bir tüketici cihazı olan Belkin Wemo Insight SmartPlug'da bir güvenlik açığı keşfetmişti. "Kabuk kodum yığına ulaşmıyordu. XML kitaplığını okumuş olsaydım, XML'in karakterleri filtrelediği ve XML filtresi aracılığıyla izin verilen sınırlı bir karakter kümesi olduğu açıktı. Bu, gerçekten üzerinde çalıştığım kodu okumuş olsaydım, kaybedilen zamanın başka bir örneğiydi” diyor. "Yapısız hale getirdiğimizde, cihazı uzaktan kontrol etmenize izin veren bir arabellek taşması bulduk."
Varsaymayın: Uzaktan Eğitim Uygulaması 'Güvenlik' Tarafından Eğitim Alındı
Başka bir projede araştırmacılar, Netop'un Vision Pro adlı uzaktan eğitim yazılım aracı üzerinde çalıştılar. Uzak Masaüstü Protokolü tabanlı özellik yeterince basit görünüyordu: "Öğretmenlerin, bir öğrencinin makinesine tam erişim elde etmek için Microsoft kimlik bilgilerini kullanarak oturum açmasına olanak tanıyor," diye açıkladı McKee.
Araştırmacılar kimlik bilgilerinin kablo üzerinde şifrelenmiş olduğunu varsaymışlardı ki bu en iyi mantıksal güvenlik uygulaması olurdu. Ancak Wireshark'tan ağ yakalamalarını izlerken, kimlik bilgilerinin ağda şifrelenmemiş olarak dolaştığını keşfettiklerinde şok oldular. McKee, "Çoğu zaman varsayımlar, bir araştırma projesini yapma şeklinizin ölümü olabilir" dedi.
Bu arada, araştırdığınız bir ürünün birden fazla sürümünü, birinin zarar görmesi ihtimaline karşı, elinizde bulundurmanızı tavsiye ediyorlar. McKee, B Bruan Infusomat infüzyon pompasının pilini ve iç parçalarını sökme konusunda biraz fazla hevesli olduğunu itiraf etti. O ve ekibi, üzerine yapıştırılmış bir etikette bir MAC adresi gördükten sonra pili söktüler. İçinde bir devre kartı ve flaş çipi buldular ve üzerindeki yazılıma ulaşmaya çalışırken çipe fiziksel olarak zarar verdiler.
McKee, "Önce en az müdahaleci işlemi yapmaya çalışın," dedi ve en baştan donanımı kırmaya başlamayın. "Bir şeyleri kırmak, donanım hackleme sürecinin bir parçasıdır" dedi.
