NKSC prie KAM Inovacijų ir mokymų skyrius Lietuvoje parduodamos WiFi įrangos kibernetinio saugumo vertinimas GAMINTOJO D-Link PROD

Transkriptas

1 NKSC prie KAM Inovacijų ir mokymų skyrius Lietuvoje parduodamos WiFi įrangos kibernetinio saugumo vertinimas GAMINTOJO D-Link PRODUKCIJOS ANALIZĖ NKSC prie KAM, siekdamas užtikrinti saugios programinės ir aparatinės įrangos naudojimą Lietuvoje, atliko Lietuvoje parduodamos komunikacinės įrangos kibernetinio saugumo vertinimą, kurio rezultatai rodo naujas ir rafinuotas kibernetinio saugumo rizikas, kylančias namų ūkio ir smulkaus bei vidutinio verslo sektoriams. Naudodami trečiųjų šalių, iš anksto instaliuotus DNS servisus WiFi maršrutizatoriuose, naudotojai rizikuoja, kad naršymo internete duomenys bus registruojami ir kaupiami nekontroliuojamai. Rekomenduojame vartotojams domėtis įsigyjama programine ir aparatine įrangomis bei kritiškai pasižiūrėti į siūlomų paslaugų turinį. Nacionalinis kibernetinio saugumo centras (NKSC) prie Krašto apsaugos ministerijos siekdamas užtikrinti saugios programinės ir aparatinės įrangų naudojimą šalies viduje, atliko kai kurios Lietuvoje parduodamos komunikacinės įrangos kibernetinio saugumo vertinimą. Šioje analizė pateikti gamintojo D- Link maršrutizatorių ir komutatorių, skirtų namų ūkiams ir smulkiems verslo subjektams vertinimo rezultatai. Analizuotų įrenginių kainų diapazonas ( ). Atlikus Lietuvoje prekinio ženklo D-Link platinamų maršrutizatorių analizę nustatyta, kad tam tikri gaminiai, skirti namų ūkiams ir smulkiam bei vidutiniam verslui yra itin glaudžiai technologiškai susieti su Rusijos federacija. Gaminiuose D-Link DIR-842, D-Link DIR-853, D-Link DSL-2640U ir D-Link DSR-250N nurodomas įrangos tiekėjas D-Link Russia. Įrangoje veikia Rusijos DNS paslaugos Yandex.DNS ir SkyDNS. DNS (angl. The Domain Name System) sistema, atliekanti domeno žodinės išraiškos konvertavimą į serverio skaitinį IP adresą. Maršrutizatoriuje nurodžius DNS serverio adresą, kiekviena domeno žodinė užklausa siunčiama į nurodytą DNS serverį, kuris daro konvertavimą ir vartotoją nukreipia reikiamu serverio IP adresu. Be to, kad įrangos programinio branduolio atnaujinimai yra vykdomi iš Rusijoje esančių serverių. Yandex.DNS funkcionalumo ir programinės įrangos branduolio atnaujinimų proceso principinė blokinė schema pateikta paveiksle. D-Link įrenginiuose aktyvavus gamintojo nustatytąją Yandex.DNS paslaugą, visos DNS užklausos yra siunčiamos į serverius, kurie valdomi Rusijos kompanijos Yandex. Šiuose serveriuose yra registruojamos iš vartotojų atėjusios užklausos, leidžiančios nusakyti vartotojo IP adresą, vartotojo šalį, užklausos laiką, adresus kuriuos lanko vartotojas. Svarbu pažymėti, kad ilgalaikis vartotojo DNS užklausų stebėjimas ir stebėsenos rezultatų apdorojimas taikant šiuolaikinius duomenų analizės ir agregacijos metodus leidžia dideliu tikslumu apibendrinti vartotojo elgseną el. erdvėje ir tam tikrais atvejais nustatyti asmenį. Šalia Yandex.DNS paslaugos, gaminyje D-Link DIR-853 veikia ir kita DNS paslauga SkyDNS Rusijoje įsikūrusios įmonės produktas, teikiantis DNS ir DNS filtravimo paslaugas fiziniams ir juridiniams asmenims. SkyDNS valdo duomenų bazę su 90 milijonų puslapius charakterizuojančių įrašų, gautų iš DNS užklausų agregacijos. Gamintojas nurodo, kad duomenų charakterizavimui ir klasifikavimui 1

2 naudoja dirbtinį intelektą, jį apmokant vartotojų elgsenos tyrimų rezultatais: Our research team works with bid data using such methods as continuous machine learning, AI and user behavior analysis to enrich SkyDNS DB and ensure high quality of web categorization. Portalas Vartotojas X (Telefonas)... Vartotojas Y (Kompiuteris)... Vartotojas Z (Komp. staklės) Užklausa pasiekti Vartotojas X nukreipiamas į (nksc.lt) Maršrutizatorius IP: xxx.yyy Atsakymas iš dns.yandex.ru: nksc.lt nukreipti adresu Yandex.DNS modulis Programinės įrangos atnaujinimo užklausa Programinė įranga iš Rusijos serverių Yandex.DNS tarnybinė stotis Rusijoje :00:01 laiku iš Lietuvos, IP adresu xxx.yyy gautas užklausimas išrišti domeną nksc.lt Užklausa į (dns.yandex.ru) išrišti nksc.lt domeną D-Link atnaujinimų serveris Rusijoje :00:10 laiku iš Lietuvos, IP adresu xxx.yyy gautas užklausimas atnaujinti maršrutizatoriaus programinę įrangą. Lietuvos ir Europos sąjungos įstatymų reguliuojami tinklai Rusijos įstatymų reguliuojami tinklai Paveiksle Yandex.DNS ir branduolio atnaujinimų proceso blokinė schema. Šių įrenginių programinės įrangos branduolių atnaujinimas vyksta taip pat iš serverių Rusijoje. Šie atnaujinimų serveriai iš vartotojų gavę užklausą programinio branduolio atnaujinimui pagal naudojamo įrenginio identifikatorių parenka jam tinkantį branduolį ir jį pristato vartotojui įdiegti. Atnaujinimų serveriai apdoroja vartotojų užklausas, galimai vykdo jų registraciją ir duomenų kaupimą. Svarbu pabrėžti, kad tyrimų metu tirtos D-Link produkcijos gaminiuose žalingos programinės įrangos nebuvo nustatyta. Išimtis, kad gaminys D-Link DIR-878 naudojo kitokią operacinę sistemą, neturinčią Yandex.DNS ar SkyDNS paslaugų funkcionalumo, atnaujinimus vykdančią iš gamintojo serverių, esančių Taivane. NKSC prie KAM primena, kad Lietuvoje 2018 m. liepos 26 d. buvo fiksuotas kompanijos Yandex (kuriančios produktą Yandex.DNS ) plėtros aktyvumas, pristatant išmaniesiems įrenginiams skirtą programėlę Yandex.Taxi. Buvo nustatyta, kad programėlė reikalauja prieigos prie didelio kiekio jautrių duomenų ir leidimo naudotis įrenginio funkcijomis, pažymint, kad programėlės poreikiai galimai sudaro sąlygas neteisėtam asmens duomenų rinkimui ir kaupimui, o tai kelia susirūpinimą dėl jų saugumo. Remiantis programėlės naudojimo sąlygomis, iš naudotojo įrenginio surinkti duomenys saugomi organizacijos, kurios būstinė yra Rusijos federacijoje, Maskvoje, serveriuose. Lietuvos Respublikos Valstybės saugumo departamento ir Antrojo operatyvinių tarnybų departamento prie Krašto apsaugos ministerijos 2018 m. Grėsmių nacionaliniam saugumui vertinimo teigiama: Rusijos žvalgybos ir saugumo tarnybos turi teisinius įgaliojimus ir techninių galimybių įgyti prieigą prie Rusijos ir užsienio valstybių piliečių, naudojančių rusiškas elektroninio komunikavimo platformas, duomenų. Grėsmių vertinime taip 2

3 pat nurodoma: (...) grėsmė, kad asmeniniai duomenys nutekinami Rusijos žvalgybos ir saugumo tarnyboms, kyla visiems Lietuvos piliečiams, besinaudojantiems rusiškais socialiniais tinklais ir elektroninio pašto paslaugomis, pvz., odnoklasniki, mail.ru, yandex ir pan.. Yandex.Taxi programėlės tyrime pažymėta, kad ypatingai svarbu, kad ši kompanijos Yandex produkcija nebūtų naudojama Lietuvos valstybės tarnautojų ir pareigūnų, krašto apsaugos sistemos darbuotojų įrenginiuose. Platesnio tyrimo rezultatai Tinklo įrangos gamintoja D-Link Corporation (D-Link Systems, Inc.) yra Taivano korporacija, 30 metų valdanti prekinį ženklą D-Link, turinti 2000 darbuotojų, gaminamos produkcijos asortimentą užtikrinati 60-iai šalių. Korporacijos technologinė ašis įvairios vieningų tinklo sprendimų realizacijos, kurios apima ryšio komutavimo, maršrutizavimo ir debesų kompiuterijos technologijas, įgalinančias didelės apimties ir didelio kompleksiškumo belaidžio ir plačiajuosčio tinklo plėtros galimybes. D-Link pasižymi plačiu tikslinių grupių diapazonu namų ūkiai, mažo, vidutinio ir stambaus verslo sektoriai, ryšio ir elektroninių paslaugų tiekėjai. Nepaisant D-Link prekinio ženklo žinomumo, korporacija metų laikotarpyje susidūrė su kuriamos įrangos saugumo iššūkiais remiantis pažeidžiamumų duomenų bazių (angl. Common Vulnerabilities and Exposures CVE) informacija, fiksuota 50 pažeidžiamumų, iš kurių 31 nustatytos 2018 metais. Pastebimai auganti D-Link produkcijos pažeidžiamumų tendencija kelia susirūpinimą ir yra neabejotinas NKSC atliekamų kompleksinių tyrimų objektas. Analizės imtyje tirti įrenginiai Lietuvoje platinami D-Link maršrutizatoriai DIR-842, DIR-853, DIR-878, DSR-250N, DSL-2640U, komutatoriai DGS-1008D ir DGS-1016C. Tyrime dalyvavusios produkcijos vaizdai patekti 1 paveiksle. DIR-842 DIR-853 DIR-878 DSR-250N DSL-2640U DGS-1008D DGS-1016C 1 pav. Tyrime dalyvavusios D-Link produkcijos vaizdai Tyrimų metu buvo atlikta gaminių programinės įrangos funkcionalumo ir jos kuriamų srautų rizikos analizė, aparatinės dalies dekompozicijos tyrimas. Aparatinės dalies tyrimo metu buvo atlikta įrenginiuose naudojamų mikroschemų atitikties analizė, įvertinta gaminio schemotechninė struktūra ir jo pagaminimo kokybė. Šiame tyrime įrenginiai buvo demontuoti iki ribos, kurią peržengus atgalinis surinkimas būtų galimas tik panaudojus precizinę įlitavimo / išlitavimo įrangą, tokiu atveju padidinant riziką negrįžtamai dėl proceso metu naudojamos aukštos temperatūros pažeisti mikrograndynuose esamą informaciją. Atlikus gaminių programinės įrangos funkcionalumo ir jos kuriamų srautų (gaunamų ir išsiunčiamų duomenų) rizikos analizę, aparatinės dalies dekompozicijos tyrimus, buvo nustatyti sekantys faktai: 1. Dalis tyrime dalyvavusių Lietuvoje platinamų D-Link gaminių pasižymi glaudžiomis technologinėmis sąsajomis su Rusijos federacija. Maršrutizatoriaus D-Link DIR-842 (branduolio versija 3.0.0) nustatymuose nurodytas įrenginio tiekėjas (angl. Vendor) D-Link 3

4 Russia, pateikiamas Rusijoje registruotas el. pašto adresas ir telefono numeris. Identiška informacija pateikiama ir gaminio D-Link DIR-853 nustatymuose. Šiame gaminyje nurodoma kita branduolio versija Abu gaminiai naudoja identišką grafinę sąsają, pateikiamą anglų ir rusų kalbomis. Gaminys D-Link DSL-2640U (branduolio versija 2.5.0) nustatymuose taip pat nurodo Rusijoje esančio tiekėjo informaciją. 2 paveiksle pateikti maršrutizatorių D-Link DIR- 842, D-Link DIR-853 ir D-Link DSL-2640U informaciniai langai. DIR-842 DIR-853 DSL-2640U 2 pav. D-Link DIR-842, D-Link DIR-853, D-Link DSL-2640U maršrutizatorių informaciniai langai Verta pažymėti, kad tos pačios klasės ir artimo funkcionalumo gaminyje D-Link DIR-878 (branduolio versija 1.01, išleista ) naudojama kitokia grafinė sąsaja, gamintojas nurodomas D-Link, o sistemos licencijavimo aprašas nurodomas į originalų gamintojo puslapį, registruotą Taivane 3 paveiksle pateiktas gaminio atnaujinimo skilties atvaizdas. 4

5 3 pav. D-Link DIR-878 atnaujinimo skilties vaizdas 2. Nustatyta, kad dalyje gaminių programiniuose branduoliuose įdiegtos specifinės Yandex.DNS ir SkyDNS paslaugos. Atlikus automatinę gaminio D-Link DIR-842 konfigūraciją ir jį perkrovus, startavęs įrenginys vartotoją nukreipia adresu kuriame pateikta informacija apie Yandex.DNS paslaugos aktyvavimą. Puslapyje pateikiama ir lentelė su Yandex.DNS paslaugą palaikančiais gaminių modeliais. Yandex.DNS Informacinio puslapio atvaizdas pateiktas 4 paveiksle. 4 pav. Yandex.DNS informacinis puslapis, į kurį nukreipiami D-Link DIR-842 naudotojai DNS (angl. The Domain Name System) yra sistema, kuri konvertuoja domeno žodinę išraišką į serverio skaitinį IP adresą. Maršrutizatoriuje nurodžius DNS serverio adresą, kiekviena domeno užklausa siunčiama į nurodytą DNS serverį, kuris daro konvertavimą ir vartotoją nukreipia reikiamu IP adresu. DNS serveris, priklausomai nuo konfigūracijos, gali atlikti jam siųstų užklausų kaupimą ir specifinį jų apdorojimą. Yandex.DNS yra Rusijos kompanijos Yandex teikiama DNS vardų konvertavimo paslauga. Atlikus tyrimą nustatyta, kad naudojantis šia paslauga, DNS užklausos nukreipiamos į serverius, adresais (dns.yandex.ru) registruotus Rusijoje, Maskvoje. 5 paveiksle pateiktas internetinio trakto išrašas, įrenginiuose naudojant siūlomą Yandex.DNS paslaugą. 5 pav. Yandex.DNS paslaugos įtaka internetiniam traktui Nagrinėjamuose įrenginiuose Yandex.DNS paslauga pagal nutylėjimą yra išjungta, jos įjungimas numatytas pagrindiniame maršrutizatoriaus konfigūraciniame lange. Ši funkcija pristatoma kaip Greita DNS paslauga iš Yandex su papildomais saugumo elementais. Gaminiuose naudoti kitus DNS serverius galimybė yra, tačiau tai prieinama tik išplėstiniuose įrenginio nustatymuose. 5 7 paveiksluose pateikti Yandex.DNS paslaugos aktyvavimo panelė tiriamuosiuose įrenginiuose. 5

6 5 pav. Yandex.DNS paslaugos aktyvavimo panelė D-Link DIR-853 įrenginyje 6 pav. Yandex.DNS paslaugos aktyvavimo panelė D-Link DSL-2640U įrenginyje 7 pav. Yandex.DNS paslaugos aktyvavimo panelė D-Link DIR-842 įrenginyje 1 lentelėje pateiktas sesijos išrašas tarp portalo ir tiriamo įrenginio naudojant Yandex.DNS paslaugą. 1 lentelė. Duomenų mainai sesijoje naudojant Yandex.DNS paslaugą Eil. Šaltinis Tikslas Protokolas Informacija Nr Užklausa Atsakymas Užklausa tiles.services.mozilla.com Užklausa tiles.services.mozilla.com Atsakymas ns1.edgecastcdn.net Užklausa smpop.icfcdn.com Atsakymas Užklausa smpop.icfcdn.com Atsakymas ns1.hwcdn.net Užklausa cdn1d-static-shared.phncdn.com Atsakymas Užklausa cdn1d-static-shared.phncdn.com Atsakymas ns0.reflected.net Užklausa media.trafficjunky.net Atsakymas DNS 6

7 Lentelėje rausva spalva pažymėtos eilutės nusako DNS užklausas, kurios Yandex.DNS panaudos atveju siunčiamos į Rusijos serverius, kur vyksta adreso transformavimas į IP adresą. Gaminyje D-Link DIR-853 aktyvavus Yandex.DNS paslaugą, DNS išrišimas vykdomas adresu (ns2.yandex.net). Be Yandex.DNS paslaugos D-Link DIR-853 gaminyje veikia ir kita DNS paslauga SkyDNS. 8 paveiksle pateiktas SkyDNS atvaizdas D-Link DIR-853 gaminio nustatymo panelėje. 8 pav. SkyDNS nustatymai tiriamame įrenginyje SkyDNS yra Rusijoje įsikūrusi įmone, kuri teikia DNS ir DNS filtravimo paslaugas fiziniams ir juridiniams asmenims. Įmonė nurodo, jog jų paslaugomis naudojasi vartotojai daugiau nei 40 valstybių, išskiriant Rusiją, Kazachstaną ir Ukrainą. SkyDNS valdo duomenų bazę su 90 milijonų puslapius charakterizuojančių įrašų, gautų iš DNS užklausų agregacijos. SkyDNS puslapių charakterizavimui ir klasifikavimui naudoja dirbtinį intelektą, jį apmokant vartotojų elgsenos tyrimų rezultatais: Our research team works with bid data using such methods as continuous machine learning, AI and user behavior analysis to enrich SkyDNS DB and ensure high quality of web categorization.. Verta pažymėti, kad minėtos informacijos agregacijos, analizės ir taikymo specifiniams uždaviniams spręsti procesai gali veikti tik užtikrinant didelės apimties duomenų kaupimą, o netinkamas jų valdymas gali kelti grėsmę vartotojų privatumui. 3. Programiniai atnaujinimai vyksta neužtikrinus duomenų ryšio saugumo praktikos. Tiriamuose įrenginiuose numatytas programinių atnaujinimų funkcionalumas. Kibernetinio saugumo požiūriu tai yra prasminga ir reikalinga funkcija. Programinių naujinimų parinktys D- Link DIR-853 valdymo panelėje pateiktas 9 paveiksle. 9 pav. Programinių naujinimų parinktys D-Link DIR-853 įrenginyje Gaminiuose D-Link DIR-842, D-Link DIR-853 ir D-Link DSL-2640U aktyvavus naujinimų paiešką, įrenginiai jungėsi adresu registruotu Rusijoje, 7

8 Riazanėje. Šiuo adresu pateikiamos technologinės instrukcijos gaminiams, priklausomai nuo jų modelio, programinių naujinimų siuntimuisi. 10 paveiksle pateiktas minėtos nuorodos turinio atvaizdas. 10 pav. Viešai prieinamos D-Link gaminių naujinimo instrukcijos D-Link DIR-853 naujinimų atveju buvo nukreipta adresu T7621AT_3.5.2_release.des, kuriame patalpinta įrenginio atnaujinimo rinkmena. Iš nuorodos konstrukcijos galima įvertinti, kad šio konkretaus įrenginio atnaujinimas parengtas ir galima teigti, kad gamintojas aktyviai palaiko savo tiekiamą produkciją. Nepaisant to, visas programinės įrangos naujinimo procesas vykdomas duomenų mainų saugumo negalinčiu užtikrinti HTTP protokolu, todėl nuotoliniu būdu siunčiama programinė įranga gali būti pakeista trečios šalies ir įdiegta į maršrutizatorių. Trečiajai šaliai realizavus nuotolinį programinės įrangos modifikavimą ir diegimą būtų užtikrinta galimybė neteisėtam įrenginio valdymo perėmimui. 4. Įrenginiuose naudojamoje programinėje įrangoje yra nestandartine praktika parašyto kodo. Atlikus preliminarią grafinės sąsajos analizę pastebėta, kad programinėje įrangoje yra naudojamas kodas, parašytas kirilica. Tai galima laikyti netipinės programavimo kultūros išraiška, neturinčios aiškių motyvų. Tokio pobūdžio netipiniai sprendimai masinės gamybos produkcijoje aiškių kibernetinio saugumo aspektų neturi. Programinio kodo atvaizdas pateiktas 11 paveiksle. 8

9 11 pav. Programinio kodo dalis, naudojama D-Link įrenginių grafinėje sąsajoje 5. Įrenginiuose naudojamų programinių sprendimų bazę sudaro specializuotai modifikuotos atviro kodo programos. Atlikus įrenginiuose naudojamų programinių paketų analizę, nustatyta, kad pagrindiniai komponentai sistemos branduolys, rinkmenų sistemą (angl. File System FS) ir aptarnaujantys paketai priklauso Posix šeimos sistemų grupei. Nustatyta, kad sistemos bazėje panaudotas BusyBox transliatorius, naudojamas įterptinėse sistemose suteikiant aukštesnio abstrakcijų lygmens sisteminį funkcionalumą. BusyBox terminalinio lango atvaizdas pateiktas 12 paveiksle. 12 pav. D-Link įrangoje naudojama BusyBox v bazė Tyrimo metu patikrinus naudojamų versijų atitikimą originaliems paketams nustatyta, kad sistemoje naudojami žinomi paketai (sistemos branduolys ir jo periferija) nėra standartiniai, tai yra specializuotos standartinių paketų versijos. Tai galima laikyti standartine greitos įrangos gamybos praktika, kurioje nėra taikomi originalūs architektūriniai sprendimai, o pasinaudojama jau esami sprendimai, tinkantys numatytų uždavinių sprendimui. Tokia taktika naudotina siekiant sumažinti laiko ir įrangos projektavimo kaštus. 13 paveiksle pateiktas D-Link naudojamų programinių paketų identifikatorių išrašas. 9

10 13 pav. D-Link gaminiuose naudojamų paketų identifikatoriai Gaminiuose pastebimos greitojo projektavimo pasekmės branduolyje naudojami šifravimo algoritmai (des, sha1, md5, arc4, 3des) nėra laikomi saugiais, laikinojo duomenų saugojimo kataloge /tmp atviru tekstu pateikiamas sesijos sukūrimo metu naudotas slaptažodis (atvaizdas pateiktas 14 paveiksle). Pažymėtos kibernetinio saugumo spragos iliustruoja abejotiną gamintojo požiūrį į kibernetinio saugumo standartus. 14 pav. Atviru tekstu pateiktas sesijos metu naudojamas slaptažodis Įrenginiuose naudojami hešavimo (angl. Hashing) ir šifravimo algoritmai yra laikomi nesaugiais (plg. brute-force ataka prieš juos gali įvykdyti nešiojamas kompiuteris). D-Link taikomi kompleksiniai kriptografijos sprendimai kelia abejonių naudojamas HMAC-MD5 sprendimas yra saugus, nepaisant to jog pats MD5 nebesaugus, tačiau NIST ragina migruoti prie alternatyvų, kaip HMAC-SHA-256. Įrenginiuose naudojami specifiniai paketai, kaip Sslsplit programa, kuri yra skirta atlikti MiTM ataką. Šio programinio paketo naudojimo paskirtis neaiški, tačiau pastebėta, kad SkyDNS paslaugos atveju, D-Link įrenginyje srautas yra perimamas ir dešifruojamas. Ši programa veikia išimtinai SkyDNS paslaugos naudojimo atveju. Tokios paskirties programinių paketų naudojimas įrangoje kelia abejonių dėl vartotojų duomenų saugumo. 10