Alexis Blog: "Дырявый" интернет вещей

Поисковик Shodan помогает хакерам получать контроль над электростанциями, автомобилями, веб-камерами и радио-нянями

На свое 34-летие Марк Гилберт получил ужасный сюрприз от какого-то незнакомца. После того как празднование дня рождения закончилось житель Хьюстона услышал незнакомый голос в детской, где спала его двухлетняя дочка. «Просыпайся, маленькая шлюшка!» Вбежав в комнату Гилберт обнаружил, что источник звука — радио-няня, а человек получивший контроль над этим устройством, также мог манипулировать видеокамерой. Гилберт незамедлительно отключил радио-няню, но хакер успел обозвать его дебилом.

Еще за несколько месяцев до скандального события специалисты по безопасности производителя устройства — китайской фирмы Foscam — обнаружили изъяны в программном обеспечении радио-няни: хакеры, используя банальное имя пользователя 'admin', могли получить удаленный доступ к устройству и взять под контроль передаваемые данные. Foscam исправила недостатки радио-няни, но ничего не сообщила покупателям устройств со «старой прошивкой». Когда Гилберт проверил свой аккаунт в Foscam, то обнаружил, что хакер внес туда собственное имя пользователя Root и получил возможность подключаться к радио-няне в любой момент. Теперь Гилберт готовит групповой иск против Foscam. Он смог найти других истцов, благодаря поисковику Shodan. И, похоже, что этим же поисковиком воспользовался хакер-извращенец, чтобы найти Гилберта.

Shodan — не типичный поисковый сервис. Он не ищет веб-страницы, а прочесывает интернет в поисках различных устройств, многие из которых запрограммированы на ответ. Поисковик уже находит автомобили, кардиомониторы, системы кондиционирования и освещения в офисных зданиях, установки для очистки сточных вод, системы управления электростанциями, светофоры и глюкометры. Запрос на поиск радио-нянь модели как у Гилбертов показывает, что более 40 тысяч людей используют IP-камеры и могут оказаться легкой добычей для хакеров. Shodan не может похвастаться интерфейсом Google: чтобы найти определенное устройство вам нужно знать его некоторые характеристики, а результаты выдачи содержат язык интернет-протокола, который может быть не понятен обычному пользователю.

«Google ищет сайты, а я ищу устройства», — объясняет Джон Мазерли, высокий 29-летний программист, выпустивший в 2009 году Shodan. Он назвал свою систему именем искусственного интеллекта — злодея из видеоигры System Shock: «Хакеры и нерды сразу поймут о чем речь».

Мазерли надеялся, что Shodan будут использовать такие сетевые гиганты, как Cisco, Juniper и Microsoft, чтобы обыскивать весь мир в поисках продуктов, произведенных их конкурентами. Вместо этого система стала важнейшим инструментом для специалистов по безопасности, ученых, силовых структур и хакеров. Все они ищут устройства, которые не должны быть подключены к интернету или могут оказаться уязвимыми для взлома.

Shodan уже использовали для обнаружения видеокамер наблюдения со слабой системой защиты: достаточно набрать их IP-адрес в браузере, чтобы получить возможность подглядывать за тем, что происходит в домах у людей, в офисах полиции, в операционных больниц, в детских садах и даже у наркодилеров. Дэн Тентлер, специалист по вопросам безопасности, консультировавший Twitter, создал программу под названием Eagleeye, которая обнаруживает камеры со слабой защитой при помощи Shodan, подключается к ним и делает скриншоты. Тентлер нашел почти миллион уязвимых камер. «Это как крэк для вуайеристов», — говорит он.

После обнаружения «дыр» в программном обеспечении управления зданиями специалист по безопасности Cylance Билли Риос, используя Shodan и еще одну программу, нашел офисы банков, жилые дома и даже штаб-квартиру Google в Австралии, чьи системы безопасности, освещения и кондиционирования мог легко взять под контроль хакер извне. «Прямо сейчас вы можете найти в интернете около 2000 зданий и получить контроль над ними, достаточно лишь угадать или узнать их IP-адрес», — рассказывает Риос. Ранее в этом году Министерство национальной безопасности США сообщило, что хакеры уже воспользовались слабой защитой и в 2012 году взломали системы управления отоплением в одном «правительственных учреждений», сделав температуру там «необычайно теплой».

В отраслевом отчете производителя электроники Ericsson говорится, что к 2020 году примерно 50 миллиардов устройств будут иметь подключение к сети и вместе они образуют «интернет для устройств» (Internet of Things). «Я не думаю, что моя система вызывает страх, — говорит Мазерли. — Куда страшнее то, что электростанции подключены к интернету».

[habrahabr.ru, 02.05.2013, "Shodan — самый страшный поисковик Интернета": Пользователи Shodan нашли системы управления аквапарка, газовой станцией, охладителя вина в отеле и крематория. Специалисты по кибербезопасности с помощью Shodan даже обнаружили командно-контрольные системы ядерных электростанций и ускорителя атомных частиц. [...]

Так почему же все эти устройства подключены к сети и почти не защищены? В некоторых случаях, таких как дверные замки с управлением через iPhone, принято считать, что их очень сложно найти. И тогда о безопасности думают по остаточному принципу.

Более серьезной проблемой является то, что многие такие устройства вообще не должны быть в онлайне. Фирмы часто покупают устройства, которые позволяют с помощью компьютера управлять, скажем, системой нагревания. Как подключить компьютер к системе нагревания? Вместо прямого подключения во многих ИТ-отделах просто подключают и то, и другое к веб-серверу, тем самым неосознанно раскрывая их всему миру.

«Конечно, на таких вещах просто нет безопасности, — говорит Мэзерли. — Но в первую очередь им не место в Интернете». — Врезка К.ру]

Мазерли вырос в Швейцарии. В 17 лет он бросил школу, переехал в США и стал жить в Сан-Диего у своей тети, работавшей стюардессой. Сначала Мазерли работал в книжном магазине, затем поступил в муниципальный колледж, а еще позже получил диплом по биоинформатике в Университете Калифорнии. Недолго проработав в стартапе и создав сайт для газеты U-T San Diego Мазерли начал работу над Shodan.

Поисковик использует freemium-модель. Бесплатный поисковый запрос выдаст вам только 10 результатов. Около 10 000 пользователей выкладывают до $20 за один запрос, показывающий 10 000 результатов. Десятки корпоративных пользователей — это фирмы, занимающиеся компьютерной безопасностью — платят каждый год пятизначную сумму за доступ ко всей базе данных Мазерли, куда занесено 1,5 миллиарда устройств, подключенных к сети.

Федералы могут осложнить жизнь Мазерли, если они захотят применить к нему закон о компьютерном мошенничестве, запрещающий несанкционированный доступ к компьютерным системам. «Я даже не пытаюсь получить доступ к серверам и не делаю ничего такого, что можно расценить как взлом», — рассказывает Мазерли.

Конечно, его нужно не преследовать, а наградить за то, что он привлек внимание к невероятно глупым ошибкам, совершенными компаниями, выпускающими гаджеты, и указал на невнимательность пользователей к безопасности приобретаемых продуктов. Все устройства, которые подключаются к сети, должны быть защищены паролями, но большинство людей забывают об этом, используют слишком простые пароли или пару логин-пароль по умолчанию. В прошлом году анонимный пользователь взял под свой контроль более 400 тысяч подключенных к интернету устройств, использовав для этого всего лишь четыре пароля по умолчанию. «Все говорят о высококлассных эксплойтах и кибервойнах, — написал этот хакер. — Но четыре простых и глупых пароля для Telnet могут дать вам доступ к сотням тысяч потребителей и к десяткам тысяч промышленных устройств по всему миру».

Мазерли надеется, что создание Shodan обеспечит большую прозрачность и общественное порицание тех компаний, которые продают уязвимые системы, но при этом он не испытывает особого оптимизма. «Хотим мы этого или нет, но все оказывается в интернете», — говорит Мазерли.

***

Оригинал этого материала

Поисковая система Shodan: как хакеры подключаются к вашим веб-камерам

Олег Нечай

[...] Четвёртого сентября 2014 года Федеральная торговая комиссия США опубликовала текст жалобы на действия известного производителя сетевого оборудования TRENDnet, обвинив его в непринятии мер по устранению уязвимости в программном обеспечении веб-камер, позволяющих хакерам получать к ним несанкционированный доступ и тем самым незаконно следить за владельцами камер в их собственных домах. Буквально на следующий день после этого жалоба была отозвана, поскольку ФТС и TRENDnet достигли соглашения, по которому производитель обязуется ежегодно проводить независимую оценку безопасности своего ПО в течение двадцати ближайших лет. Однако сама эта жалоба стала первым в истории ФТС документом об устройствах, входящих в сеть «интернета вещей». И, скорее всего, благодаря поисковой системе Shodan таких жалоб в ближайшее время будет поступать всё больше и больше.

Специализированная поисковая система Shodan была создана уроженцем Швейцарии Джоном Мэтерли в 2009 году и изначально задумывалась как средство поиска подключённых к интернету устройств конкурентов, рассчитанное на производителей оборудования — таких как Cisco или Juniper. Название Shodan было позаимствовано из компьютерного шутера середины девяностых System Shock, где так назывался искусственный суперразум Sentient Hyper-Optimized Data Access Network — «Разумная гипероптимизированная сеть доступа к данным».

[...] База Shodan включает в себя самые разнообразные устройства и оборудование, среди которого не только детские радионяни, роутеры, IP-телефоны и принтеры, но и сети светофоров, системы отопления зданий и даже целые промышленные предприятия, водоочистные сооружения и электростанции.

Принцип действия Shodan основан на каталогизации автоматических ответов любого подключённого к сети компьютера, которые содержат массу информации о таком устройстве, включая его функции и настройки. Иногда в них можно найти даже установленный по умолчанию пароль, чем часто пользуются клиенты Shodan, вводя в поисковый запрос слова «default password» и в результате получая доступ к самым разным девайсам, владельцы которых не потрудились сменить пароль. При помощи специально написанного сканера портов Shodan автоматически собирает отклики с веб-серверов (порт 80), а также данные с FTP (порт 23), SSH (порт 22) и Telnet (порт 21).

Залогинившись, просто напишите «iPad» или «webcam», и вы получите массу результатов, которые можно отсортировать по стране и городу, провайдеру и протоколу подключения, используемому порту или диапазону IP-адресов, дате и географическим координатам. Для технически неподготовленного пользователя эти данные могут показаться бесполезными, но профессионал сразу сможет определить расположение устройства, способы его использования и даже установить контроль над ним.

Если верить базе Shodan, в мире насчитывается свыше 400 тысяч веб-камер, подключённых к интернету, и значительная часть из них может быть легко взломана злоумышленниками из-за уязвимостей в программном обеспечении. На прошлогодней конференции по сетевой безопасности Defcon 20 независимый эксперт Дэн Тентлер продемонстрировал, что может дать Shodan профессиональному взломщику.

Тетнлер обнаружил автомобиль, у которого он может дистанционно запустить и заглушить двигатель, хоккейный каток в Дании, который можно дистанционно разморозить одним нажатием кнопки, незащищённую систему управления городскими светофонами, которую можно запросто перевести в «тестовый режим», и даже систему управления гидроэлектростанцией во Франции! Тентлер наглядно доказал, что мало-мальски квалифицированный хакер может легко контролировать самые разные, в том числе и критически важные системы целого города! [...]

При желании американские власти могут с лёгкостью привлечь Мэтерли к ответственности на основании «Акта о компьютерном мошенничестве и злоупотреблениях» (Computer Fraud and Abuse Act, CFAA) 1986 года, который прямо запрещает неавторизованный доступ к компьютерным системам, чем, собственно говоря, и занимается в автоматическом режиме поисковик Shodan. Однако против этого выступают вполне законопослушные граждане и организации, включая экспертов по сетевым технологиям и компаний, специализирующихся на кибербезопасности. По их мнению, Shodan помогает выявлять критичные уязвимости и выводить на чистую воду недобросовестных производителей оборудования и программного обеспечения, не уделяющих надлежащего внимания средствам безопасности своей продукции.

***

Есть множество способов защититься от несанкционированных подключений с помощью Shodan. Прежде всего никогда не забывайте менять пароли по умолчанию на любых устройствах с доступом в интернет. Во-вторых, далеко не вся сетевая электроника на самом деле требует обязательного подключения к интернету: те же камеры безопасности могут прекрасно работать в пределах защищённой локальной сети. Наконец, можно воспользоваться Shodan для проверки уязвимости ваших устройств: просто введите в поисковую строку запрос «net:IP-AДРЕС» c IP-адресами соответствующих девайсов.

***