D-Link случайно опубликовала секретные ключи для подписи своих прошивок

D-Link случайно опубликовала секретные ключи для подписи своих прошивок

Производитель маршрутизаторов и другого оборудования D-Link случайно выложил в открытый доступ секретные ключи шифрования для сертификатов, с помощью которых осуществляется подпись программного обеспечения, в том числе прошивок для маршрутизаторов.

Таким образом, злоумышленники могут подделать и сертификаты, и сами прошивки, со всеми вытекающими последствиями.

Один из пользователей под ником bartvbl купил камеру видеонаблюдения D-Link DCS-5020L (на фото) и решил скачать обновление прошивки. По условиям свободной лицензии GPL, компания обязана выкладывать исходный код прошивок для многих своих устройств. Хакер изучил этот исходный код — и обнаружил четыре секретных ключа шифрования, которые использовались для подписи кода. В тот момент только один из ключей, принадлежащий D-Link, оказался валидным, пишет голландское издание Tweakers, пишет xakep.ru.

 

 

Этот случай показывает, что мелкая безалаберность программистов может приводить к серьезным последствиям. С помощью такого ключа злоумышленники и даже государственные спецслужбы могут осуществлять продвинутые таргетированные атаки, распространяя программное обеспечение и устанавливая якобы аутентичное оборудование D-Link с закладками.

Независимые специалисты по безопасности подтвердили находку пользователя bartvbl. Джонатан Клийнсма (Yonathan Klijnsma) из компании Fox-IT сообщил, что секретные ключи находятся в коде прошивки 1.00b03, выпущенной 27 февраля 2015 года. После нее выходили другие версии прошивок, в которых ключи шифрования отсутствуют.

В 31% российских компаний отсутствует стратегия внедрения средств ИБ

По данным MWS Cloud (входит в МТС Web Services), стратегию внедрения средств кибербезопасности имеют лишь 42% российских компаний. У 27% бизнес-структур она находится в стадии разработки, а у 31% таковой нет.

Проведенное исследование также показало, что российский бизнес осознает необходимость вкладываться в ИБ, однако небольшие предприятия ожидаемо отстают по наличию стратегии на этом направлении (из-за ограниченных ресурсов). У крупных компаний показатель составил 58-68%, у мини и микро — лишь 31%.

Решения в отношении СЗИ обычно принимает руководство: в 66% случаев — директор по инфраструктуре, в 18% — гендиректор, в 8% — директор по кибербезу. На внедрение таких решений в российских компаниях чаще всего уходит от одного до шести месяцев, в 14% случаев — более 1 года.

Две трети крупных бизнес-структур предпочитают пользоваться облачными ИБ-услугами, в СМБ показатели скромнее (от 24 до 29%).

«Отраслевой срез показывает, что лидерами по доле средств кибербезопасности в облаке являются ИТ, сегмент развлечений и медиа, а также наука и образование (средняя доля около 36%), — отметил директор по продуктам MWS Cloud Михаил Тутаев. — Для транспорта и ретейла также характерны высокие значения (24–27%)».

RSS: Новости на портале Anti-Malware.ru