Ваш домашний Wi-Fi роутер или роутер соседа, Wi-Fi маршрутизатор любимой кофейни или роутер на рабочем месте – все они стали более уязвимы для хакеров за последние 15 лет.

Не так давно независимая лаборатория Cyber Independent Testing Lab опубликовала исследование, как 28 домашних беспроводных маршрутизаторов не в состоянии использовать даже базовые методы безопасности. Эта некоммерческая организация фокусируется на потребительской кибербезопасности. На ежегодной хакерской конференции ShmooCon представила обновление к этому исследованию, показывая идентичные или аналогичные недостатки в 1000 домашних и коммерческих Wi-Fi маршрутизаторов, на 6000 версий прошивок и от 18 различных поставщиков. В этот перечень входят такие бренды, как Asus, Belkin, Buffalo, D-Link, Linksys, и Netgear.

Из этих производителей только D-Link отвечала на запросы о комментариях.

«Компания D-Link оперативно приступила к расследованию проблемы, и мы предоставим обновления, как только у нас появится больше информации», — заявила в электронном письме представитель компании Мишель Чианг. «Компания D-Link очень серьезно относится к вопросам сетевой безопасности и конфиденциальности пользователей».

Не секрет, что многие Wi-Fi роутеры крайне небезопасны. Исследователи безопасности, указывающие на такие проблемы, как жестко зашифрованные пароли по умолчанию и нерегулярные обновления безопасности, выдают предупреждения в течение многих лет. Последние исследования CITL могут вызывать беспокойство тем, что, несмотря на сигналы тревоги, CITL обнаруживает, что производители обычно создают Wi-Fi роутеры с меньшим количеством защиты, чем это было 15 лет назад.

Борьба за безопасность маршрутизаторов «может стать вызовом нашего времени», сказал Карстенс аудитории конференции.

Во время беседы с The Parallax после презентации Карстенс отказался от предположений о том, почему производители маршрутизаторов строят менее безопасные маршрутизаторы, за исключением того, что они, возможно, не внимательно следили за тем, как изменялся их собственный прошивной код на протяжении многих лет.

«У поставщиков нет системы для тестирования, проверки и подтверждения того, что функции укрепления, которые они считают включенными, а иногда и были, все еще присутствуют», — сказал ведущий исследователь CITL Паркер Томпсон (Parker Thompson) со сцены SchmooCon. «Это фактически айсберг.»

По словам Карстенса, большинство прошивок маршрутизаторов сегодня не используют базовые методы защиты, которые считаются стандартными для программного обеспечения и прошивок устройств, такие как рандомизация адресного пространства (ASLR), впервые использованная в 2001 году, предотвращение выполнения данных (DEP, 2004), правильное упорядочивание и маркировка сегментов в двоичном файле для предотвращения перезаписи таблиц переполнения для систем Linux (RELRO, 2004), укрепление исходного кода (2005), и перезапись стека канарей для предотвращения перезаписи стека (Stack Guards, 1997).

CITL говорит, что ее исследования показывают, что такие важные функции защиты безопасности либо отсутствуют на современных маршрутизаторах, либо присутствуют лишь изредка и непоследовательно. Хуже того, CITL утверждает, что при анализе защищённости прошивок маршрутизаторов было обнаружено, что большинство прошивок маршрутизаторов со временем теряют функции закалки, в том числе заметно снижается использование ASLR.

Это означает, что в то время как некоторые маршрутизаторы могут заставлять потребителей менять пароль по умолчанию при настройке устройства, чего они, вероятно, не делали 5-10 лет назад, безопасность, встроенная в само программное обеспечение для предотвращения его использования, за тот же период была ослаблена.

Большинство современных популярных Wi-Fi маршрутизаторов работают под управлением операционной системы Linux (которая также поддерживает Android от Google) с процессорами MIPS. Компания CITL впервые подробно описала основную уязвимость в Linux с MIPS в отчете, который она опубликовала вместе со своим декабрьским отчетом о маршрутизаторах. В качестве примера Thompson привел в субботу Wi-Fi маршрутизатор D-Link DAP-2690. ASLR был частью встроенной защиты маршрутизатора с момента его дебюта в 2011 году, но он исчез к концу 2016 года, когда код MIPS в Linux был обновлен до версии 4.8.

Томпсон говорит, что исследования CITL пришли к выводу, что понижение рейтинга не было редким событием. Все крупные производители маршрутизаторов поставили в 2018 году меньше маршрутизаторов с прошивкой и спортивной защитой ASLR, чем в 2012 году, сказал он.

Микропрограммное обеспечение представляет собой программное обеспечение, предназначенное для управления аппаратными устройствами, начиная от маршрутизаторов и заканчивая подключенными к Интернету дверными замками и детскими мониторами и заканчивая персональными ассистентами. И, что немаловажно, Wi-Fi-маршрутизатор, который долгое время считался узлом связи для ноутбуков и телефонов, стал домашней точкой связи для так называемого «Интернета вещей».

По мере роста числа устройств, подключенных к Интернету, эксперты по безопасности усилили давление на поставщиков с целью улучшения безопасности IoT. И все же даже самые безопасные устройства сегодня регулярно подключаются к маршрутизаторам, которые, по мнению CITL, не только не имеют стандартной защиты, но и становятся все менее безопасными.

Известный эксперт по сетевой безопасности Peiter «Mudge» Zatko, соучредитель CITL и председатель ее правления, в конце презентации заявил, что к исследованиям его организации необходимо серьезно относиться не только со стороны домашних потребителей, но и со стороны «любого, кто приобретает для организации, агентства или бизнеса», потому что они основаны на «реальных данных», а не только на «том, что чувствует себя защищенным».

«В сообществе [кибербезопасности] ощущается нехватка количественных данных», — сказал он. «Есть много низко висячих фруктов. Что мы находим, так это то, что когда мы ищем фактические данные внизу, совет и групповое мышление ошибочны».

По словам Томпсона, из-за уязвимостей, внедренных в Linux MIPS в 2016 году, архитектура стала менее безопасной по умолчанию и более жесткой в защите.

«Теперь у нас есть общий обход DEP и ASLR в каждом пользовательском пространстве Linux на Linux MIPS», — сказал Томпсон. «На протяжении всей своей жизни в Linux MIPS не хватало фундаментальных возможностей укрепления, а с 2016 года в версии 4.8 и выше все стало еще хуже». Просто нет безопасной версии Linux MIPS».

Один маршрутизатор CITL, недавно протестированный, Linksys WRT32X, превзошел другие на фронте безопасности, потому что больше его программных компонентов включают в себя более стандартные функции безопасности, такие как RELRO и DEP. Он также использует ARM-архитектуру вместо MIPS, но все еще не хватает основы безопасности, такие как ASLR и укрепленный исходный код, говорит Карстенс.

«Как только у злоумышленника появляется эксплойт, он его подбрасывает», — говорит он.