O analiză de securitate a Sipeed NanoKVM, un dispozitiv de gestionare la distanță a PC-urilor cu prețul cuprins între 30 și 60 de euro, efectuată de un cercetător din Slovenia, a ridicat îngrijorări profunde cu privire la nivelul său de securitate, transmite publicația Tom’s Hardware.
Urmărește cele mai noi producții video TechRider.ro
- articolul continuă mai jos -
Analiza efectuată de cercetător a relevat că dispozitivul era livrat cu o listă de deficiențe de securitate, deși producătorul a remediat între timp mai multe dintre problemele semnalate.
Dispozitivul, care oferă captură HDMI, emulare USB HID și control de la distanță al alimentării pentru PC-urile conectate, a prezentat inițial numeroase puncte slabe. Primele unități au fost livrate cu o parolă prestabilită și acces SSH (protocol de rețea care îți permite să te conectezi și să controlezi un alt computer de la distanță) deschis.
Deși acest lucru a fost corectat, interfața web încă nu dispune de protecții de bază, inclusiv apărare CSRF și invalidarea sesiunilor active. Un atac CSRF păcălește un utilizator autentificat să trimită o cerere HTTP nedorită către o aplicație web în care utilizatorul este deja logat. Deoarece cererea pare să vină de la utilizatorul autentificat, aplicația web o procesează, permițând atacatorului să efectueze acțiuni în numele victimei, ca de exemplu schimbarea parolei, transferul de fonduri sau efectuarea unei achiziții.
Mai grav, cheia de criptare utilizată pentru a proteja parolele de conectare era codificată și identică pe toate dispozitivele produse de Sipeed.
Problemele au fost agravate de alte comportamente suspecte, cum ar fi rutarea interogărilor DNS prin servere chinezești în mod implicit. Cel mai alarmant este faptul că analiza a descoperit un microfon nedocumentat care putea fi activat de la distanță.
Și în alte produse chineze au fost descoperite vulnerabilități recent. Compania de transport public Ruter din Oslo, Norvegia, a supus la teste de securitate cibernetică propriile autobuze electrice de fabricație chineză, ajungând la o concluzie îngrijorătoare: producătorul (Yutong, în cazul autobuzului testat) ar avea capacitatea de a le opri sau scoate din uz de la distanță.
