Berta Sándor
Titkosítatlanul küldik az adatokat a vezeték nélküli billentyűzetek
A probléma több millió klaviatúrát érint.
Marc Newlin, a Bastille Networks IT-biztonsági cég munkatársa a jövő héten Las Vegasban megrendezendő Defcon konferencián fogja bemutatni, hogy mennyire veszélyesek a vezeték nélküli billentyűzetek. A beviteli eszközöket elvileg úgy kellene megépíteni, hogy a bevitt információkat kizárólag titkosított formában továbbítsák. Az elvégzett tesztek ugyanakkor azt támasztották alá, hogy legalább nyolc nagy gyártó termékeinek esetében ez közel sem valósul meg.
Newlin és csapata kiderítette, hogy az olcsóbb vezeték nélküli klaviatúrák titkosítatlanul adják tovább az USB-s vevőegységeiknek a leírt karaktereket. A szakembereknek semmilyen védelmet sem kellett feltörniük vagy megkerülniük a továbbított hitelkártya-adatok, a jelszavak, a bizalmas e-mailek elolvasásához. A nyolc érintett gyártó: az Anker, az EagleTec, a General Electric, a Hewlett-Packard, az Insignia, a Kensington, a Radio Shack és a Toshiba.
Az összes megtámadható modell nem Bluetooth-kapcsolatot alkalmaz, hanem saját rádiószabványt. Newlin szerint ezek a megoldások általában a 2,4 GHz-es ISM-sáv protokolljait használva kommunikálnak és ezáltal nincs egységes biztonsági szabvány sem. A csapat tagjainak egy kis méretű, laptophoz csatlakoztatott antennával és viszonylag olcsó, interneten megvásárolható felszerelés segítségével sikerült a billentyűzeteket akár 100 méteres távolságból is lehallgatniuk. Newlin hangsúlyozta: az egyetlen oka annak, hogy eddig ezekre az eszközökre senki sem figyelt fel, az, hogy senki sem foglalkozott a működési elvük lemodellezésével. Az elküldött karakterek kiolvasásán túl a szakember és a kollégái módosítani tudták az adatbevitelt, így lehetővé vált kártevők telepítése, fájlok kiszűrése vagy rossz szándékú akciók végrehajtása.
A Threatpost azt írta, hogy a kutató tájékoztatta a biztonsági hiányosságokról az érintett gyártókat, akiknek - a megszokott gyakorlat alapján - 90 napot hagyott a sebezhetőségek befoltozására, mielőtt a nyilvánosság elé állt volna. Ennek ellenére az első kapcsolatfelvétel során a legtöbb gyártó válaszra sem méltatta. Csak a General Electric klaviatúráit készítő Jasco Products és később a Kensington reagált a megkeresésre. A Jasco Products azt közölte, hogy tisztában vannak a problémával és az ügyfelekkel közösen dolgoznak annak megoldásán. Azt viszont a cég nem árulta el, hogy miként oldhatják meg a problémát, de az ügyfelek egy forródrótot hívhatnak.
< br> A Kensington ennél többet tett, meghirdetett egy firmware-frissítést, amely bevezeti a termékeknél az AES-titkosítást. Itt is lehetőségük van a vevőknek az ügyfélszolgálathoz fordulni. Newlin ugyanakkor leszögezte, hogy a lépés sikere azért kétséges, mert a tesztelt klaviatúrák nem támogatják a firmware-frissítések alkalmazását. Így a legbiztosabb az, ha a felhasználók vagy vezetékes vagy Bluetooth-kapcsolatot használó beviteli eszközökre váltanak.
Marc Newlin, a Bastille Networks IT-biztonsági cég munkatársa a jövő héten Las Vegasban megrendezendő Defcon konferencián fogja bemutatni, hogy mennyire veszélyesek a vezeték nélküli billentyűzetek. A beviteli eszközöket elvileg úgy kellene megépíteni, hogy a bevitt információkat kizárólag titkosított formában továbbítsák. Az elvégzett tesztek ugyanakkor azt támasztották alá, hogy legalább nyolc nagy gyártó termékeinek esetében ez közel sem valósul meg.
Newlin és csapata kiderítette, hogy az olcsóbb vezeték nélküli klaviatúrák titkosítatlanul adják tovább az USB-s vevőegységeiknek a leírt karaktereket. A szakembereknek semmilyen védelmet sem kellett feltörniük vagy megkerülniük a továbbított hitelkártya-adatok, a jelszavak, a bizalmas e-mailek elolvasásához. A nyolc érintett gyártó: az Anker, az EagleTec, a General Electric, a Hewlett-Packard, az Insignia, a Kensington, a Radio Shack és a Toshiba.
Az összes megtámadható modell nem Bluetooth-kapcsolatot alkalmaz, hanem saját rádiószabványt. Newlin szerint ezek a megoldások általában a 2,4 GHz-es ISM-sáv protokolljait használva kommunikálnak és ezáltal nincs egységes biztonsági szabvány sem. A csapat tagjainak egy kis méretű, laptophoz csatlakoztatott antennával és viszonylag olcsó, interneten megvásárolható felszerelés segítségével sikerült a billentyűzeteket akár 100 méteres távolságból is lehallgatniuk. Newlin hangsúlyozta: az egyetlen oka annak, hogy eddig ezekre az eszközökre senki sem figyelt fel, az, hogy senki sem foglalkozott a működési elvük lemodellezésével. Az elküldött karakterek kiolvasásán túl a szakember és a kollégái módosítani tudták az adatbevitelt, így lehetővé vált kártevők telepítése, fájlok kiszűrése vagy rossz szándékú akciók végrehajtása.
A Threatpost azt írta, hogy a kutató tájékoztatta a biztonsági hiányosságokról az érintett gyártókat, akiknek - a megszokott gyakorlat alapján - 90 napot hagyott a sebezhetőségek befoltozására, mielőtt a nyilvánosság elé állt volna. Ennek ellenére az első kapcsolatfelvétel során a legtöbb gyártó válaszra sem méltatta. Csak a General Electric klaviatúráit készítő Jasco Products és később a Kensington reagált a megkeresésre. A Jasco Products azt közölte, hogy tisztában vannak a problémával és az ügyfelekkel közösen dolgoznak annak megoldásán. Azt viszont a cég nem árulta el, hogy miként oldhatják meg a problémát, de az ügyfelek egy forródrótot hívhatnak.
< br> A Kensington ennél többet tett, meghirdetett egy firmware-frissítést, amely bevezeti a termékeknél az AES-titkosítást. Itt is lehetőségük van a vevőknek az ügyfélszolgálathoz fordulni. Newlin ugyanakkor leszögezte, hogy a lépés sikere azért kétséges, mert a tesztelt klaviatúrák nem támogatják a firmware-frissítések alkalmazását. Így a legbiztosabb az, ha a felhasználók vagy vezetékes vagy Bluetooth-kapcsolatot használó beviteli eszközökre váltanak.