0 
0 Uma vulnerabilidade em uma série de sistemas de entrada digital populares oferecidos pela Aiphone pode permitir que hackers invadam os sistemas de entrada – simplesmente utilizando um dispositivo móvel e uma etiqueta de comunicação de campo próximo, ou NFC.
Os dispositivos em questão (GT-DMB-N, GT-DMB-LVN e GT-DB-VN) são usados por clientes de alto perfil, incluindo a Casa Branca e as Casas do Parlamento do Reino Unido.
A vulnerabilidade foi descoberta por um pesquisador da empresa de segurança norueguesa Promon, que também descobriu que não há limite para o número de vezes que uma senha incorreta pode ser inserida em alguns sistemas de trava de porta Aiphone.
Depois de encontrar a senha do administrador, o agente mal-intencionado pode injetar o número de série de uma nova tag NFC contendo a senha do administrador de volta no log de tags aprovadas do sistema.
“Isso daria ao invasor tanto o código em texto simples que pode ser digitado no teclado, mas também uma etiqueta NFC que pode ser usada para obter acesso ao prédio sem a necessidade de tocar em nenhum botão”, relata um post do blog. a vulnerabilidade explicada .
Como o sistema Aiphone não mantém registros das tentativas, não há rastro digital do hack.
A Promon alertou a Aiphone pela primeira vez sobre o problema em junho de 2021. A empresa disse que os sistemas construídos antes de 7 de dezembro daquele ano não podem ser consertados, mas qualquer sistema construído após essa data inclui um recurso que limita o número de tentativas de senha que podem ser feitas.
O relatório da Promon observou que o Aiphone alertou seus clientes sobre a existência da vulnerabilidade, que é rastreada como CVE-2022-40903.
Apesar das descobertas alarmantes de primeira linha, o pesquisador de segurança da Promon, Cameron Lowell Palmer, que descobriu a vulnerabilidade, chama esse tipo de supervisão de segurança da IoT de “bastante típica”. Do ponto de vista administrativo, adicionar NFC foi uma vitória, mas expôs o sistema a esse novo vetor de ataque, explica.
“O sistema começou com algumas escolhas razoáveis de design e, com a adição da interface NFC, o design tornou-se perigoso”, explica ele. “Este produto parece, para mim, baseado na noção de segurança física, e quando o NFC foi adicionado, eles adicionaram uma porta de dados de alta velocidade sem toque no exterior do prédio, o que violou a premissa.”
Ninguém pensou em Brute Force NFC Access
Mike Parkin, engenheiro técnico sênior da Vulcan Cyber, diz que a falta de recursos de limitação ou bloqueio indica que ninguém pensou em um invasor tentando forçar o acesso NFC quando o produto foi projetado.
“Ou, se o fizeram, eles acreditavam que o risco de um invasor fazer isso em campo era baixo o suficiente para omitir esses recursos de segurança”, acrescenta.
Ele diz que as verdadeiras questões são quantos desses sistemas inerentemente vulneráveis são implantados e, igualmente importante, quais outros produtos, deste ou de outros fornecedores, usam acesso digital sem limitação ou temporizadores de bloqueio para impedir um ataque de força bruta.
Palmer acrescenta que NFC e IoT são tecnologias desafiadoras para proteger, o que o faz pensar que fornecedores que não estão colaborando com outros para segurança estão trilhando um caminho perigoso.
“Desenvolvedores e empresas tentam fazer o melhor produto possível, o que já é difícil”, diz ele. “É especialmente fácil cometer gafes de segurança, porque a segurança geralmente não é sua área de especialização e, em muitos casos, não melhora diretamente a experiência do usuário.”
Roger Grimes, evangelista de defesa orientado a dados da KnowBe4, é mais severo e diz que a vulnerabilidade sugere que o Aiphone nem fez modelagem básica de ameaças.
“Isso me deixa desconfiado de todo o design deles, em termos de segurança”, diz ele. “Este não é apenas um problema com este fornecedor. Você pode nomear praticamente qualquer fornecedor ou produto que desejar, e eles também não estão fazendo a modelagem de ameaças apropriada.”
Sem segurança por design para IoT
Jason Hicks, CISO de campo e consultor executivo da Coalfire, explica que nos últimos anos houve um esforço para integrar coisas como acesso remoto, voz sobre IP (VoIP) e tecnologias sem fio mais recentes, como NFC, a sistemas de segurança física.
“Isso introduz novos vetores de ataque que os designers de acesso físico não estão acostumados a considerar como proteger”, diz ele. “As mesmas práticas recomendadas básicas de segurança que aplicamos aos equipamentos de TI precisam ser estendidas a esses sistemas de maneira consistente.”
Por exemplo, “armazenar senhas em um arquivo de texto simples é algo que deve ser evitado por razões óbvias”, diz ele.
Hicks acrescenta que existem muitos dispositivos IoT cujo comprometimento não criaria muito problema de segurança – mas os sistemas de controle de acesso não são um deles. Um hack aqui pode resultar em perda ou dano físico.
Portanto, os fornecedores precisam treinar todos os desenvolvedores sobre como desenvolver software seguro e produtos seguros.
“Sempre me pareceu irônico que os fornecedores de segurança que me fornecem um produto de segurança [físico] não treinam – ou exigem – seus desenvolvedores em como desenvolver software e produtos com segurança”, diz Grimes. “Como você pode esperar que um desenvolvedor sem treinamento em desenvolvimento seguro descubra naturalmente?”
Palmer aconselha as empresas de IoT a tomarem medidas ainda mais simples: contratar especialistas externos e fazer com que testem a segurança dos dispositivos regularmente, por exemplo.
Para as organizações, é difícil evitar os perigos da IoT
Bud Broomhead, CEO da Viakoo, diz que a IoT representa a superfície de ataque que mais cresce, acrescentando que há muitas razões para isso, começando com o fato de que os usuários geralmente ignoram as implicações de segurança.
“Os dispositivos IoT são normalmente gerenciados pela linha de negócios e não pela TI, portanto, há falta de habilidades e conhecimento sobre como manter a higiene cibernética”, diz ele.
Ele acrescenta que muitos sistemas de IoT são orçados como despesas de capital, mas nem sempre têm o orçamento operacional atribuído a eles para manter sua segurança.
“Eles são muito difíceis de corrigir manualmente e geralmente têm firmware desatualizado quando são novos e existem na cadeia de suprimentos por longos períodos de tempo”, diz ele.
Eles também usam muitos softwares de código aberto contendo vulnerabilidades e não possuem listas de materiais de software (SBOMs) para determinar rapidamente se o dispositivo contém essas vulnerabilidades. Broomhead acrescenta que muitas vezes existem várias marcas/modelos que executam funções semelhantes, portanto, quando uma vulnerabilidade está presente, são necessários vários fabricantes para fornecer patches.
“É preciso haver requisitos de conformidade auditáveis e coordenação entre os silos dentro de uma organização para que a segurança da IoT seja compartilhada em várias disciplinas, incluindo TI, escritório CISO e linhas de negócios”, diz ele.
Para as organizações que lutam para proteger um volume de dispositivos IoT em rápida expansão, acrescenta ele, a impressão digital da IoT pode ajudar na segurança e no gerenciamento.
FONTE: DARK READING