An ninh mạng tháng 8/2022: IoT - Câu chuyện về một thế giới không hoàn mỹ

[WhiteHat News #ID:3333]

Chuyện kể rằng vào tháng 8 năm 2022, thế giới IoT đang thịnh vượng với đủ các loại thiết bị phần cứng (Hardware), phần mềm (Application) tràn ngập mọi ngóc ngách của cuộc sống. Thiết kế đẹp cùng các công nghệ hiện đại giúp IoT trở thành một thế giới hoàn mỹ với người dùng. Có lẽ bởi thế mà đôi khi họ quên đi nguy cơ bị tấn công từ những thiết bị kết nối Internet đang sử dụng hằng ngày.

Đối tượng chính thường được hacker nhắm tới để tấn công thế giới IoT chính là thiết bị phần cứng (Hardware). Các vấn đề liên quan đến phần cứng IoT gồm 2 khía cạnh chính: “Debug port” và năng lực xử lý, lưu trữ. “Debug port” là con đường giao tiếp với bộ vi điều khiển, bao gồm: UART, JTAG / SWD, I2C. Nguy cơ với các “Debug port” này khá cao nếu nhà sản xuất không có cơ chế bảo vệ. Khai thác thành công, kẻ xấu có thể thể truy cập vào bộ vi điều khiển, trích xuất “firmware”, truy cập trình “shell root” nắm toàn quyền của thiết bị. Về khía cạnh năng lực xử lý lưu trữ cũng tiềm ẩn nguy cơ cao do các thiết bị IoT có kích cỡ nhỏ nhẹ, trong khi thiết kế về chip xử lý và bộ nhớ của các thiết bị chưa cao, bởi vậy nếu nhà sản xuất không chú trọng kiểm tra đầu vào dữ liệu rất có thể dẫn tới các lỗi trên chip, bộ nhớ như “buffer over flow”, “heap overflow”… Lỗ hổng Realtek ảnh hưởng nhiều thiết bị mạng trong tháng 8 vừa qua là minh chứng cho những nguy cơ thực tế từ các thiết bị phần cứng.

Nói đến nguy cơ trong thế giới IoT, cũng phải nhắc đến các phần mềm ứng dụng (Application), mà đầu tiên phải là những rủi ro từ Web. Hiện rất nhiều các sản phẩm IoT được kết nối trực tiếp với mạng Internet bên ngoài thông qua giao diện Web. Đây là cầu nối nguy hiểm giúp hacker khai thác sâu vào trong hệ thống dựa trên các lỗi của giao diện Web như: XSS, CSRF, Command Injection... Vụ việc hơn 80.000 thiết bị camera Hikvision bị ảnh hưởng bởi lỗ hổng command injection cũng đã gây không ít sóng gió trong tháng vừa qua. Bên cạnh Web, ứng dụng cho mobile cũng trở thành mục tiêu tấn công khi các nhà sản xuất dần chuyển dịch việc quản lý thiết bị thông qua các ứng dụng mobile để thân thiện, gọn nhẹ hơn đối với người dùng. Song hành cùng đó là vấn đề cấp quyền cho dữ liệu từ các thiết bị IoT trên Android/ iOS chưa được quan tâm đúng mức, dẫn đến lộ lọt thông tin, bị khai thác thông qua các app Mobile. Điển hình, phải kể đến vụ phát hiện lỗ hổng mới trong Amazon Ring có thể làm lộ các bản ghi camera nhạy cảm, ứng dụng Ring dành cho Android có tới hơn 10 triệu lượt tải. Ngoài ra, quá trình cấu hình trên các sản phẩm IoT đôi khi không được kiểm tra kỹ thậm chí còn để ở chế độ mặc định (Default) không cần quyền xác thực, dẫn đến thiết bị có thể bị RCE và là bước tiến cho hacker đi sâu vào hệ thống của người dùng. Trường hợp này đã xảy ra với tất cả các thiết bị Airspan AirSpot 5410 từ phiên bản 0.3.4.1-4 trở xuống trong tháng qua.

Một đối tượng nữa được hacker nhắm tới trong các cuộc tấn công thiết bị IoT là khai thác Cloud. Dù hiện tại việc khai thác Cloud vẫn còn khá phức tạp do do các nhà phát triển bảo vệ khá kỹ càng. Tuy nhiên, việc lộ lọt thông tin của tài khoản quản trị, thông tin truy cập vào tài nguyên của Cloud, tài khoản “superadmin” thì vẫn chưa được các nhân viên, người quản trị chú trọng.

Thế giới IoT ngày càng đa dạng và tiếp tục phát triển không ngừng. Bởi thế mà các công cụ tấn công IoT ngày càng trở nên tinh vi hơn. Để giữ bình yên cho thế giới IoT, rất cần các nhà sản xuất và phát triển sản phẩm đảm bảo đúng tiêu chuẩn, quy định và không ngừng cải tiến công nghệ, luôn đặt vấn đề an toàn thông tin cho thiết bị lên hàng đầu.

WhiteHat.vn​