Taggat med: DEFCON

MQTT-tjänster står oskyddade på internet

CERT-SE som är en del av Myndigheten för samhällsskydd och beredskap (MSB) går ut och varnar för att flertalet MQTT-tjänster står oskyddade direkt mot internet i Sverige.

Efter att Lucas Lundgren på IT-säkerhetskonferenser såsom Defcon och SEC-T berättat om MQTT-protokollet samt sökt av hela internet efter sårbara tjänster med masscan så var resultatet häpnadsväckande. Tusentals servrar stod helt vidöppna för vem som helst att ansluta till dessa och läsa av all information som flödade via dem (subscribe).

MQTT används som en realtids-förmedlare och är ett mycket lättviktigt protokoll vilket gör det lämpligt att användas för små enheter inom IoT (Internet of Things) exempelvis.

Många tjänster använder också MQTT för att publicera data på webbsidor helt ofiltrerat vilket öppnar upp för olika typer av injektionsattacker såsom XSS (cross site scripting).

Det finns en säkrare version av MQTT som använder TLS och går under benämningen secure-mqtt och använder TCP port 8883. Givetvis ger dmqttetta också en extra overhead och ökar antalet paket och paketstorleken.

Lucas har försett CERT-SE med datat från sina skanningar. Och myndigheten kan då konstatera att ingen av de oskyddade svenska servrarna tillhör CERT-SE:s prioriterade aktörer (myndigheter, kommuner och vissa företag).

Förutom MQTT så finns det andra protokoll som bör kontrolleras och som CERT-SE lyfter upp som möjliga orsaker till problem: OPC UA, HTTP (REST/JSON), CoAP, DDS och AMQP.

Här kan du ladda hem Lucas presentation som PDF:

mqtt defcon

 

Utbrett problem med falska basstationer

På senare tid så har det dykt upp ett antal olika säkra mobiltelefoner eller appar såsom RedPhone, Signal och BlackPhone.  En av dessa telefoner vid namn CryptoPhone 500 har stöd att identifiera falska basstationer (mobilmaster) och enbart under en månad i Juli 2014 så identifierades 17 stycken falska basstationer i USA.

Bild CC Montgomery County Planning CommissionDet rör sig troligtvis om såkallade IMSI-catcher där någon försöker avlyssna samtal eller göra man-i-mitten-attacker (MITM) mot mobiltelefoner för att exempelvis installera spionprogram.

En falsk basstation hittades på South Point Casino i Las Vegas. Och bara genom att köra från Florida till North Carolina så identifierades 8 stycken falska stationer:

As we drove by, the iPhone showed no difference whatsoever. The Samsung Galaxy S4, the call went from 4G to 3G and back to 4G. The CryptoPhone lit up like a Christmas tree.

Hur utbrett detta problem är i Sverige är ännu oklart men det förkommer troligtvis. Att köpa en kommersiell IMSI-catcher såsom VME Dominator kostar runt 60 000 SEK men går att bygga själv för runt 7000 SEK med hjälp av en USRP och OpenBTS.

Bild på hur CryptoPhone 500 rapporterar en falsk station:

unenc

Samt hur Baseband Firewall-funktionen ser ut vid falsk basstation:

ciphering1

Presentation från säkerhetskonferensen DEFCON om just detta ämne:

Källa