Taggat med: IoT säkerhet

MQTT-tjänster står oskyddade på internet

CERT-SE som är en del av Myndigheten för samhällsskydd och beredskap (MSB) går ut och varnar för att flertalet MQTT-tjänster står oskyddade direkt mot internet i Sverige.

Efter att Lucas Lundgren på IT-säkerhetskonferenser såsom Defcon och SEC-T berättat om MQTT-protokollet samt sökt av hela internet efter sårbara tjänster med masscan så var resultatet häpnadsväckande. Tusentals servrar stod helt vidöppna för vem som helst att ansluta till dessa och läsa av all information som flödade via dem (subscribe).

MQTT används som en realtids-förmedlare och är ett mycket lättviktigt protokoll vilket gör det lämpligt att användas för små enheter inom IoT (Internet of Things) exempelvis.

Många tjänster använder också MQTT för att publicera data på webbsidor helt ofiltrerat vilket öppnar upp för olika typer av injektionsattacker såsom XSS (cross site scripting).

Det finns en säkrare version av MQTT som använder TLS och går under benämningen secure-mqtt och använder TCP port 8883. Givetvis ger dmqttetta också en extra overhead och ökar antalet paket och paketstorleken.

Lucas har försett CERT-SE med datat från sina skanningar. Och myndigheten kan då konstatera att ingen av de oskyddade svenska servrarna tillhör CERT-SE:s prioriterade aktörer (myndigheter, kommuner och vissa företag).

Förutom MQTT så finns det andra protokoll som bör kontrolleras och som CERT-SE lyfter upp som möjliga orsaker till problem: OPC UA, HTTP (REST/JSON), CoAP, DDS och AMQP.

Här kan du ladda hem Lucas presentation som PDF:

mqtt defcon

 

Kryptering och Internet of Things – Ny sårbarhet uppdagad

 

Internet of Things säkerhet

Ett antal forskare undersökte de kryptografiska funktionerna i protokollet Open Smart Grid Protocol (OSGP) som är väl använt inom IoT (Internet of Things). Nu har dock allvarliga brister uppdagats i detta protokoll som är baserat på RC4(!) samt en egen MAC (OMA digest).

OSGP-protokollet är en standard enligt Telecommunications Standards Institute (ETSI) sedan 2012 och har utvecklats av Energy Service Network Association (ESNA). Ungefär fyra miljoner IoT-enheter använder OSGP-protokollet.

Några av de angreppsmetoder som används är:IoT Crypto

  • Chosen-Plaintext Key Recovery Attacks
  • Known-Plaintext Key Recovery Attack
  • Forgeries and a Third Key-Recovery Attack

Även så tog forskarna fram Proof-of-concept kod i Python för att demonstrera några av sårbarheterna.

Och för att citera Bruce Schneier:

Anyone can design a cipher that he himself cannot break. This is why you should uniformly distrust amateur cryptography, and why you should only use published algorithms that have withstood broad cryptanalysis. All cryptographers know this, but non-cryptographers do not.

DNP3 Secure Authentication som också är ett protokoll som används inom IoT använder sig av HMAC-SHA256 samt AES-GMAC vilket anses säkert.

Så vad har vi lärt oss? Försök inte att utveckla ett eget krypto.