Los investigadores advierten que muchos fabricantes de dispositivos IoT no siguen las mejores prácticas criptográficas y dejan una alta proporción de los dispositivos vulnerables a los ataques.
Los investigadores de Keyfactor recientemente recolectaron unos 175 millones de certificados y claves RSA de Internet utilizando un proceso de descubrimiento de certificados SSL / TLS patentado y luego analizaron los datos utilizando un método matemático individual.
El análisis mostró que aproximadamente 435,000 de los certificados RSA analizados, o aproximadamente 1 de cada 172 certificados activos, eran vulnerables a compromisos o ataques. Un alto porcentaje de los certificados débiles pertenecían a enrutadores, módems, firewalls y otros dispositivos de crimson. Otros dispositivos potencialmente afectados incluyeron automóviles e implantes médicos.
El problema, según Keyfactor, es la insuficiente entropía, o aleatoriedad, que se utiliza para generar claves de cifrado en estos dispositivos.
Las claves RSA permiten la comunicación encriptada en Net. Una clave RSA es básicamente el producto de dos números primos igualmente grandes y aleatorios, los cuales son privados. «La seguridad de RSA se basa en la incapacidad de otra parte para determinar (los) dos números primos elegidos al azar de los cuales se deriva la clave pública de RSA», dijo el investigador de Keyfactor Jonathan Kilgallin en un informe técnico. papel presentado la semana pasada en una conferencia de IEEE sobre confianza y privacidad en Los Ángeles.
Normalmente, no hay dos claves RSA que compartan los mismos factores primos. Pero la investigación de Keyfactor mostró que alrededor de 435,000 certificados tenían un variable primo compartido. Esto hizo que sea relativamente más fácil aplicar técnicas matemáticas para tratar de derivar, o factorizar, la clave RSA first completa. Todo lo que llevó a los investigadores de Keyfactor a descifrar alrededor de 250,000 de los certificados vulnerables fue una sola máquina digital en Microsoft Azure y un algoritmo para detectar factores compartidos. La configuración whole costó alrededor de $ 3,000, según la compañía.
Por el contrario, Keyfactor descubrió que solo 5 de cada 100 millones de certificados firmados y emitidos por autoridades de certificación confiables, y que figuran en los registros de transparencia de certificados de acceso público, podrían verse igualmente comprometidos.
La mayoría de los certificados débiles pertenecen a dispositivos conectados a Net, como enrutadores y módems con recursos limitados en términos de potencia de procesamiento, memoria y entropía, dice Ted Shorter, director de tecnología y cofundador de Keyfactor. «Si le pide a un dispositivo IoT que genere un número aleatorio, el resultado no siempre es tan aleatorio como debería ser», dice Shorter. «Entonces obtienes claves débiles», que se pueden descifrar con relativa facilidad.
Una falta de aleatoriedad
Un actor de amenazas que puede derivar la clave privada para un certificado de servidor SSL / TLS puede suplantar ese dispositivo, dice. «Si tiene la clave privada, puede hacerse pasar por el dispositivo o punto final que se vio comprometido» e interceptar cualquier comunicación a ese dispositivo, dice Shorter. En ciertos entornos, como dentro de un clinic o con un dispositivo instalado en un automóvil, las consecuencias de que un atacante se haga pasar por un dispositivo confiable puede ser especialmente peligroso, dice. Un atacante también podría descifrar cualquier dato que pudiera haberse cifrado con la clave comprometida.
Los diseñadores de dispositivos IoT deben prestar más atención al cifrado disponible en sus dispositivos. Deben estar pensando en cómo agregar entropía al proceso para que las claves RSA se deriven de números primos verdaderamente aleatorios, dice. Mientras tanto, los clientes de dispositivos IoT, especialmente aquellos en sectores críticos, necesitan preguntar a sus proveedores sobre las capacidades seguras de generación de números aleatorios en los dispositivos, dice Shorter.
La noticia debería ser preocupante, especialmente para cualquiera que use un certificado SSL generado por un dispositivo IoT para autenticar conexiones a través de redes no confiables, dice Craig Younger, investigador de seguridad de Tripwire.
Young dice que una búsqueda rápida en Censys.io, un servicio para buscar dispositivos conectados a Internet, muestra que hay alrededor de 124 millones de certificados autofirmados de alrededor de 2.200 millones de certificados indexados. Muchos de estos certificados provienen claramente de dispositivos como módems de cable o controladores de puntos de acceso inalámbricos empresariales. «Los certificados se generarían comúnmente en el dispositivo, lo que significa que están restringidos en términos de fuentes de entropía», dice Youthful.
Por preocupante que sea la amenaza, los ataques en el mundo authentic, especialmente los dirigidos, contra los sistemas afectados son poco probables, dice. Con el fin de explotar esto para un ataque dirigido, «un atacante primero debe tener la suerte de encontrar un element para la clave en un sistema objetivo, así como estar en una posición de red privilegiada para explotar esto», dice Young.
Suponiendo que alguien está en posición de recopilar los datos necesarios, el ataque actual requerirá que el hacker tenga acceso suficiente para manipular el flujo de datos. «Un individuo podría hacer esto falsificando WiFi o incluso señales de torre de telefonía celular», pero el pago no parecería compasivo con el trabajo requerido, dice. «En mi opinión, si alguien va a usar algo como esto en el mundo serious, sería un equipo de inteligencia de señales trabajando a instancias de una nación».
Contenido relacionado:
Jai Vijayan es un experimentado reportero de tecnología con más de 20 años de experiencia en periodismo comercial de TI. Recientemente fue editor sénior en Computerworld, donde cubrió temas de seguridad de la información y privacidad de datos para la publicación. En el transcurso de sus 20 años … Ver biografía completa
Más suggestions
