zoeken Nieuwsbrief
      Linkedin    Twitter   
  
nieuws
 

Enorme gebreken in veelgebruikte IoT-protocollen

11 december 2018 - Trend Micro waarschuwt organisaties hun operationele technologie-security (OT) nogmaals goed te checken. Dit omdat Trend Micro-onderzoekers aanzienlijke ontwerpfouten en kwetsbare implementaties hebben gevonden die zijn gerelateerd aan de twee populaire machine-to-machine-protocollen (M2M).

it zijn Message Queuing Telemetry Transport (MQTT) en Constrained Application Protocol (CoAP). Het nieuwe Trend Micro-rapport ‘The Fragility of Industrial IoT’s Data Backbone’, dat is opgesteld in samenwerking met Politecnico di Milano, geeft inzicht in de groeiende dreiging van industriële spionage, gerichte en denial-of-service-aanvallen waarbij deze protocollen misbruikt (kunnen) worden.


 In slechts vier maanden tijd hebben Trend Micro-onderzoekers meer dan 200 miljoen MQTT-berichten en meer dan negentien miljoen CoAP-berichten geïdentificeerd die gelekt zijn door kwetsbare brokers en servers. Door gebruik te maken van eenvoudige keyword-zoekopdrachten konden kwaadaardige aanvallers deze gelekte persoonlijke data lokaliseren om zo toegang te krijgen tot lucratieve informatie over assets, personeel en technologie die vervolgens misbruikt konden worden voor gerichte aanvallen.
 
Serieuze blik op OT-omgeving
"De problemen die we ontdekt hebben in twee van de de meest populaire messaging-protocollen die IoT-apparaten tegenwoordig gebruiken, zouden voor organisaties reden moeten zijn om nog eens een serieuze, holistische blik op hun OT-omgeving te werpen," zegt Greg Young, vice president of cybersecurity bij Trend Micro. "Bij het ontwikkelen van deze protocollen was security by design niet aan de orde. Toch zijn ze terug te vinden in een toenemend aantal bedrijfskritische omgevingen en toepassingen. Dit zorgt voor een serieus cybersecurity-risico. Zelfs hackers met zeer beperkte resources kunnen deze designfouten en kwetsbaarheden benutten om doelen te verkennen en gegevensdiefstal en denial-of-service-aanvallen te camoufleren."
 
Besturing op afstand
Het onderzoek laat zien hoe aanvallers op afstand IoT-endpoints kunnen besturen of services kunnen stoppen door misbruik te maken van security-issues in het ontwerp, de implementatie of het gebruik van apparaten die deze protocollen inzetten. Door misbruik te maken van specifieke functionaliteit in deze protocollen kunnen hackers bovendien toegang krijgen tot hun doel en zo verder doordringen in een netwerk.
 
Kwetsbaarheden
Het onderzoek heeft ook een aantal kwetsbaarheden blootgelegd die openbaar gemaakt zijn via het Zero Day Initiative (ZDI): CVE-2017-7653, CVE-2018-11615 en CVE-2018-17614. De laatstgenoemde is een voorbeeld van de impact die deze kwetsbaarheden kunnen veroorzaken; een out-of-bounds-instructie waarmee een aanvaller arbitraire code kan draaien op kwetsbare apparaten die een MQTT-client implementeren. Ondanks dat er geen nieuwe CoAP-kwetsbaarheden zijn gevonden, geeft het rapport aan dat CoAP op User Datagram Protocol gebaseerd is en een request-response-schema gebruikt waarmee het een prima fit heeft voor amplification-aanvallen.
 
Minimaliseer de risico's
Om de hoge risico’s die in het rapport beschreven staan te kunnen minimaliseren, moedigt Trend Micro organisaties aan om:
 
  • Goed beleid in te voeren om onnodige M2M-services te verwijderen.
  • Periodieke checks te doen en daarbij internet-wide scanning te gebruiken om ervoor te zorgen dat gevoelige data niet lekt via publieke IoT-diensten.
  • Een vulnerability management workflow te implementeren om de supply chain te beveiligen.
  • Up-to-date te blijven met industriestandaarden omdat deze technologie onderhevig is aan snelle ontwikkeling.
 
Lees het volledige rapport: ‘The Fragility of Industrial IoT’s Data Backbone’.
Bekijk ook de video: ‘Security and Privacy Issues in MQTT and CoAP Protocols’.

 

 
 Doorsturen   Reageer  

 

Laatste nieuws

 Lockdown belemmert tech-vrouwen in loopbaanontwikkeling
 Cybercriminelen gebruiken COVID-19-vaccin als lokmiddel bij hun aanvallen
 Dit zijn de vijf meest gegoogelde HR-thema's van 2020
 

Gerelateerde nieuwsitems

 Groot gebrek aan IoT security-besef
 CIO vreest voor omzetverlies door IoT-performanceproblemen
 Nieuwe IoT-malware verdrievoudigd in eerste helft 2018
 64 procent ervaart IoT-problemen door toenemende cloudcomplexiteit
 
 
reacties
 
Er zijn nog geen reacties.

REAGEREN

Naam:
Emailadres:
URL: (niet verplicht) http:// 
 
Reactie/Opmerking:
Ik wil bericht per e-mail ontvangen als er meer reacties op dit artikel verschijnen.
 
Als extra controle, om er zeker van te zijn dat dit een handmatige reactie is, typ onderstaande code over in het tekstveld ernaast. Is het niet te lezen? Klik hier om de code te wijzigen.
advertorial
Marketing Inhaak Kalender 2021 + handige tips
Met de overzichtelijke kalender van Spotler heb je in één oogopslag alle 'inhakers' voor jouw (e-mail) marketingcampagnes van 2021 in beeld. Handig voor eventgebonden acties naar klanten en nieuwsbriefabonnees! Inclusief interessante e-mail marketing tips.
Download de gratis kalender
Lees verder
Wereldwijd actief technologiebedrijf sponsort Nederlands vrouwenteam voor extreme roeirace
reacties
Ruim helft Nederlanders openhartig over salaris (1) 
Ontwikkeling e-invoicing zorgt voor toename wereldwijde B2B-commerce in 2015 (1) 
Twee op de drie Nederlanders schaamt zich voor hoesten of niezen in publieke binnenruimtes (1) 
Grote organisaties zorgen beter voor thuiswerkende werknemers (1) 
Culture fit doorslaggevend voor recruiters (1) 
Bij helft Nederlanders komt gezelschapsspel op tafel tijdens feestdagen (1) 
Kwart medewerkers sjoemelt met klokken van tijd  (1) 
top10
‘Elke smartphonegebruiker moet profiteren van essentiële beveiligingsupdates’
Huizenkopers wijken steeds meer uit naar Overijssel, Groningen, Flevoland en Drenthe
Leidinggevende stimuleert werknemer niet om te leren
Langdurig verzuim loopt op door uitstel reguliere zorg
Is technologie onze reddingsboei tijdens lockdown?
Niet-afgesloten cao’s kenmerken cao-jaar 2020
Ruim helft Nederlanders openhartig over salaris
Lockdown belemmert tech-vrouwen in loopbaanontwikkeling
Sollicitatiedokter organiseert Nationale Dag van het CVv
Kwart Nederlanders proactiever bezig met gezondheid door huidige gezondheidscrisis
meer top 10