পর্যাপ্ত নিরাপত্তা পরীক্ষা ছাড়া অনেক রাউটার, মডেম এবং অন্যান্য ডিভাইসের জাহাজ

রাউটার, ডিএসএল মডেম, ভিওআইপি ফোন, আইপি ক্যামেরা এবং অন্যান্যের জন্য সর্বজনীনভাবে উপলব্ধ ফার্মওয়্যার ইমেজ বিশ্লেষণ এম্বেডেড ডিভাইসগুলি তাদের একটি উল্লেখযোগ্য সংখ্যায় উচ্চ ঝুঁকিযুক্ত ঝুঁকির সম্মুখীন হয়, যা ম্যানুফুয়ারদের দ্বারা দরিদ্র নিরাপত্তা পরীক্ষার দিকে নির্দেশ করে।

গবেষণাটি ফ্রান্সের ইউরেকম গবেষণা কেন্দ্র এবং জার্মানিের রুহর-বিশ্ববিদ্যালয় বোখামের গবেষকদের দ্বারা পরিচালিত হয়েছিল, যারা একটি স্বয়ংক্রিয় তৈরি করেছিল প্ল্যাটফর্মের সাহায্যে ফার্মওয়্যার ইমেজ আনপ্যাক করা যায়, একটি এমুলেটেড পরিবেশে সেগুলি চালানো এবং এম্বেড করা ওয়েব সার্ভারগুলি শুরু করে যেগুলি তাদের ম্যানেজমেন্ট ইন্টারফেসগুলি হোস্ট করে।

গবেষকরা একটি 54 নির্মাতারা থেকে এম্বেডেড ডিভাইসের জন্য 1,9২5 লিনাক্স-ভিত্তিক ফার্মওয়্যার ছবি সংগ্রহ করা, কিন্তু তাদের মধ্যে ২46 টি ওয়েব সার্ভার চালু করা হয়েছে। তারা বিশ্বাস করে যে অতিরিক্ত কর্ম এবং তাদের প্ল্যাটফর্মের tweaks সঙ্গে যে সংখ্যা বৃদ্ধি করতে পারে।

[আরও পড়ুন: আপনার উইন্ডোজ পিসি থেকে ম্যালওয়্যার অপসারণ কিভাবে]

লক্ষ্য ফার্মওয়্যার প্যাকেজ 'গতিশীল দুর্বলতা বিশ্লেষণ সঞ্চালন ছিল' ওয়েব- ওপেন সোর্স অনুপ্রবেশ পরীক্ষা সরঞ্জাম ব্যবহার করে পরিচালিত ইন্টারফেসগুলি। এটি পরীক্ষিত ফার্মওয়্যার ছবিগুলির মধ্যে 46 টিতে পাওয়া 225 টি উচ্চ প্রভাবের ঝুঁকির মধ্যে রয়েছে।

ওয়েব ইন্টারফেস কোডটি বের করে আনা এবং একটি জেনেরিক সার্ভারে হোস্ট করা একটি পৃথক পরীক্ষা যাতে এটি প্রকৃত ফার্মওয়্যার পরিবেশের এমুলেশন ছাড়া ত্রুটিগুলির জন্য পরীক্ষা করা যেতে পারে । এই পরীক্ষার দুর্বলতা ছিল, কিন্তু 515 ফার্মওয়্যার প্যাকেজগুলির জন্য সফল ছিল এবং এর ফলে তাদের 307 টিতে নিরাপত্তা ত্রুটি দেখা যায়।

গবেষকরা ডিভাইসের ফার্মওয়্যার ইমেজ থেকে বেরিয়ে আসা পিএইচপি কোডের বিরুদ্ধে আরেকটি ওপেন-সোর্স টুলের সাথে স্ট্যাটিক বিশ্লেষণও করেছেন। 145 ফার্মওয়্যার ইমেজগুলির মধ্যে পাওয়া আরেকটি 9046 দুর্বলতা।

সামগ্রিকভাবে, উভয় স্ট্যাটিক এবং ডাইনামিক বিশ্লেষণের সাহায্যে গবেষকরা 185 টি অনন্য ফার্মওয়্যারের ওয়েব-ভিত্তিক ম্যানেজমেন্ট ইন্টারফেসে কমান্ড এক্সিকিউশন, এসকিউএল ইনজেকশন এবং ক্রস-সাইট স্ক্রিপ্টিং যেমন গুরুত্বপূর্ণ দুর্বলতা খুঁজে পেয়েছেন প্যাকেজগুলি, 54 নির্মাতাদের এক-চতুর্থাংশ থেকে ডিভাইসগুলিকে প্রভাবিত করে।

গবেষকেরা দুর্বলতার সম্পূর্ণতার উপর নির্ভর করে ফায়ারওয়ক্স প্যাকেজের স্বয়ংক্রিয় পরীক্ষার জন্য নির্ভরযোগ্য পদ্ধতির উন্নয়ন করার জন্য চেষ্টা করে যা তাদের নিজেই স্ক্যানিংয়ের সম্পূর্ণতা । তারা ম্যানুয়েল কোড রিভিউগুলি সম্পাদন করেন না, উন্নত লজিক ত্রুটিগুলির জন্য স্ক্যানিং সরঞ্জামগুলির একটি বড় ধরণের বা পরীক্ষা ব্যবহার করেন।

এর মানে হল যে তারা যে সমস্যাগুলি পেয়েছিল তা আসলেই কম ঝুলন্ত ফলের - ত্রুটিগুলি যা সহজে খুঁজে পাওয়া উচিত ছিল কোনো প্রমিত নিরাপত্তা পরীক্ষার সময়। এই প্রশ্নটি জিজ্ঞেস করে: কেন তারা নির্মাতারা নিজেদের খুঁজে বের করে নিল না?

এটি প্রদর্শিত হবে যে ক্ষতিগ্রস্ত বিক্রেতারা তাদের কোডটি নিরাপত্তা পরীক্ষায় নিখুঁত করে নি, অথবা যদি তারা করেছিল, তবে তার মানের পরীক্ষার খুব খারাপ ছিল, আন্দ্রেই কস্টিন বলেন, গবেষণার পিছনে গবেষকরা এক।

কোস্টিন বৃহস্পতিবার বুখারেস্টে ডিফেকাম নিরাপত্তা সম্মেলনে দলটির ফলাফল উপস্থাপন করেন। এটি প্রকৃতপক্ষে একটি বৃহৎ স্কেল উপর ফার্মওয়্যার ইমেজ উপর সঞ্চালিত দ্বিতীয় পরীক্ষা ছিল। গত বছর, কয়েকজন গবেষক ফায়ারওয়ের প্যাকেজগুলির মধ্যে স্বয়ংক্রিয়ভাবে ব্যাকডোর এবং এনক্রিপশন বিষয়গুলি খুঁজে পেতে বিভিন্ন পদ্ধতিতে উন্নত হয়ে উঠেছিল।

তাদের সর্বশেষ ডেটাতে ফার্মওয়্যার সংস্করণগুলির কিছু ছিল সর্বশেষ নয়, তাই সবগুলি আবিষ্কারের সমস্যা নয় শূন্য দিনের দুর্বলতা ছিল - আগে যে অজানা ছিল এবং unpatched ছিল যে ত্রুটি। তবে, তাদের প্রভাবটি এখনও বড় আকারের, কারণ বেশিরভাগ ব্যবহারকারীই কমপক্ষে তাদের এম্বেডেড ডিভাইসে ফার্মওয়্যার আপডেট করেন।

DefCamp এ, অংশগ্রহণকারীরাও অন-সাইট IoT অংশ হিসাবে চারটি ইন্টারনেট-এর-থিংস ডিভাইস হ্যাক করার চেষ্টা করার জন্য আমন্ত্রণ জানায়। ভিলেজ। প্রতিযোগীদের একটি স্মার্ট ভিডিও-সক্ষম ডোরবলে দুটি গুরুত্বপূর্ণ দুর্বলতা পাওয়া যায় যা ডিভাইসটির উপর সম্পূর্ণ নিয়ন্ত্রণ লাভ করার জন্য শোষিত হতে পারে। দরজার পাশে একটি স্মার্ট ডোর লক নিয়ন্ত্রণ করার বিকল্পও ছিল।

একটি উচ্চ শেষ ডি-লিংক রাউটার এছাড়াও ফার্মওয়্যার সংস্করণে একটি ঝুঁকির মধ্যে যে নির্মাতার ডিভাইসের সাথে প্রেরণ করে আপস করতে পারে। ত্রুটিটি আসলে একটি নতুন ফার্মওয়্যার সংস্করণে পরিচিত এবং প্যাচ করা হয়েছে, কিন্তু রাউটার ব্যবহারকারীকে ফার্মওয়্যার আপডেট করার জন্য সতর্ক করে না।

অবশেষে, অংশগ্রহণকারীরা মিক্রোটিক থেকে একটি রাউটারে কম প্রভাবের ঝুঁকিও খুঁজে পেয়েছে। একমাত্র ডিভাইস যা বেঁচে যায় সেটি ছিল একটি নেস্ট ক্যাম।

দুর্বলতার বিবরণ এখনো প্রকাশ্যে ভাগ করা হয়নি কারণ আইওটি ভিলেজ আয়োজকরা নিরাপত্তা সংস্থা বিটডেফেন্ডার থেকে প্রথমে তাদের ক্ষতিগ্রস্ত বিক্রেতাদের কাছে রিপোর্ট করতে চায় তাই তারা প্যাচ করতে পারে।