Noll
Linksys WRT32X, router som fått de högsta i Cyber-ITL-säkerhet-fokuserad fallstudie.
Bild: Linksys
Många av dagens mest populära router-modeller inte dra full nytta av de säkerhetsfunktioner som kommer med operativsystemet Linux, som många av dem använder som grund för sin firmware.
Säkerhet härdning funktioner som ASLR (Address Space Layout Randomisering), DEP (Data Execution Prevention), RELRO (Omlokalisering Read-Only), och stack vakterna har visat sig vara saknas i en nyligen genomförd säkerhetsgranskning av 28 populära hem routrar.
Säkerhetsexperter från Cyber Oberoende testlabb (Cyber-ITL) analyserade firmware av dessa routrar och kartlagt andelen av firmware kod som skyddas av de fyra säkerhets funktioner som anges ovan.
“Avsaknaden av dessa säkerhetsfunktioner är oförlåtligt”, sade Parker Thompson och Sarah Zatko, två It-LIRE forskarna bakom studien.
“De funktioner som beskrivs i denna rapport är lätt att anta, har inga nackdelar, och är standard praxis i andra segment av marknaden (såsom stationära och mobila programvaran),” de två extra.
Medan vissa routrar hade 100 procents täckning för en funktion, ingen genomfört alla fyra. Dessutom har forskarna också funnit inkonsekvenser i tillämpningen av de fyra säkerhetsfunktioner inom samma märke, med vissa router-modeller från en leverantör betyget mycket hög, medan andra hade praktiskt taget inget skydd.
Enligt forskarna, av den 28 routerns inbyggda programvara bilder de analyseras, Linksys WRT32X modell som fått högst med 100 procent DATAEXEKVERINGSSKYDD för alla firmware-binärer, 95 procent RELRO täckning, 82 procent stack vakt täckning, men med en ödmjuk 4 procent ASLR skydd.
De fullständiga resultaten för varje router modell finns tillgängliga nedan. Forskarna såg först vid tio hem routrar som rekommenderas av Consumer Reports (tabell 1), men sedan utökade sin forskning till att omfatta andra router-modeller som rekommenderas av andra nyheter publikationer som CNET, PCMag, och TrustCompass (tabell 2).
Testresultat för Consumer Reports rekommenderar routrar
Testresultat för CNET, PCMag, TrustCompass rekommenderas routrar
Som en sekundär slutsats av denna studie, resultaten kommer också att visa att begränsad hårdvara resurser som finns på små hem routrar är inte en giltig ursäkt för att inte fartyget routerns inbyggda programvara utan förbättrad säkerhet härdning funktioner som ASLR, DEP, och andra.
Det är tydligt att vissa företag kan skicka routrar med ordentligt firmware och routrar som kan dra nytta av samma OS härdning funktioner som ger Linux desktop och server-versioner.
Sist men inte minst, studien visade också en inneboende svaghet i routrar som använder en Linux-kärnan, MIPS. Cyber-LIRE team säger att under sin analys av den 28 firmware bilder (tio som körde Linux-MIPS och 18 som sprang ARM-Linux -) de upptäckte också en säkerhet svaghet i Linux-kärnan, MIPS-versioner från och med 2001 till och med 2016.
“Frågan från 2001 till 2016 resulterade i stack bygger utförande är aktiverad på userland processer,” forskarna säger –fråga som gjort DATAEXEKVERINGSSKYDDET omöjligt.
2016 MIPS Linux-kernel patch re-aktiveras DEP skydd för Linux-MIPS, forskarna sade, men även infört en annan bugg som tillåter en angripare att kringgå både DEP och ASLR-skydd. Forskare detaljerad detta MIPS Linux bugg i mer detalj i en separat uppsats som finns här.
Mer it nyheter:
Hackare dumpa data av hundratals tyska politiker på TwitterSecurity forskare sprickor Googles Widevine DRM (L3)Nya ReiKey app kan upptäcka macOS keyloggersGoogle Chrome fel lappat tre år efter den första reportHacking attacker på din router: Varför det värsta är ändå att comeUSB Typ-C får autentisering för att skydda mot skadlig devicesWhy router-baserade attacker som kan bli nästa stora trend i it-säkerhet TechRepublic
Säkerhet forskare hitta brister i chips som används i sjukhus, fabriker och butiker CNET
Relaterade Ämnen:
Hårdvara
Säkerhet-TV
Hantering Av Data
CXO
Datacenter
0