Nul
Linksys WRT32X, de router die scoorde het hoogst in de Cyber-ITL die gericht zijn op beveiliging case study.
Afbeelding: Linksys
Veel van de meest populaire home router modellen niet volledig te profiteren van de beveiliging functies die komen met het Linux-besturingssysteem, die velen van hen gebruiken als basis voor hun firmware.
Security hardening functies zoals ASLR (Address Space Layout Randomization (aslr), DEP (Data Execution Prevention), RELRO (Verhuizing Alleen-Lezen), en stapel bewakers zijn gevonden ontbreekt in een recente audit van 28 populaire thuis-routers.
Security experts van de Cyber Onafhankelijk Test Laboratorium (Cyber-ITL) analyseerde de firmware van deze routers en in kaart brengen van het percentage van de firmware code die werd beschermd door de vier beveiligingsfuncties die hierboven worden vermeld.
“De afwezigheid van deze beveiligingsfuncties is te verontschuldigen,” zei Parker Thompson en Sarah Zatko, de twee Cyber-ITL onderzoekers achter het onderzoek.
“De functies die in dit rapport zijn gemakkelijk om vast te stellen, hebben geen nadelen, en zijn standaard praktijken in andere segmenten van de markt (zoals desktop-en mobiele software),” de twee toegevoegd.
Terwijl sommige routers 100 procent dekking voor één functie, geen geïmplementeerd alle vier. Bovendien, onderzoekers vonden ook inconsistenties in de toepassing van de vier security functies binnen hetzelfde merk, met een aantal router modellen van een vendor rating zeer hoog, terwijl de anderen hadden vrijwel geen bescherming.
Volgens de onderzoekers, van de 28 router firmware images ze geanalyseerd, de Linksys WRT32X model scoorde het hoogst met 100 procent DEP voor alle firmware ‘ s, 95 procent RELRO dekking, 82 procent stapel guard dekking, maar met een nederige 4 procent ASLR bescherming.
De volledige resultaten voor elke router model zijn hieronder beschikbaar. Onderzoekers voor het eerst zag op de tien thuis routers aanbevolen door Consumer Reports (tabel 1), maar dan uitgebreid hun onderzoek naar onder andere router modellen aanbevolen door andere nieuws publicaties zoals CNET, PCMag, en TrustCompass (tabel 2).
Test resultaten voor Consumer Reports aanbevolen routers
Test resultaten voor CNET, PCMag, TrustCompass aanbevolen routers
Als tweede conclusie van dit onderzoek, de resultaten ook komen om te laten zien dat de beperkte hardware resources te vinden op kleine thuis-routers zijn niet geldig excuus voor het niet-schip router firmware zonder verbeterde security hardening functies, zoals ASLR, DEP en anderen.
Het is duidelijk dat sommige bedrijven kunnen het schip routers met goed beveiligd firmware en routers kunnen profiteren van dezelfde OS verharding functies die Linux biedt voor desktop-en server-versies.
Laatste maar niet de minste, de studie toonde ook een inherente zwakte in routers die gebruik maken van een MIPS Linux kernel. De Cyber-ITL team zegt dat tijdens de analyse van de 28 firmware images (tien van die liep MIPS Linux en 18 van die liep ARM-Linux -) ze hebben ook ontdekt dat er een beveiliging zwakte in MIPS Linux kernel versies van 2001 tot en met 2016.
“Het probleem van 2001 tot en met 2016 resulteerde in een stack-based uitvoering wordt ingeschakeld op userland processen,” de onderzoekers zei: –probleem waardoor de DEP-beveiliging onmogelijk.
In 2016, MIPS Linux kernel patch opnieuw ingeschakeld voor DEP-bescherming voor MIPS Linux, onderzoekers zeiden, maar introduceerde ook een andere bug die het mogelijk maakt een aanvaller te omzeilen zowel DEP en ASLR bescherming. Onderzoekers gedetailleerde deze MIPS Linux bug in meer detail in een aparte research paper is hier beschikbaar.
Meer cybersecurity nieuws:
Hackers dump gegevens van honderden duitse politici op TwitterSecurity onderzoeker scheuren Google Widevine DRM (L3)Nieuwe ReiKey app kan detecteren macOS keyloggersGoogle Chrome-lek gepatcht drie jaar na de eerste reportHacking aanvallen op je router: Waarom moet het ergste nog comeUSB van het Type C wordt de authenticatie te beschermen tegen schadelijke devicesWhy router-gebaseerde aanvallen de volgende grote trend op het gebied van cyberbeveiliging TechRepublic
Beveiliging onderzoekers fouten in chips die gebruikt worden in ziekenhuizen, fabrieken en winkels CNET
Verwante Onderwerpen:
Hardware
Beveiliging TV
Data Management
CXO
Datacenters
0