HD Moore ismét nekiállt az Internet végigbogarászásának, célpontjai ezúttal az ún. serial serverek voltak. Ezek a kevéssé ismert kütyük arra jók, hogy soros portokat tegyenek távolról elérhetővé TCP/IP-n keresztül - a tapasztaltabbak itt már fogják is a fejüket...
A kutatás szerint a kommunikáció ezekkel az eszközökkel alapvetően három módon valósul meg:
- A serial server valamilyen hagyományos távoli terminált adó protokollt - Telnet, SSH, HTTP(S) - kínál az IP hálózat felé, ezen pedig általában elvár valamiféle autentikációt
- A TCP port azonnali proxy-zása a soros portra
- Saját protokoll
Az első eset talán a legjobb - feltéve, hogy a kapcsolat legalább titkosított (a hitelesítéssel kapcsolatban senkinek ne legyenek illúziói), és a jelszót nem hagyták alapértelmezetten. A harmadik esetben, bár a protokollok néhány esetben megvalósítanak autentikációt, illetve a kapcsolatot titkosítják, de sok gyártó esetében ez sincs így (nem beszélve az egyedi protokoll-megvalósítások jópofa hibáiról). A középső megoldás viszont mindenképpen komoly kockázatot hordoz:
Azon túl, hogy a soros kapcsolat a legritkább esetben titkosított, az ilyen interfészt nyújtó eszközök általában feltételezik, hogy a hozzájuk kapcsolódó felhasználó fizikailag is a közelükben tartózkodik, ezért sok esetben nem kérnek hitelesítést, de ha kérnek is, kilépési funkció hiányában egy nyitva hagyott, már nem használt konzol felett simán átvehető az irányítás!
A globális felderítés egyrészt SNMP használatával (public community), HTTP illetve FTP bannerek azonosításával, valamint az egyik gyártó saját felderítő protokollja segítségével történt, így összesen több mint 130.000 eszközt sikerült azonosításítani, 10%-ukon pedig autentikáció nélkül vagy alapértelmezett jelszóval konzolos hozzáférést lehetett szerezni. A felderített rendszerek között vannak üzemanyagtöltés-szabályzók, forgalmi hibamonitorozó eszközök és POS terminálok - a serial serverek jellemző felhasználási területei bizonyos támadók számára tehát igen vonzóak lehetnek.
Az utóbbi időben sok helyen felmerültek a szeparált/légrés mögött tartott rendszerek - az ilyen kutatások jól példázzák, hogy az egykor védett környezetbe szánt eszközök könnyen a nagyközönség szeme elé kerülhetnek (a témában ajánlom a Practical Oracle Security bevezetőjét is), ami igen kellemetlen következményekkel járhat.
