ฉันขอโทษ เดฟ ฉันกลัว... ขอโทษ ฉันทำผิดพลาด ฉันทำอย่างนั้นได้ง่ายๆ
ไม่มีเครื่องเล่นเสียงด้านล่าง? ฟัง โดยตรง บนซาวด์คลาวด์
ดั๊ก เอมอธ และพอล ดักคลิน เพลงอินโทรและเอาท์โดย อีดิธ มัดจ์.
สามารถรับฟังเราได้ที่ Soundcloud, Apple Podcasts, Google Podcast, Spotify, Stitcher และทุกที่ที่มีพอดแคสต์ดีๆ หรือเพียงแค่วาง URL ของฟีด RSS ของเรา ลงในพอดแคตเตอร์ที่คุณชื่นชอบ
อ่านข้อความถอดเสียง
ดั๊ก แก้ไขประตูโรงรถที่เชื่อมต่ออยู่มากมาย และความผิดพลาดของเมนบอร์ด
ทั้งหมดนั้นและอีกมากมายในพอดคาสต์ Naked Security
[โมเด็มดนตรี]
ยินดีต้อนรับสู่พอดคาสต์ทุกคน
ฉัน Doug Aamoth; เขาคือพอล ดักคลิน
พอล เป็นยังไง?
เป็ด ฉันยังคงพยายามทำความเข้าใจเมื่อคุณพูดว่า "ประตูโรงรถที่เชื่อมต่อกัน" ดั๊ก
เพราะนี่คือการเชื่อมต่อในระดับใหม่ทั้งหมด!
ดั๊ก โอ้ใช่!
สิ่งที่อาจจะผิดไป?
เราจะเข้าไปที่…
เราต้องการเริ่มรายการด้วยส่วนประวัติเทคโนโลยีในสัปดาห์นี้
เรามีทางเลือกมากมาย…วันนี้เราจะมาหมุนวงล้อกัน
เกิดอะไรขึ้นในสัปดาห์นี้?
มนุษย์คนแรกในอวกาศ ยูริ กาการิน ในปี 1961; Ronald Wayne ออกจาก Apple และขายหุ้นของเขาในราคา 800 ดอลลาร์ในปี 1976 ซึ่งอาจจะรู้สึกเสียใจเล็กน้อยที่นั่น การงอกของ COBOL ในปี 1959; กระสวยอวกาศลำแรกเปิดตัวในปี พ.ศ. 1981; ภารกิจช่วยเหลืออพอลโล 13 ในปี 1970; Metallica ฟ้อง Napster ในปี 2000; และงาน West Coast Computer Faire ครั้งแรกในปี 1977
ไปข้างหน้าและหมุนวงล้อที่นี่และดูว่าเราลงจอดที่ไหน
[FX: วงล้อแห่งโชคชะตา]
เป็ด [เชียร์วงล้อ] โคบอล โคบอล โคบอล!
[FX: วงล้อช้าลงและหยุดลง]
ดั๊ก และเราได้ภาษาโคบอล!
ยินดีด้วยพอล – ทำได้ดีมาก
สัปดาห์นี้ ในปี 1959 มีการประชุม และในการประชุมมีผู้บุกเบิกด้านคอมพิวเตอร์ที่สำคัญและมีอิทธิพลมาก ซึ่งได้หารือเกี่ยวกับการสร้างภาษาโปรแกรมทั่วไปที่เป็นมิตรต่อธุรกิจ
เกรซ ฮอปเปอร์ คนเดียวและคนเดียวเสนอว่ากระทรวงกลาโหมสหรัฐให้ทุนสนับสนุนภาษาดังกล่าว
และโชคดีที่ผู้อำนวยการฝ่ายคอมพิวเตอร์ของ DOD อยู่ในการประชุมเดียวกัน ชอบแนวคิดนี้และตกลงให้ทุนสนับสนุน
และด้วยเหตุนี้ ภาษาโคบอลจึงถือกำเนิดขึ้น พอล
เป็ด ใช่!
COBOL: ภาษาเชิงธุรกิจทั่วไป
และมันออกมาจากสิ่งที่เรียกว่า CODASYL
[LAUGHS} นั่นคือตัวย่อในการเริ่มต้น/สิ้นสุดตัวย่อทั้งหมด: การประชุม/คณะกรรมการด้านภาษาของระบบข้อมูล
แต่มันเป็นความคิดที่น่าสนใจ แน่นอนว่าได้เกิดขึ้นมาแล้วหลายครั้ง ไม่น้อยกับ JavaScript ในเบราว์เซอร์
ภาษาเช่น FORTRAN (การแปล FORmula) เป็นที่นิยมมากสำหรับการคำนวณทางวิทยาศาสตร์ในเวลานั้น
แต่ทุกบริษัท ทุกคอมไพเลอร์ โปรแกรมเมอร์กลุ่มเล็กๆ ทุกกลุ่มมี FORTRAN เวอร์ชันของตัวเอง ซึ่งดีกว่าของคนอื่นๆ
และแนวคิดของภาษาโคบอลก็คือ “จะดีไหมถ้าคุณสามารถเขียนโค้ด แล้วนำไปใช้กับคอมไพเลอร์ที่เข้ากันได้บนระบบใดก็ได้ และโค้ดจะทำงานเหมือนเดิมภายในขอบเขตที่จำกัดของระบบ ?”
ดังนั้นมันจึงเป็นวิธีการจัดทำ cmmon ภาษาเชิงธุรกิจ… ตรงตามชื่อที่แนะนำ
ดั๊ก แน่นอน!
สมชื่อ!
เอาล่ะ เรามากันไกลแล้ว (ทำได้ดีมาก ทุกคน) รวมถึงล่าสุดด้วย แพทช์อังคาร.
เรามีซีโร่เดย์ เรามีจุดบกพร่องที่น่าสงสัยอยู่สองจุด และเรามีข้อบกพร่องอื่นๆ อีกประมาณ 90 รายการ
แต่มาเข้าเรื่องกันดีกว่า พอล...
เป็ด ใช่ ลองเคาะหัวซีโร่เดย์ ซึ่งก็คือ CVE-2023-28252 หากคุณต้องการค้นหาอันนั้น
เพราะนั่นเป็นสิ่งที่มิจฉาชีพรู้อยู่แล้วว่าจะเอาเปรียบอย่างไร
เป็นข้อผิดพลาดในส่วนหนึ่งของ Windows ที่เราเคยเห็นข้อบกพร่องมาก่อน นั่นคือไดรเวอร์ Common Log File System
และนั่นคือไดรเวอร์ระบบที่อนุญาตให้บริการหรือแอพใด ๆ บนอุปกรณ์ของคุณทำการเข้าสู่ระบบ (ควรจะเป็น) ด้วยวิธีการที่ปลอดภัยและควบคุมได้
คุณเขียนบันทึกของคุณ... มันจะไม่สูญหาย ไม่ใช่ทุกคนที่คิดค้นวิธีการของตนเอง พวกเขาได้รับการประทับเวลาอย่างถูกต้อง พวกเขาได้รับการบันทึกแม้ว่าจะมีภาระหนักก็ตาม เป็นต้น
น่าเสียดาย ไดรเวอร์ที่ประมวลผลบันทึกเหล่านี้... โดยพื้นฐานแล้วกำลังทำสิ่งต่างๆ ภายใต้ SYSTEM
บัญชี
ดังนั้น หากมีข้อบกพร่อง เมื่อคุณเข้าสู่ระบบบางอย่างในลักษณะที่ไม่ควรเกิดขึ้น โดยปกติแล้ว สิ่งที่เกิดขึ้นคือคุณมีสิ่งที่เรียกว่า Elevation of Privilege หรือ EoP
และใครบางคนที่เมื่อครู่อาจจะเป็นแค่ก GUEST
ผู้ใช้ก็ทำงานภายใต้ SYSTEM
บัญชีซึ่งโดยพื้นฐานแล้วให้พวกเขาควบคุมระบบทั้งหมดได้ดีพอๆ
พวกเขาสามารถโหลดและยกเลิกการโหลดไดรเวอร์อื่น ๆ พวกเขาสามารถเข้าถึงไฟล์ได้เกือบทั้งหมด พวกเขาสามารถสอดแนมโปรแกรมอื่นได้ พวกเขาสามารถเริ่มและหยุดกระบวนการ และอื่น ๆ
นั่นคือวันที่ 0
ได้รับการจัดอันดับเท่านั้น สำคัญ โดย Microsoft… ฉันคิดว่าเพราะมันไม่ใช่การเรียกใช้โค้ดจากระยะไกล ดังนั้นมิจฉาชีพจึงไม่สามารถใช้แฮ็กเข้าไปในระบบของคุณได้ตั้งแต่แรก
แต่เมื่อมันเข้ามาแล้ว ในทางทฤษฎีแล้ว บั๊กนี้อาจถูกใช้งานโดยมิจฉาชีพที่แฝงตัวเข้ามาเพื่อเอาสิ่งที่มีอำนาจเหนือประสิทธิภาพบนคอมพิวเตอร์ของคุณ
ดั๊ก แล้วถ้าคุณเอา Secure ออกจาก Secure Boot มันจะเป็นอย่างไร พอล?
แค่…
เป็ด “ บูต” ฉันคิดว่า?
ใช่ นี่เป็นจุดบกพร่องสองจุดที่ทำให้ฉันรู้สึกทึ่งจนอยากจะโฟกัสที่จุดบกพร่องเหล่านี้ในบทความเรื่อง Naked Security (หากต้องการทราบข้อมูลทั้งหมดเกี่ยวกับแพตช์ทั้งหมด ให้ไปที่ ข่าว.sophos.com และอ่านรายงานของ SophosLabs เกี่ยวกับจุดบกพร่องเหล่านี้)
ฉันจะไม่อ่านตัวเลขออก พวกเขาอยู่ในบทความ… พวกเขาทั้งสองมีพาดหัวด้วยคำต่อไปนี้: Windows Boot Manager Security Feature บายพาสช่องโหว่.
และฉันจะอ่านวิธีที่ Microsoft อธิบาย:
ผู้โจมตีที่ใช้ประโยชน์จากช่องโหว่เหล่านี้ได้สำเร็จสามารถเลี่ยงผ่าน Secure Boot เพื่อเรียกใช้รหัสที่ไม่ได้รับอนุญาต
เพื่อให้ประสบความสำเร็จ ผู้โจมตีต้องการการเข้าถึงทางกายภาพหรือสิทธิ์ของผู้ดูแลระบบ...
…ซึ่งฉันคิดว่าพวกเขาอาจจะผ่านจุดบกพร่องที่เราพูดถึงไปในตอนเริ่มต้นได้ [หัวเราะ]
ดั๊ก ถูกต้อง ฉันแค่คิดอย่างนั้น!
เป็ด แต่สิ่งที่เกี่ยวกับ "เฮ้ พวก ไม่ต้องกังวล พวกเขาต้องการเข้าถึงคอมพิวเตอร์ของคุณ" คือในความคิดของฉัน Doug เป็นปลาเฮอริ่งแดงเล็กน้อย
เนื่องจากแนวคิดทั้งหมดของ Secure Boot นั้นมีไว้เพื่อปกป้องคุณแม้กระทั่งจากผู้ที่สามารถเข้าถึงคอมพิวเตอร์ของคุณได้ เพราะมันหยุดการโจมตีที่เรียกว่า "โปรแกรมกำจัดสิ่งชั่วร้าย"...
… ซึ่งเป็นที่ที่คุณเพิ่งทิ้งแล็ปท็อปไว้ในห้องพักในโรงแรมเป็นเวลา 20 นาทีในขณะที่คุณรับประทานอาหารเช้า
พนักงานทำความสะอาดเข้ามาในห้องพักทุกวัน พวกเขาควรจะอยู่ที่นั่น
แล็ปท็อปของคุณอยู่ที่นั่น มันปิด คุณคิดว่า “พวกเขาไม่รู้รหัสผ่าน ดังนั้นพวกเขาจึงเข้าสู่ระบบไม่ได้”
แต่จะเป็นอย่างไรถ้าพวกเขาสามารถเปิดฝาออก เสียบเข้ากับคีย์ USB แล้วเปิดเครื่องในขณะที่พวกเขาทำความสะอาดห้องของคุณเสร็จ...
…ดังนั้นพวกเขาจึงไม่ต้องเสียเวลาทำการแฮ็ก เพราะทั้งหมดนั้นเป็นไปโดยอัตโนมัติ
ปิดแล็ปท็อป ถอดคีย์ USB ออก
จะเกิดอะไรขึ้นหากพวกเขาฝังมัลแวร์ไว้
นั่นคือสิ่งที่เรียกกันในศัพท์แสงว่า a bootkit.
ไม่ใช่รูทคิท ยิ่งไปกว่านั้นคือ BOOT kit
สิ่งที่มีอิทธิพลต่อคอมพิวเตอร์ของคุณระหว่างเวลาที่เฟิร์มแวร์ทำงานและ Windows เองเริ่มทำงานจริง
กล่าวอีกนัยหนึ่งคือมันทำลายรากฐานที่ Windows ใช้เป็นฐานการรักษาความปลอดภัยที่จะตามมาอย่างสมบูรณ์
ตัวอย่างเช่น จะเกิดอะไรขึ้นถ้ามันได้บันทึกการกดแป้นพิมพ์ด้วย BitLocker ของคุณ ดังนั้นมันจึงรู้รหัสผ่านเพื่อปลดล็อกคอมพิวเตอร์ทั้งเครื่องของคุณในครั้งต่อไป
และแนวคิดทั้งหมดของ Secure Boot ก็คือ "อะไรก็ตามที่ไม่ได้เซ็นชื่อแบบดิจิทัลโดยคีย์ที่โหลดไว้ล่วงหน้าในคอมพิวเตอร์ของคุณ (ในสิ่งที่เรียกว่า Trusted Platform Module) โค้ดใดก็ตามที่มีคนแนะนำ ไม่ว่าจะเป็น คนทำความสะอาดที่ชั่วร้ายหรือผู้จัดการฝ่ายไอทีที่เจตนาดีจะไม่ทำงาน
แม้ว่า Microsoft จะให้คะแนนข้อบกพร่องเหล่านี้เท่านั้น สำคัญ เนื่องจากไม่ใช่การใช้ประโยชน์จากการเรียกใช้โค้ดจากระยะไกลแบบดั้งเดิมของคุณ ถ้าฉันเป็นผู้ใช้ Windows แบบใช้ไดรเวอร์รายวัน ฉันคิดว่าฉันควรแพตช์ หากเฉพาะสำหรับผู้ใช้คนเดียว
ดั๊ก ดังนั้นรับการแก้ไขทันที!
คุณสามารถอ่านเกี่ยวกับรายการเฉพาะเหล่านี้ได้ที่ ความปลอดภัยเปล่าและบทความที่กว้างขึ้นเกี่ยวกับ ข่าวโซฟอส ซึ่งให้รายละเอียดเกี่ยวกับ CVE ทั้งหมด 97 รายการที่ได้รับการแพตช์
และขออยู่บนขบวนรถไฟและ พูดคุยเกี่ยวกับแอปเปิ้ลรวมถึงซีโร่เดย์บางคนด้วย พอล
Apple ออกแพตช์ฉุกเฉินสำหรับการเจาะระบบแบบสปายแวร์แบบ 0 วัน – อัปเดตทันที!
เป็ด สิ่งเหล่านี้เป็นซีโร่เดย์ที่เป็นสิ่งเดียวที่ได้รับการแก้ไขในการอัปเดตเฉพาะนี้ที่ออกโดย Apple
เช่นเคย Apple จะไม่บอกล่วงหน้าว่าจะทำอะไร และไม่เตือนคุณ และไม่ได้บอกว่าใครจะได้อะไรเมื่อ...
…ในช่วงต้นสุดสัปดาห์อีสเตอร์ เราได้รับแพตช์เหล่านี้ซึ่งครอบคลุม WebKit Zero-day
กล่าวอีกนัยหนึ่ง แค่ดูเว็บไซต์ที่ติดกับดักก็จะได้รับการดำเนินการโค้ดจากระยะไกล *และ* มีข้อบกพร่องในเคอร์เนล ซึ่งหมายความว่าเมื่อคุณ pwned แอปแล้ว คุณสามารถ pwn เคอร์เนลและเข้าควบคุมโดยพื้นฐาน อุปกรณ์ทั้งหมด
ซึ่งโดยพื้นฐานแล้วมีกลิ่นของ “เฮ้ เรียกดูเว็บไซต์ที่น่ารักของฉัน โอ้ที่รัก ตอนนี้ฉันมีสปายแวร์ทั่วโทรศัพท์ของคุณ และฉันไม่ได้แค่ครอบครองบราวเซอร์ของคุณ แต่ฉันได้ครอบครองทุกอย่างแล้ว”
และตามแฟชั่นของ Apple อย่างแท้จริง… ในตอนแรก มีการอัปเดตสำหรับข้อบกพร่องทั้งสองสำหรับ macOS 13 Ventura (macOS เวอร์ชันล่าสุด) และสำหรับ iOS และ iPad OS 16
มีการแก้ไขบางส่วน - มีการแก้ไข WebKit - สำหรับ macOS เวอร์ชันเก่าสองเวอร์ชัน แต่ไม่มีแพตช์สำหรับช่องโหว่ระดับเคอร์เนล
และไม่มีอะไรเลยสำหรับ iOS และ iPadOS 15
นี่หมายความว่า macOS เวอร์ชันเก่าไม่มีข้อบกพร่องของเคอร์เนลใช่หรือไม่
พวกเขามีข้อผิดพลาดของเคอร์เนล แต่พวกเขายังไม่ได้รับการแก้ไข?
iOS 15 มีภูมิคุ้มกันหรือต้องการแพตช์แต่พวกเขาไม่ได้บอก?
และจากนั้น ดูเถิด ในช่วงสุดสัปดาห์อีสเตอร์ [หัวเราะ] จู่ๆ อัปเดตอีกสามรายการ ออกมาเติมเต็มส่วนที่ขาดหายไปทั้งหมด
แพตช์สปายแวร์แบบ Zero-day ของ Apple ขยายให้ครอบคลุม Mac, iPhone และ iPad รุ่นเก่า
ปรากฎว่า iOS และ iPadOS ที่รองรับทั้งหมด (ซึ่งเป็นเวอร์ชัน 15 และ 16) และ macOS ที่รองรับทั้งหมด (นั่นคือเวอร์ชัน 11, 12 และ 13) มีข้อบกพร่องทั้งสองนี้
และตอนนี้พวกเขาต่างก็มีรอยปะกับทั้งคู่
เนื่องจากเห็นได้ชัดว่าพบข้อผิดพลาดนี้โดยการรวมกันของ Amnesty International Security Lab และ Google Threat Response Team...
…คุณคงเดาได้ว่ามันถูกใช้เพื่อสปายแวร์ในชีวิตจริง
ดังนั้น แม้ว่าคุณจะไม่คิดว่าคุณเป็นคนประเภทที่น่าจะเสี่ยงต่อผู้โจมตีประเภทนั้น แต่นั่นก็หมายความว่าข้อบกพร่องเหล่านี้ไม่ได้มีอยู่จริงเท่านั้น ดูเหมือนว่าพวกมันจะทำงานได้ค่อนข้างดีในป่า .
ดังนั้นหากคุณยังไม่ได้ตรวจสอบการอัปเดตบน Mac หรือ iDevice ของคุณเมื่อเร็ว ๆ นี้ โปรดดำเนินการดังกล่าว
ในกรณีที่คุณพลาด
ดั๊ก OK!
ดังที่เราทราบ บริษัทประตูโรงรถที่เชื่อมต่อกันกำหนดรหัสประตูโรงรถเหล่านี้โดยคำนึงถึงความปลอดภัยในโลกไซเบอร์
จึงเป็นเรื่องที่น่าตกใจว่า บางอย่างเช่นนี้ เกิดขึ้นแล้ว พอล...
สับและป้อน! ประตูโรงรถที่ “ปลอดภัย” ที่ทุกคนสามารถเปิดได้จากทุกที่ – สิ่งที่คุณต้องรู้
เป็ด ใช่.
ในกรณีนี้ Doug (และฉันรู้สึกว่าเราควรพูดชื่อแบรนด์ว่า Nexx) ดูเหมือนว่าพวกเขาจะแนะนำรูปแบบพิเศษของการรักษาความปลอดภัยทางไซเบอร์
การรับรองความถูกต้องด้วยปัจจัยศูนย์ ดั๊ก!
นั่นคือที่ที่คุณนำบางสิ่งที่ไม่ได้ตั้งใจจะเผยแพร่สู่สาธารณะ (ไม่เหมือนที่อยู่อีเมลหรือที่จับ Twitter ที่คุณต้องการให้คนอื่นรู้) แต่นั่นไม่ใช่ความลับจริงๆ
ตัวอย่างอาจเป็นที่อยู่ MAC ของการ์ดไร้สายของคุณ
ในกรณีนี้ พวกเขาให้รหัสอุปกรณ์ที่ไม่ซ้ำกับอุปกรณ์แต่ละเครื่อง...
…และถ้าคุณรู้ว่า ID ของอุปกรณ์ใดคืออะไร นั่นก็นับเป็นชื่อผู้ใช้ รหัสผ่าน และรหัสเข้าสู่ระบบโดยพื้นฐานแล้วในคราวเดียว
ดั๊ก [เสียงครวญคราง] สะดวก…
เป็ด สะดวกยิ่งขึ้น Doug: มีรหัสผ่านแบบฮาร์ดโค้ดในเฟิร์มแวร์ของทุกอุปกรณ์
ดั๊ก โอ้ ไปเลย! [หัวเราะ]
เป็ด [หัวเราะ] เมื่อมีคนรู้ว่ารหัสผ่านวิเศษนั้นคืออะไร ก็จะอนุญาตให้พวกเขาเข้าสู่ระบบระบบส่งข้อความบนคลาวด์ที่อุปกรณ์เหล่านี้ใช้ทั่วโลก
นักวิจัยที่ทำสิ่งนี้พบอะไร เพราะเขามีหนึ่งในอุปกรณ์เหล่านี้...
…เขาพบว่าในขณะที่เขากำลังดูการเข้าชมของตัวเอง ซึ่งเขาอาจจะคาดหวังว่าจะได้เห็น เขาก็ได้รับข้อมูลของทุกคนเช่นกัน รวมถึง ID อุปกรณ์ของพวกเขาด้วย
ดั๊ก [คำรามใหญ่] โอ้พระเจ้า!
เป็ด ในกรณีที่รหัสอุปกรณ์ไม่เพียงพอ รหัสเหล่านี้ยังรวมที่อยู่อีเมล ชื่อย่อ และชื่อสกุลของคุณไว้ในข้อมูล JSON ด้วย
ในกรณีที่คุณยังไม่รู้วิธีสะกดรอยตามคนๆ นั้นกลับไปยังที่ที่พวกเขาอาศัยอยู่
ดังนั้นคุณสามารถไปที่บ้านของพวกเขาและเปิดโรงรถของพวกเขาแล้วขโมยสิ่งของของพวกเขา (อ้อ ยังไงก็ตาม ดูเหมือนว่าจะใช้กับระบบสัญญาณกันขโมยในบ้านของพวกเขาด้วย ดังนั้นคุณจึงสามารถปิดเสียงเตือนก่อนที่จะเปิดประตูโรงรถได้)
หรือถ้าคุณมีเจตนาชั่วร้ายมากพอ คุณก็สามารถสุ่มเปิดประตูโรงรถของผู้คนได้ทุกที่ที่พวกเขาอาศัยอยู่ เพราะเห็นได้ชัดว่ามันน่าขบขันมาก ดั๊ก
ดั๊ก [แดกดัน] อย่างน้อยที่สุดที่นักวิจัยคนนี้สามารถทำได้ก็คือแจ้งเตือนบริษัท เมื่อสามเดือนก่อนและให้เวลาพวกเขาแก้ไขปัญหานี้
เป็ด ใช่ นั่นคือเรื่องที่น้อยที่สุดที่เขาสามารถทำได้
ซึ่งเป็นสิ่งที่เขาทำ
และนั่นเป็นสาเหตุว่าทำไม หลายเดือนต่อมา (ฉันคิดว่าในเดือนมกราคม เขาติดต่อพวกเขาครั้งแรก และเขาไม่สามารถทำให้พวกเขาดำเนินการเรื่องนี้ได้)...
…ในที่สุดเขาก็พูดว่า “ฉันจะเปิดเผยเรื่องนี้ต่อสาธารณะ”
เพื่อสนับสนุนเขา CISA ของสหรัฐฯ [Cybersecurity and Infrastructure Security Agency] ออกแถลงการณ์ APB ในลักษณะนี้ว่า “ยังไงก็ตาม เพื่อให้คุณรู้ว่าบริษัทนี้ไม่ตอบสนอง และเราก็ไม่ได้จริงๆ รู้ว่ามีอะไรจะแนะนำคุณ”
คำแนะนำของฉันคือ… พิจารณาใช้คีย์จริงแบบเก่าที่ดี อย่าใช้แอพ
พูดตามตรง แม้ว่านักวิจัยจะอธิบายถึงลักษณะของบั๊ก ตามที่ฉันได้อธิบายให้คุณฟังที่นี่ แต่เขาก็ไม่ได้พิสูจน์แนวคิดที่แท้จริง
ไม่ใช่ว่าเขาทำให้มันง่ายสุด ๆ สำหรับทุกคน
แต่ฉันคิดว่าเขารู้สึกว่าเขาเกือบจะมีหน้าที่ดูแลผู้ที่มีผลิตภัณฑ์นี้เพื่อให้รู้ว่าบางทีพวกเขาก็จำเป็นต้องพึ่งพาผู้ขายเช่นกัน
ดั๊ก เอาล่ะ นี่เป็นเรื่องราวคลาสสิกประเภท "เราจะจับตาดูสิ่งนั้น"
และคำเตือนที่ดีในตอนท้ายของบทความ… คุณเขียนตามที่มุขตลกเก่ากล่าวไว้ว่า “S ใน IoT หมายถึงความปลอดภัย” ซึ่งเป็นกรณีอย่างมาก
เป็ด ใช่แล้ว ถึงเวลาแล้วที่เราจะนำ S มาใส่ใน IoT ใช่หรือไม่?
ฉันไม่รู้ว่าเราจะเล่าเรื่องแบบนี้เกี่ยวกับอุปกรณ์ IoT กี่ครั้ง… ทุกครั้งที่เราทำ เราหวังว่ามันจะเป็นครั้งสุดท้ายใช่ไหม?
รหัสผ่านแบบฮาร์ดโค้ด
การโจมตีแบบเล่นซ้ำเป็นไปได้ เนื่องจากไม่มีการเข้ารหัสที่ไม่ซ้ำกันในแต่ละคำขอ
การรั่วไหลของข้อมูลของผู้อื่น
รวมถึงสิ่งที่ไม่จำเป็นในคำขอและการตอบกลับ... หากคุณมีรหัสอุปกรณ์และคุณกำลังพยายามระบุอุปกรณ์ คุณไม่จำเป็นต้องบอกที่อยู่อีเมลของเจ้าของอุปกรณ์ทุกครั้งที่คุณต้องการเปิดประตู!
แค่ไม่จำเป็น และถ้าคุณไม่ให้ออก มันก็รั่วไม่ได้!
[IRONIC] แต่นอกเหนือจากนั้น Doug ฉันไม่รู้สึกถึงมันอย่างแรง
ดั๊ก [หัวเราะ] โอเค ดีมาก
เรื่องราวสุดท้ายของวันนี้ แต่ไม่ท้ายสุดอย่างแน่นอน
ผู้ผลิตเมนบอร์ด MSI กำลังใช้ใบรับรองบางอย่าง อาการปวดหัวของเฟิร์มแวร์ เมื่อเร็ว ๆ นี้.
เอาใจคอเกม! ผู้ผลิตเมนบอร์ด MSI ยอมรับละเมิด ส่งคำเตือน “เฟิร์มแวร์ปลอม”
เป็ด ใช่นี่เป็นเรื่องที่ค่อนข้างแย่
ถูกกล่าวหาว่าทีมงานแรนซั่มแวร์ที่ใช้ชื่อว่า Money Message ได้ละเมิด MSI ซึ่งเป็นผู้ผลิตเมนบอร์ด (พวกเขาเป็นที่นิยมมากในหมู่นักเล่นเกมเพราะเป็นเมนบอร์ดที่ปรับแต่งได้มาก)
อาชญากรอ้างว่ามีข้อมูลจำนวนมากที่พวกเขากำลังจะละเมิดเว้นแต่พวกเขาจะได้รับเงิน
พวกเขาไม่ได้รับข้อมูลจริงจากไซต์ที่รั่วไหลของพวกเขา (อย่างน้อยพวกเขาก็ไม่ได้รับเมื่อฉันดูเมื่อคืนนี้ ซึ่งเป็นเวลาก่อนที่เส้นตายจะหมดอายุ) แต่พวกเขาอ้างว่ามีซอร์สโค้ดของ MSI
พวกเขาอ้างว่ามีเฟรมเวิร์กที่ MSI ใช้ในการพัฒนาไฟล์ BIOS หรือเฟิร์มแวร์ ดังนั้นพูดเป็นนัยว่าพวกเขามีความรู้วงในที่จำเป็นสำหรับการสร้างเฟิร์มแวร์ที่ถูกต้อง รูปแบบ.
และพวกเขาก็พูดว่า “เรามีกุญแจส่วนตัวด้วย”
พวกเขาเชิญชวนให้เราอนุมานว่าคีย์ส่วนตัวเหล่านั้นจะอนุญาตให้พวกเขาลงนามในเฟิร์มแวร์ปลอมที่พวกเขาสร้างขึ้น ซึ่งเป็นเรื่องที่ค่อนข้างน่ากังวลสำหรับ MSI ซึ่งได้ดำเนินการไปแล้ว
พวกเขายอมรับการละเมิด พวกเขาได้เปิดเผยต่อหน่วยงานกำกับดูแลแล้ว พวกเขาได้เปิดเผยต่อหน่วยงานบังคับใช้กฎหมาย และนั่นคือทั้งหมดที่พวกเขาพูด
สิ่งที่พวกเขา *ทำ* นั้นให้คำแนะนำที่เราขอแนะนำให้คุณปฏิบัติตาม นั่นคือการบอกลูกค้า:
รับอัพเดตเฟิร์มแวร์หรือ BIOS จากเว็บไซต์ทางการของ MSI เท่านั้น และห้ามใช้ไฟล์จากแหล่งอื่นนอกเหนือจากเว็บไซต์อย่างเป็นทางการ
ตอนนี้ เราหวังว่าคุณจะไม่ออกนอกลู่นอกทางเพื่อรับ BLOB เฟิร์มแวร์ที่อาจเป็นตัวโกงอยู่ดี… ดังที่ผู้แสดงความคิดเห็นของเราบางคนกล่าวว่า “ผู้คนคิดอย่างไรเมื่อพวกเขาทำเช่นนั้น”
แต่ในอดีต หากคุณไม่สามารถหาได้จากไซต์ของ MSI อย่างน้อยคุณอาจต้องพึ่งพาการตรวจสอบใบรับรองดิจิทัลด้วยตัวเองหากต้องการ
ฉันคิดว่าคุณควรจะบอกว่าคุณมักจะทำอะไรเกี่ยวกับการดูพื้นที่นี้ ดั๊ก...
ดั๊ก คอยจับตาดูสิ่งนี้ด้วย!
และทำให้เกิดคำถามจากผู้อ่านของเราคนหนึ่ง (ผมไม่พูดดีกว่านี้) เกี่ยวกับเรื่องราวของ MSI… Peter ถามว่า:
MSI ไม่สามารถเพิกถอนใบรับรองที่ใช้ในการเซ็นชื่อไฟล์ได้หรือไม่?
ดังนั้น แม้ว่าจะมีบางคนดาวน์โหลดไฟล์ที่ถูกบุกรุก ไฟล์นั้นก็จะไม่ผ่านการตรวจสอบใบรับรองใช่หรือไม่
หรือมันไม่ได้ทำงานเช่นนั้น?
เป็ด มันทำงานแบบนั้นใน *ทฤษฎี* ดั๊ก
แต่ถ้าคุณเริ่มปฏิเสธใครก็ตามที่มีเฟิร์มแวร์ที่เซ็นชื่อด้วยใบรับรองที่เลิกใช้งานแล้วโดยสุ่มสี่สุ่มห้า คุณจะเสี่ยงต่อการมีคนที่ดีพอๆ กับ "ล็อคกุญแจไว้ในรถ" ถ้าคุณรู้อะไร ฉันหมายถึง.
ตัวอย่างเช่น ลองนึกภาพว่าคุณแค่พูดว่า “ใช่แล้ว! ในคอมพิวเตอร์ทุกเครื่องในโลกนับจากวันพรุ่งนี้ เฟิร์มแวร์ของ MSI ใด ๆ ที่เซ็นชื่อด้วยคีย์นี้ซึ่งถูกบุกรุก (หากมิจฉาชีพพูดความจริง) จะไม่ทำงาน คุณจะต้องได้รับใหม่”
คุณจะบูตเครื่องคอมพิวเตอร์ของคุณเพื่อออนไลน์เพื่อรับเครื่องใหม่ได้อย่างไร [หัวเราะ]
ดั๊ก [หัวเราะ] ปัญหาเล็กน้อย!
เป็ด มีปัญหาไก่กับไข่
และนี่ไม่ได้มีผลกับเฟิร์มแวร์เท่านั้น… หากคุณบล็อกการเข้าถึงไฟล์ที่เชื่อถือได้ของทุกคนอย่างรวดเร็วเกินไป แต่ได้รับการเซ็นชื่อด้วยใบรับรองที่ตอนนี้กลายเป็นไม่น่าเชื่อถือแล้ว คุณจะเสี่ยงที่จะเกิดผลเสียมากกว่าผลดี
คุณต้องเว้นระยะเหลื่อมกันไว้สักหน่อย
ดั๊ก เอาล่ะคำถามที่ยอดเยี่ยมและคำตอบที่ยอดเยี่ยม
ขอบคุณมากปีเตอร์ที่ส่งมา
หากคุณมีเรื่องราว ข้อคิดเห็น หรือคำถามที่น่าสนใจที่คุณต้องการส่ง เรายินดีที่จะอ่านในพอดแคสต์
คุณสามารถส่งอีเมลไปที่ tips@sophos.com หรือแสดงความคิดเห็นในบทความของเรา หรือจะติดต่อหาเราบนโซเชียล: @nakedsecurity
นั่นคือการแสดงของเราในวันนี้ ขอบคุณมากสำหรับการฟัง
สำหรับ Paul Ducklin ฉัน Doug Aamoth เตือนคุณถึงครั้งต่อไปที่จะ...
ทั้งสอง รักษาความปลอดภัย!
[โมเด็มดนตรี]
- เนื้อหาที่ขับเคลื่อนด้วย SEO และการเผยแพร่ประชาสัมพันธ์ รับการขยายวันนี้
- เพลโตบล็อคเชน Web3 Metaverse ข่าวกรอง ขยายความรู้. เข้าถึงได้ที่นี่.
- ที่มา: https://nakedsecurity.sophos.com/2023/04/13/s3-ep130-open-the-garage-bay-doors-hal-audio-text/
- :เป็น
- $ ขึ้น
- 11
- a
- สามารถ
- เกี่ยวกับเรา
- เกี่ยวกับมัน
- เข้า
- ลงชื่อเข้าใช้
- จริง
- ที่อยู่
- ที่ยอมรับ
- ความก้าวหน้า
- คำแนะนำ
- ผลพวง
- กับ
- บริษัท ตัวแทน
- ก่อน
- ปลุก
- เตือนภัย
- ทั้งหมด
- ช่วยให้
- คนเดียว
- แล้ว
- Alright
- แม้ว่า
- และ
- และโครงสร้างพื้นฐาน
- คำตอบ
- ทุกคน
- ทุกแห่ง
- app
- Apple
- ประยุกต์
- ใช้
- เป็น
- รอบ
- บทความ
- บทความ
- AS
- At
- การโจมตี
- เสียง
- การยืนยันตัวตน
- ผู้เขียน
- อัตโนมัติ
- กลับ
- เป็นพื้น
- อ่าว
- BE
- เพราะ
- กลายเป็น
- ก่อน
- การเริ่มต้น
- กำลัง
- ด้านล่าง
- ดีกว่า
- ระหว่าง
- ที่ใหญ่กว่า
- บิต
- สุ่มสี่สุ่มห้า
- การปิดกั้น
- เกิด
- ยี่ห้อ
- ช่องโหว่
- รับประทานอาหารเช้า
- ที่กว้างขึ้น
- เบราว์เซอร์
- Bug
- เป็นโรคจิต
- สร้าง
- by
- ที่เรียกว่า
- CAN
- บัตร
- ซึ่ง
- กรณี
- อย่างแน่นอน
- ใบรับรอง
- ตรวจสอบ
- วงกลม
- ข้อเรียกร้อง
- อ้าง
- คลาสสิก
- การทำความสะอาด
- อย่างเห็นได้ชัด
- ปิด
- เมฆ
- ชายฝั่ง
- ภาษาโคบอล
- รหัส
- COM
- การผสมผสาน
- อย่างไร
- มา
- ความเห็น
- ร่วมกัน
- บริษัท
- บริษัท
- สมบูรณ์
- อย่างสมบูรณ์
- ไม่ขัดขืน
- ที่ถูกบุกรุก
- คอมพิวเตอร์
- การคำนวณ
- งานที่เชื่อมต่อ
- การเชื่อมต่อ
- พิจารณา
- ควบคุม
- การควบคุม
- สะดวกสบาย
- ได้
- คอร์ส
- หน้าปก
- ปกคลุม
- การสร้าง
- อาชญากร
- การเข้ารหัสลับ
- อยากรู้อยากเห็น
- ลูกค้า
- cybersecurity
- ข้อมูล
- เดฟ
- วัน
- เส้นตาย
- ป้องกัน
- แผนก
- กระทรวงกลาโหม
- อธิบาย
- รายละเอียด
- พัฒนา
- เครื่อง
- อุปกรณ์
- DID
- ดิจิตอล
- ใบรับรองดิจิทัล
- ดิจิทัล
- ผู้อำนวยการ
- กล่าวถึง
- ไม่
- การทำ
- Dont
- ประตู
- ประตู
- ลง
- ดาวน์โหลด
- คนขับรถ
- ไดรเวอร์
- หล่น
- แต่ละ
- มีประสิทธิภาพ
- ทั้ง
- อื่น ๆ
- อีเมล
- กรณีฉุกเฉิน
- การบังคับใช้
- พอ
- เป็นหลัก
- ฯลฯ
- แม้
- ในที่สุด
- เคย
- ทุกๆ
- ทุกวัน
- ทุกคน
- ทุกอย่าง
- เผง
- ตัวอย่าง
- ยอดเยี่ยม
- การปฏิบัติ
- คาดหวัง
- เอาเปรียบ
- ใช้ประโยชน์
- การหาประโยชน์
- ตา
- ล้มเหลว
- ธรรม
- ครอบครัว
- ลักษณะ
- เนื้อไม่มีมัน
- ไฟล์
- ที่เต็มไป
- ชื่อจริง
- แก้ไขปัญหา
- โฟกัส
- ปฏิบัติตาม
- ดังต่อไปนี้
- สำหรับ
- ฟอร์ม
- รูป
- สูตร
- โชคลาภ
- พบ
- กรอบ
- ราคาเริ่มต้นที่
- เต็ม
- กองทุน
- FX
- นักเล่นเกม
- โรงรถ
- ได้รับ
- ให้
- กำหนด
- จะช่วยให้
- โลก
- Go
- ไป
- ดี
- งานที่ดี
- ยิ่งใหญ่
- บัญชีกลุ่ม
- สับ
- แฮ็ค
- จัดการ
- เกิดขึ้น
- ที่เกิดขึ้น
- ที่เกิดขึ้น
- ยาก
- มี
- มี
- หัว
- หนัก
- โปรดคลิกที่นี่เพื่ออ่านรายละเอียดเพิ่มเติม
- ประวัติ
- ตี
- หน้าแรก
- ความหวัง
- ส่งไปโรงแรม
- บ้าน
- สรุป ความน่าเชื่อถือของ Olymp Trade?
- ทำอย่างไร
- HTTPS
- i
- ฉันเป็น
- ID
- ความคิด
- แยกแยะ
- สำคัญ
- in
- ในอื่น ๆ
- ประกอบด้วย
- รวมทั้ง
- มีอิทธิพล
- โครงสร้างพื้นฐาน
- แรกเริ่ม
- คนวงใน
- ความตั้งใจ
- น่าสนใจ
- International
- แนะนำ
- เปิดตัว
- ดึงดูดใจ
- iOS
- IOT
- iPad
- iPadOS
- ปัญหา
- IT
- รายการ
- ITS
- ตัวเอง
- มกราคม
- ศัพท์แสง
- JavaScript
- การสัมภาษณ์
- JSON
- เก็บ
- คีย์
- กุญแจ
- ชนิด
- ทราบ
- ความรู้
- ที่รู้จักกัน
- ห้องปฏิบัติการ
- ที่ดิน
- ภาษา
- ภาษา
- แล็ปท็อป
- ชื่อสกุล
- ล่าสุด
- เปิดตัว
- กฏหมาย
- การบังคับใช้กฎหมาย
- รั่วไหล
- ทิ้ง
- ชั้น
- ชีวิต
- กดไลก์
- น่าจะ
- ขีด จำกัด
- การฟัง
- น้อย
- โหลด
- นาน
- มอง
- ที่ต้องการหา
- ความรัก
- Mac
- MacOS
- ทำ
- มายากล
- ทำ
- เครื่องชง
- ผู้ผลิต
- มัลแวร์
- มนุษย์
- ผู้จัดการ
- ผู้ผลิต
- หลาย
- วิธี
- ที่ประชุม
- แค่
- ข่าวสาร
- ส่งข้อความ
- ไมโครซอฟท์
- กลาง
- อาจ
- ใจ
- นาที
- หายไป
- ภารกิจ
- ข้อผิดพลาด
- โมดูล
- ขณะ
- เงิน
- เดือน
- ข้อมูลเพิ่มเติม
- มากที่สุด
- การย้าย
- MSI
- ดนตรี
- ดนตรี
- ความปลอดภัยเปล่า
- พอดคาสต์ความปลอดภัยเปลือยกาย
- ชื่อ
- คือ
- Napster
- ธรรมชาติ
- จำเป็น
- จำเป็นต้อง
- ต้อง
- ใหม่
- ถัดไป
- คืน
- ตัวเลข
- of
- เป็นทางการ
- เว็บไซต์อย่างเป็นทางการ
- เก่า
- on
- ONE
- ออนไลน์
- เปิด
- เปิด
- ความคิดเห็น
- OS
- อื่นๆ
- ของตนเอง
- ส่วนหนึ่ง
- ในสิ่งที่สนใจ
- รหัสผ่าน
- รหัสผ่าน
- อดีต
- ปะ
- แพทช์
- พอล
- คน
- ของผู้คน
- บางที
- ระยะเวลา
- คน
- พีเตอร์
- โทรศัพท์
- กายภาพ
- ชิ้น
- ผู้บุกเบิก
- สถานที่
- เวที
- เพลโต
- เพลโตดาต้าอินเทลลิเจนซ์
- เพลโตดาต้า
- ผู้เล่น
- กรุณา
- พอดคาสต์
- พอดคาสต์
- ป๊อป
- ยอดนิยม
- เป็นไปได้
- โพสต์
- ที่อาจเกิดขึ้น
- อำนาจ
- การปฏิบัติ
- สวย
- ส่วนตัว
- คีย์ส่วนตัว
- อาจ
- ปัญหา
- กระบวนการ
- ผลิตภัณฑ์
- โปรแกรมเมอร์
- การเขียนโปรแกรม
- โปรแกรม
- อย่างถูกต้อง
- ป้องกัน
- การให้
- สาธารณะ
- ใส่
- ทำให้
- คำถาม
- รวดเร็ว
- ransomware
- ราคา
- ค่อนข้าง
- อ่าน
- ผู้อ่าน
- จริง
- ชีวิตจริง
- เมื่อเร็ว ๆ นี้
- แนะนำ
- บันทึก
- สีแดง
- ปฏิเสธ
- เสียใจ
- เครื่องควบคุม
- การเผยแพร่
- รีโมท
- เอาออก
- รายงาน
- ขอ
- การร้องขอ
- ช่วยเหลือ
- นักวิจัย
- คำตอบ
- การตอบสนอง
- ความเสี่ยง
- ห้อง
- ห้องพัก
- ปัดเศษ
- RSS
- วิ่ง
- วิ่ง
- s
- กล่าวว่า
- เดียวกัน
- พูดว่า
- วิทยาศาสตร์
- ค้นหา
- ลับ
- ปลอดภัย
- ความปลอดภัย
- ดูเหมือนว่า
- ส่วน
- ขาย
- การส่ง
- ความรู้สึก
- บริการ
- หลาย
- น่า
- โชว์
- ลงชื่อ
- ลงนาม
- ง่ายดาย
- เว็บไซต์
- ช้า
- So
- สังคม
- บาง
- บางคน
- บางสิ่งบางอย่าง
- โซฟอสแล็บ
- Soundcloud
- แหล่ง
- รหัสแหล่งที่มา
- แหล่งที่มา
- ช่องว่าง
- พิเศษ
- โดยเฉพาะ
- ใช้จ่าย
- สปิน
- Spotify
- สปายแวร์
- ยืน
- เริ่มต้น
- เริ่มต้น
- เข้าพัก
- ยังคง
- สต็อก
- หยุด
- หยุด
- จำนวนชั้น
- เรื่องราว
- เสถียร
- ส่ง
- ที่ประสบความสำเร็จ
- ประสบความสำเร็จ
- อย่างเช่น
- ฟ้อง
- ชี้ให้เห็นถึง
- ที่สนับสนุน
- ควร
- ระบบ
- ระบบ
- เอา
- เทคโนโลยี
- ขอบคุณ
- ที่
- พื้นที่
- โลก
- ของพวกเขา
- พวกเขา
- ล้อยางขัดเหล่านี้ติดตั้งบนแกน XNUMX (มม.) ผลิตภัณฑ์นี้ถูกผลิตในหลายรูปทรง และหลากหลายเบอร์ความแน่นหนาของปริมาณอนุภาคขัดของมัน จะทำให้ท่านได้รับประสิทธิภาพสูงในการขัดและการใช้งานที่ยาวนาน
- สิ่ง
- สิ่ง
- คิด
- ในสัปดาห์นี้
- การคุกคาม
- ตลอด
- เวลา
- ครั้ง
- ไปยัง
- ในวันนี้
- วันพรุ่งนี้
- เกินไป
- รวม
- แบบดั้งเดิม
- การจราจร
- รถไฟ
- การแปลภาษา
- จริง
- ที่เชื่อถือ
- เชื่อถือได้
- ความจริง
- อังคาร
- กลับ
- หัน
- พูดเบาและรวดเร็ว
- ภายใต้
- ฐานราก
- เป็นเอกลักษณ์
- ปลดล็อก
- บันทึก
- การปรับปรุง
- URL
- us
- USB
- ใช้
- ผู้ใช้งาน
- มักจะ
- กว้างใหญ่
- ผู้ขาย
- รุ่น
- ช่องโหว่
- ความอ่อนแอ
- คำเตือน
- ชม
- ทาง..
- เว็บคิท
- Website
- สัปดาห์
- สุดสัปดาห์
- ดี
- ตะวันตก
- อะไร
- ล้อ
- ว่า
- ที่
- ในขณะที่
- WHO
- ทั้งหมด
- ป่า
- จะ
- หน้าต่าง
- ไร้สาย
- กับ
- ภายใน
- คำ
- งาน
- โลก
- จะ
- เขียน
- ผิด
- คุณ
- ของคุณ
- ด้วยตัวคุณเอง
- ลมทะเล