Digitale technologie heeft een wereld van oplossingen voor kleine bedrijven geopend door over de hele linie meer efficiëntie te bereiken. Maar het heeft ook bedreigingen geïntroduceerd waaraan ze nog nooit eerder waren blootgesteld.
Een recent uitgebracht onderzoek door SEC Consult, een internationale leverancier van applicatiebeveiligingsdiensten en informatiebeveiligingsadvies, heeft ten minste één dergelijke nieuwe bedreiging aan het licht gebracht. SEC Consult heeft onlangs gemeld dat het delen van dezelfde HTTPS-servercertificaten en SSH-sleutels (Secure Shell Hosts) een aantal kleine bedrijven in gevaar heeft gebracht. Dit is nadat veel mensen te horen kregen dat het veranderen van HTTP naar HTTPS voor een betere beveiliging van hun websites zou zorgen.
$config[code] not foundEen korte uitleg over
Hyper Text Transfer Protocol Secure (HTTPS) codeert en decodeert gebruikerspaginatieverzoeken ter bescherming tegen afluisteren en man-in-the-middle-aanvallen. Omdat communicaties die via gewone HTTP-verbindingen worden verzonden in 'gewone tekst' staan, kunnen ze door hackers worden gelezen terwijl de berichten tussen uw browser en de website worden verzonden. Met HTTPS wordt de communicatie gecodeerd en kan de hacker niet inbreken in de verbinding.
Dat is hoe het zou moeten werken, maar als het HTTPS-certificaat en de SSH-sleutels worden gedeeld door steeds dezelfde dezelfde te gebruiken, kan iemand er uiteindelijk achter komen en de communicatie lezen.
SEC Consult analyseerde de firmware van meer dan 4.000 ingesloten apparaten van 70 leveranciers door te kijken naar de cryptografische sleutels, waaronder routers, modems, IP-camera's, VoIP-telefoons, netwerkopslagapparaten, internetgateways en meer. Er waren openbare en persoonlijke sleutels en ook certificaten in de firmwareafbeeldingen.
Het bedrijf heeft meer dan 580 unieke privésleutels getoond van de apparaten die werden gesignaleerd. De onderzoekers correleerden vervolgens de sleutels van scans die publiekelijk beschikbaar waren op het internet, waardoor ze 150 certificaten voor 3,2 miljoen HTTPS-hosts ontdekten. Dat vertaalt zich in negen procent van alle HTTPS-hosts op het web. De onderzoekers ontdekten verder 80 SSH-hostsleutels, of meer dan zes procent van alle beveiligde shell-hosts op het web met in totaal 0,9 miljoen hosts.
Dat komt neer op minstens 230 toetsen die actief worden gebruikt door meer dan 4 miljoen apparaten. Met zoveel apparaten zou het geen verrassing moeten zijn dat een aantal van de leidende hardwareproducenten ter wereld worden getroffen door deze glitch.
Sommige van de geïdentificeerde bedrijven omvatten Alcatel-Lucent, Cisco, General Electric (GE), Huawei, Motorola, Netgear, Seagate, Vodafone, Western Digital en vele anderen, aldus het rapport.
Omdat dit aan de hardwarezijde van de producten is, moeten leveranciers de fixes implementeren. Volgens Forbes zijn er zes leveranciers - Cisco, ZTE, ZyXEL, Technicolor, TrendNet en Unify - die bevestigen dat er oplossingen komen. Maar dit laat weinig mogelijkheden over voor kleine bedrijven die de betreffende apparaten gebruiken. Het enige wat ze kunnen doen is wachten op een patch van het bedrijf dat het product heeft gemaakt.
Sommige apparaten staan niet toe dat de sleutels en certificaten worden gewijzigd, wat de zaken nog ingewikkelder maakt.SEC Consult zei dat het binnenkort alle geïdentificeerde certificaten en privé-sleutels zal vrijgeven. In de tussentijd kunt u naar de website van het bedrijf gaan en het rapport lezen en nagaan of uw bedrijf een product uit de lijst met bedrijven gebruikt.
https Foto via Shutterstock
1