Ερευνητές ασφαλείας ανέλυσαν εννέα δημοφιλή WiFi routers και ανακάλυψαν συνολικά 226 ευπάθειες, ακόμη και όταν έτρεχαν το πιο πρόσφατο firmware.
Τα routers που δοκίμασαν κατασκευάζονται από τις εταιρείες Asus, AVM, D-Link, Netgear, Edimax, TP-Link, Synology και Linksys και χρησιμοποιούνται από εκατομμύρια ανθρώπους.
Οι συσκευές με τον μεγαλύτερο αριθμό τρωτών σημείων είναι το TP-Link Archer AX6000, με 32 ελαττώματα, και το Synology RT-2600ac, το οποίο έχει 30 κενά ασφαλείας.
Η διαδικασία των δοκιμών
Οι ερευνητές της IoT Inspector πραγματοποίησαν τις δοκιμές σε συνεργασία με το περιοδικό CHIP, εστιάζοντας σε μοντέλα που χρησιμοποιούνται κυρίως από μικρές επιχειρήσεις και οικιακούς χρήστες.
“Για την αξιολόγηση του Chip, το περιοδικό παρείχε όλα τα τρέχοντα μοντέλα, τα οποία αναβαθμίστηκαν στην πιο πρόσφατη έκδοση firmware”, ανέφερε ο Florian Lukavsky, CTO και ιδρυτής στο IoT Inspector, στο BleepingComputer.
“Τα routers αναλύθηκαν αυτόματα από το IoT Inspector και ελέγχθηκαν για περισσότερα από 5.000 CVE και άλλα ζητήματα ασφάλειας.”
Τα ευρήματά τους έδειξαν ότι πολλά από τα routers εξακολουθούν να είναι ευάλωτα σε ευπάθειες που έχουν αποκαλυφθεί δημόσια, ακόμη και με το τελευταίο firmware όπως φαίνεται στον παρακάτω πίνακα.
Αν και δεν ενέχουν όλα τα ελαττώματα τον ίδιο κίνδυνο, η ομάδα βρήκε ορισμένα κοινά προβλήματα που επηρέαζαν τα περισσότερα μοντέλα:
- Ξεπερασμένος πυρήνας Linux στο firmware
- Ξεπερασμένες λειτουργίες πολυμέσων και VPN
- Υπερβολική εξάρτηση από παλαιότερες εκδόσεις του BusyBox
- Χρήση αδύναμων προεπιλεγμένων κωδικών πρόσβασης όπως “admin”
- Παρουσία διαπιστευτηρίων σε μορφή απλού κειμένου
Ο Jan Wendenburg, Διευθύνων Σύμβουλος του IoT Inspector, σημείωσε ότι ένας από τους πιο σημαντικούς τρόπους για την ασφάλεια ενός router είναι να αλλάξετε τον προεπιλεγμένο κωδικό πρόσβασης όταν ρυθμίζετε για πρώτη φορά τη συσκευή.
“Η αλλαγή κωδικών πρόσβασης κατά την πρώτη χρήση και η ενεργοποίηση της λειτουργίας της αυτόματης ενημέρωσης πρέπει να είναι κοινή πρακτική σε όλες τις συσκευές IoT, είτε η συσκευή χρησιμοποιείται στο σπίτι είτε σε κάποιο εταιρικό δίκτυο.”
Οι ερευνητές δεν δημοσίευσαν πολλές τεχνικές λεπτομέρειες για τα ευρήματά τους, εκτός από μία περίπτωση που αφορούσε την εξαγωγή του κλειδιού κρυπτογράφησης για firmware του δρομολογητή D-Link.
