Наличие единого стенда в краткосрочной аренде? использовать защиту!

Даже самые мрачные мотели теперь предлагают бесплатный Wi-Fi. Мы ожидали этого. Поэтому, естественно, мы ожидаем такой же уровень обслуживания в Airbnb или в другой арендной плате с разделением экономики. Но есть разница, огромная разница, о чем стало ясно из выступления в Black Hat эксперта по безопасности Джереми Галлоуэя.

Галлоуэй представился, сказав: «Я решаю проблемы с безопасностью - иногда в это вовлечены компьютеры». Он является членом большего количества сообществ безопасности, чем я даже слышал, включая УДАЛЕНО. А его живой стиль презентации с выступлениями Гомера Симпсона и ошеломляющим Космо Крамером между графиками и слайдами удерживал зрителей в восторге.

Краткосрочная аренда - Yuuge

Галлоуэй провел некоторое время, пытаясь понять, насколько велик рынок краткосрочной аренды. Учитывая, что объем рынка оценивается в 100 миллиардов долларов в год, это ставит его где-то между всеми расходами на облачные услуги (110 миллиардов долларов) и глобальными продажами кокаина (85 миллиардов долларов). Ох, а игровая индустрия в Лас-Вегасе? Это около 6, 3 миллиарда.

Он также заявил, что этим летом Airbnb посетило больше гостей, чем все население Греции, Швеции или Швейцарии. С более чем 2 000 000 списков Airbnb (или, как он их назвал, целей) по всему миру, это просто огромно. «Airbnb - чрезвычайно популярный денежный автомат», - сказал Галлоуэй. «Но исследование показало, что 40 процентов гостей признались в том, что они шпионят, оставаясь в домах, которые они посещают. Я делаю это! Я проверяю, что заблокировано, а что нет».

Стенды с одной сетью

«Вы, специалисты по безопасности, можете испытывать странные ощущения в сети. У вас есть это шестое чувство безопасности, которого нет у обычного человека», - сказал Галлоуэй. «У меня есть шкала доверия. Ваша личная домашняя сеть, это 100 процентов. Университетская сеть, ну, у них ИТ-безопасность, но все эти студенты, я бы сказал, 50 процентов. Наконец, этот случайный гостиничный киоск, это ноль процентов. Airbnb? Я бы сказал, около 20 процентов."

В качестве аналогии Галлоуэй указал на онлайн-калькулятор сексуального воздействия. Возьмите количество партнеров, которые у вас были, и количество партнеров, которые у вас были, и вы увидите, сколько людей вы были подвержены. «Подумайте дважды, прежде чем у вас будет стенд с одной сетью», - сказал Галлоуэй. «Это глупая фраза, но сравнение удобства торговли для риска имеет большой смысл».

Что могут сделать хакеры

За последние несколько лет Гэллоуэй провел ряд атак на маршрутизаторы. DNSChanger, лунный червь, BlackMoon, все это работало путем удаленного внесения изменений в маршрутизаторы жертв. Гэллоуэй процитировал супергероя по безопасности Дана Гира, который сказал, что ситуация с роутером столь же обидчива, как разлив бензина в закрытом торговом центре. «Что касается меня, - сказал Галлоуэй, - я бы сказал, что безопасность маршрутизатора - это бешеный файл мусорной корзины».

Конечно, эти атаки должны были каким-то образом проникнуть в маршрутизатор удаленно. Когда у злоумышленника есть физический доступ, например, при краткосрочной аренде, это все меняет. Галлоуэй продемонстрировал свой подписной маршрутизатор APT. Нет, не продвинутая постоянная угроза; Расширенная угроза скрепки . «Не обязательно быть МакГайвером», - сказал Галлоуэй. «Используйте изогнутую скрепку для сброса маршрутизатора, и вы удалите целый уровень безопасности. Ничто из этого не требует атак нулевого дня или сумасшедшего кода эксплойта».

Становится хуже, намного хуже. Тот, кто имеет физический доступ к маршрутизатору, может захватить ваши конфиденциальные данные, изменить доверенные данные, внедрить данные и многое другое. "Да, " сказал Галлоуэй, "Это не становится намного хуже".

Далее он перечислил удивительное количество вещей, которые вы можете сделать, чтобы взломать маршрутизатор при физическом доступе, от раздражающих до катастрофических. Вы можете настроить свое собственное устройство в качестве удаленного администратора и контролировать маршрутизатор через несколько недель после вашего посещения. Вы можете извлечь все пароли устройства, используя простой инструмент. Установите себя в качестве сервера журналов и вы пассивно увидите весь трафик.

С другой стороны, вы можете установить собственный сервер в качестве DNS-сервера маршрутизатора. Это включало атаки «человек посередине», которые могут украсть личную информацию любого, кто подключается через маршрутизатор. «Эти атаки не могут быть нацелены на отдельных людей, - отметил Галлоуэй, - но вы можете нацеливаться на конференции, места рядом с военными базами, корпоративные офисы». Обращаясь к лейтмотиву Дэна Камински, он сказал: «ICANN делает все возможное, чтобы сделать DNS безопасным. Вы защищаете свой DNS с помощью lulz и пожеланий».

Что ты можешь сделать

Вы все еще можете использовать Airbnb и краткосрочную аренду, но если вы войдете в систему, защитите себя. У Галлоуэя был список предложений. Жесткий код DNS на всех ваших устройствах. Отключить автоматическое обнаружение прокси. Используйте VPN. Отключите Wi-Fi, если на вашем устройстве есть данные сотовой связи. Подключите другие свои устройства к своему телефону в качестве персональной точки доступа (просто отслеживайте использование мобильных данных). Включите двухфакторную аутентификацию везде, где это возможно.

«Это технически, но есть кое-что более важное», - сказал Галлоуэй. «Измените способ взаимодействия. Мой единственный совет - следите за мистером Роботом! Вы подвергнете себя большей безопасности, чем 99 процентов населения. Вы будете в числе первых одного процента!»

Что могут сделать владельцы недвижимости

Если посетители вашего проката Airbnb приходят домой с вредоносными программами, они не дадут вам хороший обзор. И вы вполне можете положиться на эту же сеть самостоятельно, если ваша аренда - это просто комната в вашем доме. «Мой единственный лучший совет, - сказал Галлоуэй, - это удалить физический доступ. Заблокируйте маршрутизатор в шкафу или в защищенной комнате. Заблокируйте его в электронном корпусе. Я говорю это хакерам, и они говорят, ха, я могу выбрать этот замок через пять минут. Да. Дело не в том, чтобы создать идеальную безопасность, а в том, чтобы люди были честными ».

«Можно даже подумать, не предлагая Wi-Fi», - продолжил Галлоуэй. «Или получите отдельную линию с низкой пропускной способностью только для гостей. Это бизнес-расходы. Регулярно выполняйте резервное копирование и восстанавливайте настройки маршрутизатора. Добавьте раздел безопасности в Интернете в свое гостевое руководство».

Хороших новостей нет

«Я не могу оставить вас с хорошими новостями», - заключил Галлоуэй. «Проблема не исчезает. Каждый год, начиная с 2011 года, был« годом нарушения », в основном из-за SQL-инъекций. А SQL-инъекция существует с 1998 года. Патчей, обновлений или простых исправлений нет».

Все, что я могу сказать, вау. Если вы хотите получить полную техническую информацию о том, хотите ли вы лучше защитить себя или стать хакером домашнего роутера, прочитайте полную презентацию Galloway.