بر اساس تجزیه و تحلیل ما از آسیب پذیری های ZKTeco، ما خطرات مرتبط با احراز هویت بیومتریک را تشریح می کنیم.
سازمان‌ها احراز هویت بیومتریک را برای بهینه‌سازی کنترل دسترسی و افزودن یک عامل احراز هویت اولیه یا کمکی برای دسترسی به سیستم‌های اطلاعات شرکتی اتخاذ می‌کنند. بیومتریک برای این کار عالی است: چنین داده هایی را نمی توان مانند یک رمز عبور فراموش کرد، یا مانند یک کلید از دست داد، و جعل آنها بسیار سخت است. امنیت دیگر مجبور نیست با کارت های گم شده یا فراموش شده سر و کار داشته باشد و تیم امنیت فناوری اطلاعات نیازی به ارائه سیستم های OTP ندارد. با این حال، تعدادی “اما” وجود دارد که باید هنگام ارزیابی چنین پیاده سازی هایی در نظر گرفت:
- خطرات مربوط به ذخیره و پردازش اطلاعات بیومتریک (که توسط قانون در بسیاری از کشورها تنظیم می شود)؛
- مشکلات عملی مربوط به موارد مثبت و منفی کاذب (به شدت به نوع بیومتریک و ابزار تأیید بستگی دارد).
- خطرات دور زدن احراز هویت؛
- خطرات حملات سایبری از طریق آسیب پذیری در ترمینال بیومتریک.
دو نقطه اول معمولا توسط پرسنل امنیتی پوشش داده می شود، اما بقیه اغلب دست کم گرفته می شوند. با این حال، همانطور که مطالعه عمیق ما در مورد پایانه های بیومتریک محبوب ZKTeco نشان می دهد، به هیچ وجه دور از ذهن نیستند. این پایانه‌ها دارای 24 آسیب‌پذیری هستند که به عوامل تهدید اجازه می‌دهد بدون زحمت احراز هویت را دور بزنند، دستگاه را ربوده، فهرست کاربران را بخوانند یا تغییر دهند، عکس‌ها و سایر داده‌های آنها را دانلود کنند، و از دسترسی به دستگاه برای توسعه حمله به شبکه شرکتی سوءاستفاده کنند. . در اینجا آمده است که چگونه مهاجمان می توانند از این آسیب پذیری ها استفاده کنند.
کد QR به جای چهره
مدل ترمینال بیومتریک مورد مطالعه توسط کارشناسان ما می‌تواند پایگاه داده‌ای از کاربران را به صورت محلی ذخیره کند و آنها را به یکی از چندین روش احراز هویت کند: رمز عبور، کد QR، بیومتریک عکس چهره، یا مجوز الکترونیکی. همانطور که مشخص شد، به سادگی اسکن یک کد QR حاوی تزریق ساده SQL برای تأیید اعتبار دستگاه و باز کردن درها کافی است. و اگر داده های زیادی در کد QR تعبیه شده باشد، ترمینال راه اندازی مجدد می شود. برای انجام این حملات، مهاجم فقط باید با تلفن یا حتی یک کارت کاغذی به دستگاه نزدیک شود.
دسترسی ناامن به شبکه
ترمینال را می توان به صورت محلی یا از طریق شبکه با استفاده از SSH یا یک پروتکل شبکه اختصاصی با استفاده از پورت TCP 4370 مدیریت کرد. پروتکل نیاز به احراز هویت دارد، اما اجرای رویه حاوی خطاهای جدی است. رمز عبور یک عدد صحیح از 0 تا 999999 است که به راحتی اعمال می شود و مقدار پیش فرض آن البته صفر است. کد احراز هویت پیام (MAC) از عملیات برگشت پذیر استفاده می کند که تجزیه و تحلیل ترافیک شبکه و در صورت لزوم بازیابی رمز عبور از طریق آن را آسان می کند. دسترسی SSH برای کاربران root و zkteco در دسترس است که رمزهای عبور آنها از طریق دسترسی به حافظه دستگاه قابل بازیابی است.
ربودن دستگاه
سازنده امکان دسترسی به داده های کاربر از راه دور، دانلود عکس ها، آپلود کاربران جدید و غیره را فراهم می کند. با توجه به اجرای ناامن پروتکل اختصاصی، این خطر نشت داده های شخصی، از جمله بیومتریک را ایجاد می کند. عوامل تهدید همچنین می توانند اشخاص ثالث را به پایگاه داده اضافه کرده و کارمندان قانونی را حذف کنند.
علاوه بر این، خطاها در پردازش دستورات پروتکل، گزینه‌های بیشتری را به مهاجمان می‌دهند، مانند تزریق دستورات سیستم پوسته یونیکس به دستورات پردازش تصویر و خواندن فایل‌های سیستم دلخواه در ترمینال، درست تا رمز عبور /etc/shadow.
علاوه بر این، آسیب‌پذیری‌های سرریز بافر در فرمان به‌روزرسانی میان‌افزار امکان اجرای کد دلخواه را در دستگاه می‌دهد. این فرصت های جذابی را برای مهاجمان ایجاد می کند تا حضور خود را در شبکه گسترش دهند. از آنجایی که ترمینال بیومتریک هیچ عامل EDR یا سایر ابزارهای امنیتی نخواهد داشت، برای عملیات شناسایی و مسیریابی ترافیک بین دستگاه های در معرض خطر بسیار مناسب است – البته اگر ترمینال خود بدون محدودیت اضافی به شبکه داخلی متصل باشد.
نحوه کاهش خطرات حملات از طریق پایانه های بیومتریک
دستگاه های ZKTeco در سراسر جهان با نام های تجاری مختلف استفاده می شوند. اگر دستگاه‌های موجود در تصویر شبیه دستگاه‌های موجود در دفتر شما هستند، ارزش آن را دارد که سفت‌افزار را به‌روزرسانی کنید و تنظیمات را به دقت بررسی کنید تا ایمن‌تر شوند. در هر صورت، ایرادات مختلف در پایانه های بیومتریک بدون توجه به سازنده خاص باید در نظر گرفته شود. ما اقدامات زیر را توصیه می کنیم:
- تامین کننده ترمینال بیومتریک را با دقت انتخاب کنید. تجزیه و تحلیل اولیه از آسیب پذیری های شناخته شده قبلی در تجهیزات آن و زمان صرف شده برای از بین بردن آنها انجام شود. اطلاعاتی در مورد شیوه‌های مهندسی نرم‌افزار تأمین‌کننده درخواست کنید، و اولویت را به تولیدکنندگانی بدهید که از چرخه عمر توسعه امن (SDL) استفاده می‌کنند. همچنین توضیح دقیقی از نحوه ذخیره اطلاعات، از جمله بیومتریک، درخواست کنید.
- بر تنظیمات تجهیزات مسلط شوید و از امن ترین پیکربندی استفاده کنید. توصیه می کنیم روش های احراز هویت غیر ضروری و ناامن و همچنین سرویس ها و ویژگی های استفاده نشده را غیرفعال کنید. همه اعتبارنامه های پیش فرض را به گذرواژه های قوی و منحصر به فرد برای همه مدیران و کاربران ترمینال بیومتریک تغییر دهید.
- اتصالات و رابط های غیرضروری روی ترمینال را به صورت فیزیکی مسدود کنید تا برخی از بردارهای حمله حذف شوند.
- ترمینال ها را در فرآیندهای مدیریت آسیب پذیری و به روز رسانی بگنجانید.
- شبکه را ایزوله کنید اگر پایانه ها به شبکه محلی وصل شده و به یک سرور مدیریتی متصل هستند، توصیه می کنیم آنها را به یک زیرشبکه فیزیکی یا مجازی (VLAN) جداگانه منتقل کنید تا دسترسی به پایانه ها از رایانه ها و سرورهای معمولی منتفی شود و بالعکس. برای پیکربندی دسترسی، توصیه می کنیم از یک ایستگاه کاری دسترسی ممتاز جدا شده از فعالیت عادی شبکه استفاده کنید.
- تله متری از پایانه ها را به عنوان منبع اطلاعاتی برای سیستم SIEM و سایر ابزارهای نظارتی مستقر شده در نظر بگیرید.
ترجمه:
پیشگامان تجارت امن ایرانیان