Juniper odkril stranska vrata v svoji opremi

Juniper je v svojih požarnih zidovih odkril ranljivosti, ki jih je tja nekdo namerno nastavil. Kot so minuli teden sporočili v izjavi za javnost, so pri pregledu kode odkrili dvoje stranskih vrat, ki poučenemu napadalcu omogočajo administratorski dostop do naprav NetScreen in dešifriranje VPN-povezav. Popravek je že na voljo.

Drugi največji proizvajalec mrežne opreme na svetu (večji je le Cisco) je v operacijskem sistemu ScreenOS v verzijah od 6.2.0r15 do 6.3.0 odkril ranljivosti, ki tam tičita vsaj od avgusta 2012. Ni znano, kdo je luknjo podtaknil v kodo. Ena izmed ranljivosti je omogočala administratorski dostop do opreme, saj je bil v kodo vprogramirano (hard-coded) geslo za dostop. Pri uporabi te ranljivosti bi v dnevniški datoteki sicer videli obvestilo, da se je z geslom uspešno prijavil sistem, če seveda napadalec ne bi pobrisal dnevnika. Strokovnjaki ocenjujejo, da te ranljivosti v kodo ni vpisala NSA, ker je bila izvedba površna. Vpis nespremenljivega gesla v kodo je nevarna rešitev, ker lahko taka stranska vrata izkorišča kdorkoli, ki za ranljivost izve.

Druga ranljivost je precej bolj premetena in diši po ameriškem vmešavanju. Namerno oslabljen šifrirni protokol za VPN namreč poučenemu hekerju omogoča dešifriranje prestreženega prometa, četudi nima šifrirnih ključev. To pomeni, da je taka ranljivost uporabna zlasti za sile, ki nadzorujejo večje kose interneta in prestrezajo promet. Na prvem mestu osumljencev zato najdemo ZDA.

Juniper je seveda takoj izdal popravke, a to mimogrede pomeni, da so vsi nezakrpani sistemi sedaj bolj ranljivi. Sedaj vsi ne le vedo, da ranljivost obstaja, temveč jim popravek omogoča sorazmerno enostaven vzvratni inženiring, s katerim je mogoče ugotoviti točno mesto ranljivosti.

Nemogoče je dokazati, kdo je ranljivosti vsadil v kodo in še posebej kdo ju je uporabljal. Najbolj zaskrbljujoče je, da lahko takšne namerne luknje lahko pobegnejo izpod nadzora. Če zanje izvedo nepridipravi, jih bodo seveda molče izkoriščali tudi ti.

Wired.