Video: Quitando contraseña por Backdoor (Puerta Trasera) (Noviembre 2024)
¿Cuántas personas escucharon al Black Hat hablar sobre las cuentas de puerta trasera presentes en los escáneres utilizados por muchos aeropuertos en los Estados Unidos y pensaron: "¿Cómo voy a volar de regreso a casa después de esto?" Sé que lo hice.
Muchas de las máquinas implementadas en los puntos de control de seguridad del aeropuerto tienen cuentas integradas con contraseñas predeterminadas que pueden ser abusadas, dijo Billy Rios, director de inteligencia de amenazas en Qualys, a los asistentes a la conferencia de Black Hat el miércoles. En este caso, la preocupación es que los atacantes puedan usar las cuentas como una puerta trasera para obtener acceso al sistema.
Las cuentas incrustadas en los escáneres no se agregaron como puertas traseras maliciosas. A los fabricantes les gusta crear cuentas integradas con contraseñas codificadas para fines de mantenimiento y soporte. Si bien son convenientes, estas cuentas plantean problemas cuando los administradores ni siquiera saben que existen, y ni siquiera pueden cambiar las contraseñas a otra cosa.
Ríos descubrió que se podía acceder a algunos de estos escáneres de aeropuerto desde Internet pública. Combine el hecho de que estos sistemas estuvieron expuestos y las cuentas de puerta trasera tenían contraseñas predeterminadas codificadas, y las implicaciones son un poco aterradoras. Si el atacante tiene acceso al escáner de forma remota, ¿puede manipular los resultados de la prueba?
Esta charla se basó en el sistema de detección de residuos y explosivos Itemiser 3 de Morpho Detection utilizado para buscar rastros de narcóticos y explosivos en el equipaje, y el sistema de reloj de tiempo Kronos 4500. Rios encontró alrededor de 6, 000 sistemas Kronos en Internet público, pero afortunadamente solo dos se habían implementado en los aeropuertos. Uno ha sido eliminado y el otro todavía está en línea y en uso, dijo Rios.
El ICS-CERT del Departamento de Seguridad de Holemand emitió un aviso sobre la falla de Itemiser el 24 de julio.
El otro aspecto desconcertante de la charla fue el hecho de que la Agencia de Transporte y Seguridad no estaba validando las características del producto y verificando que el sistema funcionara como se comercializa. Los hospitales incluyen evaluaciones de seguridad como parte del proceso de adquisiciones. ¿Por qué eso no está sucediendo con la TSA?
"Eso es lo que me gustaría ver que haga la TSA. Busque antes de aceptar un producto y busque una contraseña de puerta trasera sin depender de la buena voluntad de los vendedores" para cambiar la contraseña, dijo Rios.
