I ricercatori di sicurezza Dan Petro e Allan Cecil di Bishop Fox Labs hanno recentemente condiviso le loro scoperte su una vulnerabilità RNG alla base dell'IoT (Internet delle cose) sicurezza. Il difetto critico risiede nei generatori di numeri hardware (RNG) e colpisce 35 miliardi di dispositivi in tutto il mondo.
"Fondamentalmente, ogni dispositivo IoT con un generatore di numeri casuali hardware (RNG) contiene una grave vulnerabilità per cui non riesce a generare correttamente numeri casuali, che mina la sicurezza per qualsiasi uso a monte,"dice il rapporto dei ricercatori.
Al centro della vulnerabilità RNG c'è l'incapacità di generare correttamente numeri casuali, paralizzando così i dispositivi IoT’ sicurezza ed esporli agli attacchi.
Cos'è l'RNG, o generatore di numeri casuali?
Gli RNG sono necessari per la maggior parte delle operazioni relative alla sicurezza eseguite dai computer. Questi genera creano i cosiddetti "segreti" che costituiscono la base della crittografia, controlli di accesso, autenticazione, etc. Il modo in cui vengono generati dipende dall'obiettivo finale. Tuttavia, l'esempio canonico è la generazione di una chiave di crittografia. "Di fatto, in molti casi, i dispositivi stanno scegliendo le chiavi di crittografia di 0 o peggio. Ciò può portare a un crollo catastrofico della sicurezza per qualsiasi uso a monte,"Osserva il rapporto.
Qual è il nucleo della vulnerabilità RNG nei dispositivi IoT?
Apparentemente, come di 2021, la maggior parte dei nuovi sistemi IoT su chip, poco conosciuto come SoCs, contengono una periferica RNG hardware dedicata progettata per risolvere questo problema. Tuttavia, risolverlo è abbastanza complicato, e come risulta, l'attuale standard IoT può essere descritto come "fare male".
Uno dei maggiori pericoli si verifica quando gli sviluppatori non riescono a controllare le risposte del codice di errore, risultando in numeri meno casuali di quanto richiesto per un uso legato alla sicurezza.
Quando un dispositivo IoT richiede un numero casuale, effettua una chiamata all'RNG hardware dedicato tramite l'SDK del dispositivo o sempre più tramite un sistema operativo IoT. Il nome della chiamata di funzione varia, naturalmente, ma si svolge nel livello di astrazione hardware (QUESTIONE).
Queste sono le parti più importanti del livello di astrazione hardware (QUESTIONE):
- Un parametro di output chiamato out_number. Qui è dove la funzione metterà il numero casuale; è un puntatore a un intero senza segno a 32 bit.
- Un valore restituito per specificare eventuali casi di errore. A seconda del dispositivo, potrebbe essere booleano o un numero qualsiasi di condizioni di errore enumerate.
Quasi nessuno controlla il codice di errore della funzione RNG HAL. A seconda dell'hardware, questo potrebbe portare a uno dei seguenti problemi: a corto di entropia, il numero 0, e memoria non inizializzata.
Per esempio, “se provi a chiamare la funzione RNG HAL quando non ha numeri casuali da darti, fallirà e restituirà un codice di errore. Così, se il dispositivo cerca di ottenere troppi numeri casuali troppo velocemente, le chiamate inizieranno a fallire,Dicono Petro e Cecil.
Quali sono le soluzioni alla vulnerabilità RNG?
Poiché le due soluzioni disponibili: interrompere e terminare l'intero processo, e loop rotante sulla funzione HAL - non sono accettabili, gli sviluppatori tendono a ignorare del tutto la condizione di errore.
Perché la vulnerabilità RNG è specifica solo per i dispositivi IoT?, e non laptop e server?
Il problema è unico per il mondo IoT, poiché la gestione dei dispositivi di basso livello è in genere gestita da un sistema operativo che viene fornito con un'API di casualità.
Il rapporto fa anche luce sui vantaggi di un pool di entropia più ampio associato a un sottosistema CSPRNG (Generatore di numeri pseudo casuali con semina continua) che rimuove "ogni singolo punto di errore tra le fonti di entropia".
L'informativa tecnica completa è disponibile nel rapporto originale, dal titolo “Stai facendo IoT RNG".
Lo scorso giugno, una grave vulnerabilità, noto sotto l'advisory CVE-2020-12695, è stato scoperto in un protocollo principale in quasi tutti i dispositivi IoT: l'Universal Plug and Play (UPnP) protocollo. Il difetto, soprannominato CallStranger, potrebbe consentire agli aggressori di assumere il controllo dei dispositivi IoT negli attacchi DDoS. Il bug potrebbe essere sfruttato in altri tipi di attacchi, dove le soluzioni di sicurezza vengono escluse e vengono raggiunte le reti interne.
Milena Dimitrova
Uno scrittore ispirato e un gestore di contenuti che è stato con SensorsTechForum dall'inizio del progetto. Un professionista con 10+ anni di esperienza nella creazione di contenuti accattivanti. Incentrato sulla privacy degli utenti e lo sviluppo di malware, crede fortemente in un mondo in cui la sicurezza informatica gioca un ruolo centrale. Se il buon senso non ha senso, lei sarà lì per prendere appunti. Quelle note possono poi trasformarsi in articoli! Seguire Milena @Milenyim
Seguimi: