Gli scanner per aeroporti hanno backdoor degli account, password predefinite

Quante persone hanno ascoltato il Black Hat parlare degli account backdoor presenti negli scanner utilizzati da molti aeroporti negli Stati Uniti e hanno pensato: "Come faccio a tornare a casa dopo questo?" So di averlo fatto.

Molte delle macchine impiegate nei checkpoint di sicurezza degli aeroporti hanno account incorporati con password predefinite che possono essere utilizzate in modo illecito, ha detto Billy Rios, direttore dell'intelligence sulle minacce di Qualys, ai partecipanti alla conferenza di Black Hat di mercoledì. In questo caso, la preoccupazione è che gli aggressori possano essere in grado di utilizzare gli account come backdoor per ottenere l'accesso al sistema.

Gli account incorporati sugli scanner non sono stati aggiunti come backdoor dannose. Ai produttori piace creare account incorporati con password codificate a scopo di manutenzione e supporto. Sebbene convenienti, questi account pongono problemi quando gli amministratori non sanno nemmeno che esistono questi account e non possono nemmeno cambiare le password in qualcos'altro.

Rios ha scoperto che alcuni di questi scanner aeroportuali potevano essere accessibili da Internet pubblico. Combina il fatto che questi sistemi erano esposti e che gli account backdoor avevano password predefinite codificate e le implicazioni sono un po 'spaventose. Se l'attaccante ha accesso allo scanner in remoto, può manipolare i risultati del test?

Questo discorso si basava sul sistema di individuazione di esplosivi e tracce di esplosivi Morpho Detection Itemiser 3 utilizzato per cercare tracce di stupefacenti ed esplosivi sui bagagli e sul sistema di orologio Kronos 4500. Rios ha trovato circa 6.000 sistemi Kronos su Internet pubblico, ma per fortuna solo due erano stati installati negli aeroporti. Uno è stato rimosso e l'altro è ancora online e in uso, ha detto Rios.

Il 24 luglio, il Dipartimento ICS-CERT del Dipartimento della Sicurezza di Holemand ha pubblicato un avviso sul difetto di Itemiser.

L'altro aspetto sconcertante del discorso è stato il fatto che la Transportation and Security Agency non stava convalidando le funzionalità del prodotto e verificando che il sistema funzionasse come commercializzato. Gli ospedali includono valutazioni della sicurezza come parte del processo di acquisizione. Perché ciò non accade con la TSA?

"Questo è quello che mi piacerebbe vedere fare TSA. Prima di accettare un prodotto, cerca una password backdoor senza fare affidamento sulla buona volontà dei fornitori" per cambiare la password, ha detto Rios.