Мобильный Wi-Fi-маршрутизатор
M5350 производства компании TP-LINK быстро стал популярным благодаря
возможности простого создания Wi-Fi-сети в «полевых условиях» – при выездах на
природу компании, в которой может оказаться до 10-ти желающих одновременно
подключиться к Интернету.
В этот роутер встроен 3G-модем,
поддерживающий технологию WCDMA, благодаря которой обеспечивается вхождение в
сеть любого оператора сотовой связи посредством установки в модем SIM-карты.
Питание устройства осуществляется штатным аккумулятором емкостью 2000 мАч,
которой достаточно для примерно 10 часов непрерывной работы роутера. В M5350
можно установить карту памяти microSD, используемую в качестве внешнего
накопителя данных, подключение к которому выполняется по USB-кабелю.
Однако все эти несомненные
достоинства мобильного маршрутизатора перечеркиваются его «готовностью»
отослать кому угодно учетные записи для доступа в созданную Wi-Fi-сеть в ответ
на поступивший SMS-запрос. Эту «способность» роутера M5350 выявил технический
эксперт по ИБ германской компании Securai, специализирующейся в области
безопасности приложений, ИТ-оборудования и инфраструктурных устройств. О
«неприятном открытии» исследователь рассказал в докладе, представленном на
прошедшей в начале апреля конференции Security Analyst Summit 2017 (это
мероприятие для специалистов по кибербезопасности ежегодно проводится
«Лабораторией Касперского»).
Исследование ИТ-защищенности
устройства началось с изучения его прошивки, в ходе которого оказалось, что
3G-модем некорректно реагирует на входящие SMS-сообщения, позволяя использовать
так называемый межсайтовый скриптинг. Эту возможность эксперт продемонстрировал
участникам конференции, отправив на M5350 SMS-запрос и получив в ответном SMS
логин и пароль администратора, SSID и пароль сети.
См. также:
Комментарии
Отправить комментарий