Hvorfor du bør bekymre deg om zombie-apokalypsen varsling

Du har kanskje hørt om alarmkringkastingsvarslingen tidligere denne uken med advarsel om zombier som angriper mennesker.

Ikke få panikk ennå, da det var en bløt. I følge noen publiserte rapporter hackte ukjente gjerningsmenn seg inn i varslingssystemet som ble brukt av flere TV-stasjoner i USA og sendte en falsk varsel om at de "døde stiger opp fra gravene deres." Stasjoner i Michigan, New Mexico og Montana er blant de berørte.

Det vi alle bør være bekymret for, er det faktum at det er kritiske sårbarheter i maskinvaren og programvaren som brukes i disse Emergency Alert System-enhetene, fortalte Cesar Cerrudo, administrerende direktør for sikkerhetsselskapet IOActive, til SecurityWatch via e-post. Mike Davis, IOActives viktigste forsker, har oppdaget en rekke kritiske sårbarheter i EAS-enheter som brukes av mange radio- og TV-stasjoner rundt om i landet, sa han. Disse sårbarhetene vil gjøre det mulig for angripere å eksternt kompromittere enheter og kringkaste EAS-meldinger.

Siden IOActive fant noen av enhetene som er direkte koblet til Internett, tror forskerne det var sannsynlig at angriperne utnyttet noen av disse feilene.

I stedet for å spøke med en zombie-apokalypse, kunne angriperne lett ha sendt ut et varsel om et falskt terrorangrep. "Dette vil virkelig skremme befolkningen, og avhengig av hvordan angrepet utføres, kan det få drastiske konsekvenser, " advarte Cerrudo.

Standard passord og en ulåst dør

"Et" bakdør "-angrep tillot hackeren tilgang til sikkerheten til EAS-utstyret, " skrev ABC 10 stasjonssjef Cynthia Thompson på stasjonens blogg. Thomspon hevdet også at hackeren er blitt "funnet."

"Bakdøren" viste seg å være standard passord, i alle fall for noen enheter.

FCC ga også denne uken et presserende råd til kringkastere om å instruere dem om å distribuere EAS-enhetene bak en brannmur og om å endre standard brukerkontoer og passord. Hvis passordene ikke kan endres, oppfordret rådgivende kringkastere til å koble EAS-enheten fra Internett "til disse innstillingene er oppdatert."

I følge Reuters bekreftet NY-baserte Monroe Electronics at selskapets CAP EAS-enheter var blant noen av boksene som ble kompromittert som en del av denne smaken. Noen av stasjonene hadde ikke endret fabrikkinnstilt standardpassord etter oppsett av enhetene, og hackerne brukte informasjonen fra offentlig tilgjengelige støttedokumenter for å logge inn og sette inn den falske advarselen, melder Reuters.

"De ble kompromittert fordi inngangsdøren ble stående åpen. Det var akkurat som å si 'Gå inn inngangsdøren, '" sa Bill Robertson, en visepresident i Monroe, til Reuters.

Usikre enheter

IOActive tok kontakt med CERT med sine funn for nesten en måned siden, og CERT koordinerer med leverandøren for å løse problemene, sa Cerrudo. IOActive forskere håper problemene blir løst snart slik at de kan diskutere funnene sine på RSAs sikkerhetskonferanse i San Francisco senere denne måneden.

Selv om det mangler mange detaljer om zombie-apokalypsen, er det tydelig at mange EAS-enheter ikke er veldig sikre. Selv om det viktigste formålet med disse enhetene er å kode og avkode meldinger og planlegge at de skal sendes, er de også nettverksenheter med funksjoner som sending og mottak av e-post, vertsfiler og nedlasting av annet innhold fra nettet.

Hvis sikkerhetsfeil i EAS-systemer høres litt kjent ut, er de det. Det er mange paralleller til nylige sårbarheter som er oppdaget i medisinsk utstyr og industrielle kontrollsystemer som driver landets vannsystemer, elektriske nett og produksjonsanlegg. Disse systemene ble opprinnelig utviklet som isolerte systemer, så sikkerhet var ikke et hovedhensyn. Nå som disse enhetene i økende grad blir koblet opp til bedriftsnettverket og til Internett, blir sikkerhetsproblemene iøynefallende åpenbare.

For mer fra Fahmida, følg henne på Twitter @zdFYRashid.