Více než 50 výrobců používá stejné HTTPS certifikáty a SSH klíče

Více než 50 různých výrobců používá stejné HTTPS certifikáty a SSH klíče. Byly analyzovány obrazy firmwaru více než 4000 zařízení (routerů, IP kamer, VoIP telefonů, modemů, atd.) od více než 70 výrobců. Zjistilo se, že některé certifikáty se nacházejí i na půl milionu zařízení [CSIRT.CZ].

27.11.2015 20:45 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[Kudla]

Spočítal někdo taky, kolik by stálo vše podepsat trusted CA?

[axa]

Proč trusted CA? O to přece tady vůbec nejde.

[R]

Staci vygenerovat v kazdom zariadeni novy nahodny kluc.

BTW. Skumal som jeden router, kde kazdy kus ma admin heslo aj WPA kluc vygenerovany a vytlaceny na stitku. Admin heslo sa generuje z MAC adresy, WPA kluc z IMEI - vsetko bez nahody, nejakou vlastnou binarkou, takze bezpecnost pochybna (z lokalnej siete nulova - MAC adresu mame, staci cracknut algoritmus alebo spustit binarku v emulatore). Nastastie ale nie je administracia pristupna zvonku.

[Salamek]

Ja tohle proste nechapu... jak moc dementni lidi k temhle vecem vubec pousti ? Daji si tu praci aby zaridili unikatnost klicu pro zarzieni a pak to pohnoji tak ze klice generuji z verejne ze site dostupnych infromaci ?! To se na to mohli rovnou vykaslat a davat vsude admin:admin usetrili by na vyrobe a ucinost by to melo stejnou... kdyby to prisolili casem generovani nebo blbym rand()...

Ale uplne nej reseni je pouzivat admin:admin (takze clovek nemusi pri prvni konfiguraci lovit pristupove udaje) a pri prvnim prihlaseni do administrace uzivatele donutit at si zmeni heslo (jine nez predchozi, o urcite min delce) a bez toho ho nikam dal nepustit dokud to neudela...

[R]

Mne sa to celkom hodilo, pretoze mame tych zariadeni vela a su umiestnene po celej SR. Keby bolo kazde heslo skutocne nahodne, tak je vzdialena sprava nemozna, resp. by musel niekto vsetky hesla zozbierat alebo zmenit.

Takto sa pripojim na PC za routerom (cez VPN) a po lokalnej sieti sa na router dostanem.

[Petr Ježek]

Protože manažeři jsou intoxikováni penězi na úkor selského rozumu a smyslu pro odpovědnost.

[pavlix]

Staci vygenerovat v kazdom zariadeni novy nahodny kluc.

Ve skutečnosti stačí žádný klíč předem negenerovat. :)

[pavlix]

Proč?

[Filip Jirsák]

Spočítal. 0 Kč, protože takové certifikáty žádná důvěryhodná CA podepsat nemůže. To jsou zařízení, která si zapojíte někam do své sítě, často nemusí mít veřejnou IP adresu a často nemají ani přiřazený DNS název. Takže bůhví, co je v tom certifikátu vlastně za názvy.