Výzkumníci ze společnosti Red Balloon oznámili dvě zranitelnosti objevené v routerech řady Cisco 1001-X. Zranitelnosti v aktivních síťových zařízeních Cisco nejsou novinkou, ale faktem. Cisco je předním výrobcem routerů a dalších síťových zařízení, takže bezpečnost jejích produktů je obzvláště zajímavá jak pro specialisty na bezpečnost dat, tak pro útočníky.
S ohledem na budoucnost poznamenáváme, že specialisté společnosti Red Balloon informovali společnost Cisco o nových zranitelnostech již před několika měsíci, takže problém byl vyřešen, nebo alespoň Cisco ví, jak ho opravit. Jedna ze dvou zranitelností se dá poměrně snadno opravit – aktualizací firmwaru, kterou společnost včera vydala, uvádí online publikace. To se týká chyby nalezené v operačním systému Cisco IOS, která útočníkovi umožňuje získat root přístup k routerům této řady.
Druhá zranitelnost je podle výzkumníků něco zvláštního a extrémně nebezpečného. Ovlivňuje bezpečnostní základy stovek milionů síťových zařízení společnosti, od routerů po přepínače a firewally. Specialistům společnosti Red Balloon se podařilo obejít hardwarovou ochranu společnosti Cisco, Trust Anchor. „Trust Anchor“, jak lze tento termín přeložit, je vývojem proprietárních modulů pro kontrolu integrity hardwaru společnosti (dříve ACT). ACT byl implementován na ochranu před paděláním a později se vyvinul v modul pro monitorování integrity softwarové komponenty síťových zařízení Cisco. Dnes je Trust Anchor přítomen ve všech aktivních síťových zařízeních společnosti. Není těžké si představit důsledky kompromitace Trust Anchor. Sítě provozující zařízení Cisco již nebudou důvěryhodné.
Výzkumníci našli způsob, jak obejít Trust Anchor. Napadený hardware nadále informoval klienty, že s ním nikdo nic neměnil, zatímco si s ním vědci dělali, co chtěli. To mimochodem vyvolává otázky ohledně osudu podobných vývojů společností ARM (TrustZone), Intel (SGX) a dalších podobných hardwarových bezpečnostních metod pro výpočetní platformy. Zdá se, že se jedná o řešení, jak zalepit díry v architekturách procesorů. Důvěryhodný čip nebo modul v čipové sadě by mohl zlepšit zabezpečení počítače proti hackerským útokům. V praxi se díra nebo způsob, jak obejít ochranu, našla i v řešení, které je extrémně omezené a obvykle možné pouze v proprietárních výrobních prostředích.
Tato poslední okolnost bude důležitá pro uzavření mezer spojených s kompromitovanými moduly Trust Anchor. Ačkoli společnost Cisco slíbila vydat záplaty, které by řešily identifikovanou zranitelnost Trust Anchor pro všechna svá zařízení, stažení aktualizace nemusí problém vyřešit. Podle společnosti Cisco to bude vyžadovat „lokální přeprogramování“, což znamená, že vzdálené aktualizace budou nemožné. Ti, kteří se starají o sítě Cisco, mají co dělat. A blížící se léto s tím nemá nic společného.
Zdroj: 3dnews.ru
