Sikkerhetskrav: De fleste hjemmemoduler som er utsatte for hacking

En ingeniør fra sikkerhetsfirmaet Seismic hevder at han snart vil gi ut instruksjoner om hvordan man kan hacke millioner av trådløse rutere som ofte brukes i Internett-tilkoblinger. Hvordan hackinstruksjonene er, er en del av det som har blitt en årlig brystkasse av høyttalere på Black Hat-sikkerhetskonferansen som hype deres hovedtemaer med slutt-av-PC-sikkerhet-som-vi-vet-det-løfter.

[Videre lesing: Best NAS-bokser for media streaming og sikkerhetskopiering]

Black Hat USA 2010 starter 28. juli i Las Vegas, Nevada.

Ars Technica rapporterer at presentasjonen, med tittelen "Hvordan hakke millioner av rutere" hakke noen ord der, er de?), vil bli gitt på Black Hat av Senior Security Engineer for Seismic Craig Heffner. Heffners presentasjon vil inneholde en live demonstrasjon om hvordan du "poper et eksternt rotskjell på Verizon FIOS-rutere", så vel som en verktøyutgivelse som vil automatisere det angitte angrepet.

Seismic har testet rundt 30 rutere så langt, og har funnet ut at Omtrent halvparten av dem er sårbare for dette angrepet. Listen over sårbare rutere inkluderer rutere fra Linksys, Belkin, ActionTec, ASUS, Thompson og Dell.

Angrepet bruker en gammel teknikk - "DNS-gjenvinning" - i ny emballasje. DNS-gjenoppretting "skifter beskyttelse innbygget i nettlesere som er ment å begrense hvilke skript og HTML som kan gjøres" og tillater angripere å utnytte angripernes nettlesere og gjøre forespørsler fra dem. Hakken utføres når brukeren får tilgang til en nettside styrt av hackeren. Nettstedet bruker kode (Java) for å lure nettleseren til å tro at siden har samme opprinnelse som brukerens datamaskin. Hackeren kan da styre ruteren og få tilgang til maskinene på brukerens nettverk.

Ifølge Black Hat-nettstedet kan dette bestemte DNS-gjenopprøringsangrep omgå eksisterende DNS-beskyttelsesbeskyttelse fordi det ikke krever at angriperen kjenner ruterenes konfigurasjonsinnstillinger (fabrikat, modell, intern IP-adresse, vertsnavn) og det er ikke avhengig av anti-DNS-pinningsteknikker.

For tiden er det i henhold til Heffner den beste måten å bekjempe dette potensielle angrepet på å overraske, overraskelse - endre rutens standardpassord. Men til ruteren-produsentene går opp og oppdaterer fastvaren, handler det om alt du kan gjøre (eller få en ny ruteren). Heffner mener at selskapene har hatt god tid til å fikse dette hullet (og de har ikke), og derfor er den eneste måten å knuse dem i handling, å gi en presentasjon om hvordan man skal ha en million rutere.