Lue uutinen mobiilisivustolla

Laajasti käytetty softa sählää salasanat

Ei ole tiedossa, onko Mars-mönkijä haavoittuva.
Kuva: NASA/JPL-Caltech/Cornell University

4.8.2010 16:45 Mars-mönkijöitä, sotakoneita sekä eri printtereitä ja palomuureja yhdistää sama käyttöjärjestelmä VxWorks. Tutkija kaivoi esiin haavoittuvuuksia, jotka ovat hänen mukaansa vasta "jäävuoren huippu".

Ennenkin esillä ollut tietoturvatutkija HD Moore raportoi kahdesta haavoittuvuudesta sulautetuissa järjestelmissä yleisesti käytetyssä VxWorks-käyttöjärjestelmässä.

Suomen Cert-fi selvittää faktat lyhyesti. Ensimmäinen haavoittuvuus liittyy käyttöjärjestelmän vakiona päällä olevaan debug-toiminnallisuuteen. Se mahdollistaa hyökkääjän koodin suorittamisen lähettämällä laitteelle udp-paketteja. Haavoittuvuus mahdollistaa myös käyttöjärjestelmän muistin sisällön tutkimisen.

Toinen haavoittuvuus on käyttöjärjestelmän vakiona käyttämässä tiivistealgoritmissa, Cert-fi jatkaa. Suunnitteluvirheen seurauksena useat eri salasanat tuottavat saman tiivisteen, jolloin salasanojen murtaminen yritys/arvaus-menetelmällä onnistuu paljon nopeammin, tutkija Mooren mukaan jopa vain puolessa tunnissa.

Löytyy
Marsistakin

Moore korostaa VxWorksin mitä moninaisinta käyttöä. Se oli hänen mukaansa suosituin sulautettu käyttöjärjestelmä vuonna 2005 ja on päässyt esimerkiksi Marsin Opportunity- ja Spirit-mönkijöihin.

Muita tunnettuja käyttöjärjestelmän hyödyntäjiä ovat Wikipedian mukaan esimerkiksi Hondan Asimo-robotti, BMW:n iDrive-järjestelmä ja Apache Longbow -taisteluhelikopteri.

HD Moore ei kuitenkaan sano, että nämä mainitut tuotteet olisivat haavoittuvia. Pitkät listat potentiaalisesti haavoittuvista ja haavoittuviksi jo tiedetyistä valmistajista on julkaistu internetissä.

Joukossa on muun muassa Apple, Canon, Cisco, Ericsson, Huawei, Xerox ja Nokia, joka on korjannut debug-aukon. Salasana-aukon pätevyydestä Nokian tuotteisiin ei ole tietoa.

Jos valmistaja ei ole vielä korjannut ongelmaa, Cert-fi tarjoaa rajoituskeinoja.

Lisää aukkoja
luvassa

VxWorks-alustan on kehittänyt Wind River Systems, joka on nykyään suoritinyhtiö Intelin omistuksessa. Käyttöjärjestelmän tavallisempia käyttökohteita ovat esimerkiksi tulostimet, kytkimet ja tukiasemat.

Tutkija Moore uskoo lisää haavoittuvuuksia löytyvän.

– Nämä kaksi mainittua haavoittuvuutta ovat vasta jäävuoren huippu, ja on paljon työtä jäljellä ennen kuin VxWorks on niin testattu kuin sen on tarpeen olla.

VerkossaHD Mooren blogikirjoitus

VerkossaCert-fi:n tiedote

VerkossaEnsimmäisen haavoittuvuuden tiedote

VerkossaToisen haavoittuvuuden tiedote

Tuomas Linnake
tuomas.linnake@digitoday.fi

Teksti on lisensoitu Creative Commons Nimeä-Ei muutoksia-Epäkaupallinen -lisenssillä.

Kirjoita kommentti

Kommentit (15)

0

0

No huh, huh! Onneksi on windows, jossa tämäkin kaltaisiin uhkiin osattu varautua jo ajoista keppi.

Eikös ne mars-kuvat saatu kutenkin talteen vara-windows softalla!?

Toimintavarmuus ennekaikkea

Lainaa Ilmoita asiaton viesti

# 4.8.2010 17:14

44

6

debuggi on päällä vakiona, koska kyseessä on sulautetut järjestelmä joka tehdään juuri kyseiseen kohteeseen ja ilman debuggia se harvemmin onnistuu. Jos se on jääny päälle, niin vika on kehittäjän, ei järjestelmän.

Tiivistealgoritmi on hieman huono, mutta siitä selviää käyttämällä riittävän pitkiä salasanoja. Liian lyhyet murtuu tuossa 30 minuutissa jos on riittävästi vääntöä, mutta oikein tehty järjestelmä estää useamman arvailun.

Näitä on turha verrata perus deskariin tarkoitettuun järjestelmään.

p.s. kaksi aukkoa monessa vuodessa on aika vähän kun vertaa windowssin keskimäärin 20-30 jatkuvasti avoinna olevaan remoteaukkoon ;)

f

Lainaa Ilmoita asiaton viesti

# 4.8.2010 17:23

5

41

Näitä on turha verrata perus deskariin tarkoitettuun järjestelmään.p.s. kaksi aukkoa monessa vuodessa on aika vähän kun vertaa windowssin keskimäärin 20-30 jatkuvasti avoinna olevaan remoteaukkoon ;)

Miksi sitten vertaat desktopiin!? CE on esim. yleisin autoissa yms. käytetty ja onko siinä aukkoja? ..en muista yhtään.

IE9 ja Bing tulee 2011 nousijat

Lainaa Ilmoita asiaton viesti

# 4.8.2010 17:41

44

5

Näitä on turha verrata perus deskariin tarkoitettuun järjestelmään.p.s. kaksi aukkoa monessa vuodessa on aika vähän kun vertaa windowssin keskimäärin 20-30 jatkuvasti avoinna olevaan remoteaukkoon ;)Miksi sitten vertaat desktopiin!? CE on esim. yleisin autoissa yms. käytetty ja onko siinä aukkoja? ..en muista yhtään.

Kyllä on ja kuka sano, että vertasin deskariin?
CE ei myöskään ole yleisin autoissa ;)
MS on aika marginaalinen sulautetuissa, oli kohde sitten mikä tahansa.

p.s. IE ei nouse ennen kuin oppii näyttämään standardeja sivuja oikein ja bing ei yleisty ennen kuin osaa hakea kunnolla ;)

r

Lainaa Ilmoita asiaton viesti

# 4.8.2010 18:33

41

1

Saattaa olla hyvin pitkälle ihan sama minkälainen salaus on Mars mönkijöiden käyttiksessä. Voipi olla hieman haasteellista ottaa kenenkään ulkopuolisen minkäänlaista yhteyttä mokomaan. Sama kait pätee kameroihin ja pikkutulostimiin.. miten niitä "tietomurretaan?"

Flo

Lainaa Ilmoita asiaton viesti

# 4.8.2010 20:48

0

40

MS on aika marginaalinen sulautetuissa, oli kohde sitten mikä tahansa.p.s. IE ei nouse ennen kuin oppii näyttämään standardeja sivuja oikein ja bing ei yleisty ennen kuin osaa hakea kunnolla ;)

Ferrarihan onkin harvojen herkkua ;) *microsoft.com/industry/manufacturing/automotive/default.mspx
"The Internet Explorer team posted an update on IE9' progress, showing that it's fully W3C Web Standards compliant so far." *neowin.net/news/internet-explorer-9-preview-is-fully-html5-compliant

Bingaa ja hämmästy mummo!

Lainaa Ilmoita asiaton viesti

# 4.8.2010 21:31

40

0

aina on hauskaa kun koittaa nostaa rahaa tililtä pankkiautomaatti vetää bsod ja sitten vaan oottelee kun huoltomies ottaa kortin taas koneesta... 2 kertaa käyny jo 6v aikana :D

:D

Lainaa Ilmoita asiaton viesti

# 4.8.2010 21:31

53

0

Ferrarihan onkin harvojen herkkua

"Ferrari uses a Linux-based embedded system."

Aukoista Secunia sanoo näin:
"Windows CE: Highly Critical, 87 unpatched vulnerabilities"

Faktaa MS-trollille

Lainaa Ilmoita asiaton viesti

# 5.8.2010 1:22

47

3

Nyt lähti Nokian luurit pöytälaatikkoon. Aika vastuutonta ettei Nokia itse ole tiedottanut asiakkaille aukosta.

Vaihdan iPhoneen

Lainaa Ilmoita asiaton viesti

# 5.8.2010 8:35

49

0

Ferrarihan onkin harvojen herkkua

"Ferrari uses a Linux-based embedded system."

Aukoista Secunia sanoo näin:
"Windows CE: Highly Critical, 87 unpatched vulnerabilities"

Eihän se bingilla löydä tollaisia, pitää ymmärtää.

Lainaa Ilmoita asiaton viesti

# 5.8.2010 8:40

Sivut: 1 2 Edellinen Seuraava

Kirjoita vastaus

Ohjeet: Pysy aiheessa ja kirjoita napakasti. Muista, että haastateltavilla, kanssakeskustelijoilla ja toimittajilla on oikeus omaan, eriävään mielipiteeseen. Ole kohtelias ja ystävällinen, äläkä tarkoituksella provosoi tai hauku muita keskustelijoita. Taloussanomat varaa oikeuden poistaa asiattomat viestit. Varauduthan siihen, että linkkejä sisältävät viestit tarkistetaan yksitellen roskapostin suodattamiseksi. Arvostamme mielipidettäsi!
Lue koko keskusteluetiketti

Bottivarmistus: mitä on kaksi ynnä viisi?

Viesti Nimi

Uutiset

Poliisi: Ajatus ampumisesta tuli vain hieman ennen veritekoa

• Ampuja keskeytti opinnot ja armeijan
• Pohjois-Korean Kim kävi huvipuistossa ja herkistyi
• Asiantuntija: Punkkipaniikki on jo ylimitoitettua
• Hyvinkään ampumisissa haavoittuneet leikattu – naispoliisi yhä kriittisessä tilassa