P2P 漏洞曝光，数以百万计的物联网设备被入侵！

新的研究发现，数百万安全摄像头和其他消费类电子产品中的点对点（P2P）通信技术在关键的环节中出现安全漏洞，使设备遭受窃听、日志窃取和远程攻击。

地图上显示了大约200万个出现安全漏洞的物联网设备分布

作者 | Brian Krebs

译者 | 虎说，责编 | 屠敏

出品 | CSDN（ID：CSDNnews）

此次安全漏洞主要涉及iLnkP2P，这是由中国深圳云尼科技开发的软件。iLnkP2p捆绑了数百万物联网（IoT）设备，其中包括安全摄像头和网络摄像头、婴儿监视器、智能门铃和数字视频录像机。

iLnkP2P旨在让这些设备的用户能够从世界上任何地方快速轻松地远程访问它们，而无需修改个人的防火墙：用户只需下载移动应用程序，扫描条形码或输入印在其上的六位数ID，即可远程访问对应的设备。

由HiChip制作的网络摄像头

但根据安全研究员Paul、Marrapese与KrebsOnSecurity的深入分析，iLnkP2P设备不提供任何的身份验证或加密，攻击者可以轻松的通过枚举建立与这些设备的连接，同时绕过任何防火墙限制。

Marrapese创建的概念验证脚本确定了全球超过200万个易受攻击的设备的地理位置（见上图），他发现中国拥有39％的易受攻击的物联网设备，另外19％位于欧洲，其中7％在美国。

虽然通过枚举的方法不可能完全罗列出超过一百万个只有六位数ID的设备，但Marrapese指出，每个ID都以一个确定的字母前缀开头，该前缀标识哪个制造商生产了该设备，并且有数十家公司设备支持绑定iLnkP2P软件。例如，HiChip—Marrapese就是我们所说的在中国区的物联网设备供应商，其中占据了近一半易受攻击的设备-使用前缀是FFFF、GGGG、HHHH、IIII、MMMM、ZZZZ。

这些前缀标识了使用iLnkP2P的不同产品系列和供应商。如果你的IoT设备上标记的代码以其中一个开头，则它很容易受到攻击。

“从理论上讲，这些前缀可以枚举出近600万台设备，”Marrapese说。“实际上，通过这些前缀的枚举发现，在2019年3月，在线设备的数量约为1517260。另外，通过列举所有其他供应商的前缀，这个数字达到了200多万。”

Marrapese还构建了一个概念验证攻击，可以通过滥用内置的“heartbeat”功能来窃取设备中的密码。在连接到网络后，iLnkP2P设备将定期向其预配置的P2P服务器发送heartbeat消息，并等待进一步的指示。“P2P服务器会将连接请求指向最近收到的heartbeat消息的来源，”Marrapese说。“只需知道有效的设备UID，攻击者就有可能发出欺诈性的heartbeat消息，这些消息将取代真正的设备发出的任何消息。连接后，大多数客户端将立即尝试以纯文本形式作为管理用户进行身份验证，从而允许攻击者获取设备的凭据。

更糟糕的是，很多人都在出厂默认密码状态下运行。物联网恶意软件Mirai最终证明了这一点，因为它使用了数十家制造商生产的物联网设备的默认凭证，然后Mirai就迅速传播到数百万台设备。

更重要的是，正如我们在Mirai看到的那样，这些物联网设备中内置的固件和软件通常基于多年前的充满安全漏洞的计算机代码，这意味着任何能够与他们直接通信的人都有可能使用恶意软件远程破坏它们。

Marrapese表示，他曾经试图通知中国的CERT（国家互联网应急中心），iLnk以及其他受到影响的六家主要供应商，但他们都没有对他的安全报告作出回应，尽管他在四个多月前就开始接触他们。HiChip和iLnk甚至都没有回应KrebsOnSecurity发出的评论请求。有趣的是，iLnk的官方网站（p1.i-lnk.com）目前似乎无法正常运行，对其HTML源代码的审查表明该网站目前受到模糊脚本的攻击，该脚本试图将访问者重定向到中文游戏网站。

尽管这些漏洞普遍存在影响，但Marrapese的研究表明，供应商的补救措施不太可能解决问题。

Marrapese认为，由于几个原因，这些漏洞的性质使它们极难修复：在制造过程中永久分配的设备UID是不可能的，因此不太可能进行基于软件的修复。此外，即使发布了软件补丁，大多数用户更新其设备固件的可能性也很低。由于相当大的售后挑战，物理设备召回也不太可能。深圳云尼科技是一家上游供应商，由于采用了代理和转售的方式，因此有太多的子供应商。

Marrapese表示，目前暂时没有切实可行的方法来关闭受影响设备上的P2P功能。许多物联网设备可以使用基于硬件的路由器（称为通用即插即用（UPnP））中的功能在防火墙中“打孔”。但是简单地关闭一个路由器上的UPnP并不会阻止设备建立P2P连接，因为它们依赖于称为“UDP打孔”的通信技术。

Marrapese说，通过设置阻止发往UDP端口32100的防火墙规则，应该可以阻止易受攻击的设备与任何P2P服务器进行通信。

然而，一个更安全的想法是避免购买或使用任何宣传使用了P2P功能的物联网设备。因为之前的研究也发现其他的内置了P2P功能的物联网系统中也存在类似的漏洞。

原文：https://krebsonsecurity.com/2019/04/p2p-weakness-exposes-millions-of-iot-devices/

作者简介：Brian Krebs，从1995年到2009年担任华盛顿邮报的记者，为安全博客撰写了1300多篇博客文章。

本文为 CSDN 翻译，转载请注明来源出处。

【END】

作为码一代，想教码二代却无从下手：

听说少儿编程很火，可它有哪些好处呢？

孩子多大开始学习比较好呢？又该如何学习呢？

最新的编程教育政策又有哪些呢？

下面给大家介绍CSDN新成员： 极客宝宝（ID： geek_baby）

戳他了解更多↓↓↓

 热 文推 荐 

☞ 华为库存至少够缓冲一年；张朝阳质疑 5G 微波危害；苹果iOS 13不受支持机型曝光 | 极客头条

☞专访 Unity 高管：深耕游戏、VR/AR，致力为开发者提供极致体验

☞  面对亚马逊和谷歌的争夺战，小企业该如何生存？

☞ 厉害！女学生偷师男子学校，变身区块链开发工程师

☞ 真壕！腾讯员工平均月薪 7 万！

☞ 深扒! 币安被盗的7074.18枚比特币去哪了?

☞ 如何使用「番茄法」高效的写算法题？

☞ 面对互联网一线大厂，这些技术你需要了解！

☞ 刺激！华为 程序员 年薪200万 ？真相让人心酸！

点击阅读原文，输入关键词，即可搜索您想要的 CSDN 文章。

你点的每个“在看”，我都认真当成了喜欢