Come proteggersi dalle backdoor nei router?

4

Recentemente, ho iniziato a cercare un router wireless. Prima di considerare prodotti specifici, ho cercato alcune informazioni generali sui diversi marchi che offrono tali router. Con mia grande sorpresa, ho appreso che la stragrande maggioranza dei produttori di router ha una storia di backdoor scoperti nei loro prodotti.

Sulla base di questa nuova conoscenza, mi sembra che evitare router con backdoor non sia realmente fattibile e invece di (o meglio, in aggiunta a) scegliere con cura un router, devo affrontare la possibilità che finisca per avere un prodotto con backdoor. La domanda diventa quindi, come si può mitigare i rischi associati a potenziali backdoor che si nascondono nell'attrezzatura del router?

Non sono agenzie governative di cui sono preoccupato, ma gli hacker che sfruttano le vulnerabilità di sicurezza che si trovano nelle apparecchiature di rete, come in questa domanda recente . E una backdoor è fondamentalmente una vulnerabilità di sicurezza intenzionale che implora di essere trovata e sfruttata da qualcuno e, a causa della sua natura intenzionale, quella che i produttori di router sarebbero riluttanti a risolvere.

    
posta Zoltan 12.03.2018 - 23:05
fonte

3 risposte

7

La maggior parte delle backdoor del router di cui sono a conoscenza sono state risolte abbastanza velocemente. Che ci crediate o no, i produttori di router di solito non mettono la "backdoor" lì apposta - almeno non a livello organizzativo. Quasi certamente, vengono inseriti come strumento di debug e destinati a essere rimossi prima della produzione o collocati lì da un dipendente canaglia. (Quale vantaggio c'è per un produttore di avere una backdoor? Se vogliono fare qualcosa, possono farlo tramite gli aggiornamenti del firmware. Inoltre, la rete non è così interessante per loro.)

Non so se "vasta maggioranza" sia una descrizione accurata, ma non cavillerò la semantica. Hai chiesto come proteggerti, e qui ci sono alcune opzioni:

  1. Il tuo dispositivo perimetrale (ovvero, il primo passaggio da Internet alla tua LAN) è affidabile. Considerare un Unifi Security Gateway o Netgate SG-1000 sul perimetro. Entrambe le società vendono alle imprese, ma anche i prezzi dei prodotti che possono essere ragionevoli per l'utente esperto a casa. Hanno una reputazione da mantenere e attualmente la reputazione è abbastanza buona.
  2. Considera un router che ti consente di eseguire OpenWRT o DD-WRT. Queste codebases, pur non essendo immuni dalle vulnerabilità, sono almeno aperte e riducono il rischio che le backdoor vengano inserite in esse.
  3. Non esporre l'interfaccia web a Internet. Backdoor o no, questo è dove c'è un'enorme proporzione di bug. Usa una scansione nmap da Internet per vedere quale esposizione hai.
  4. Utilizza una subnet non predefinita e cambia la porta per l'interfaccia web. Lo so, lo so, sicurezza per oscurità, ma in realtà aiuta gli exploit che usano il rebinding DNS o tecniche simili. (Questo è solo utile contro lo sfruttamento automatico, non aspettarti che sia utile contro un utente malintenzionato.)
  5. Non fidarti mai della rete. Anche se hai forti controlli di sicurezza, pratica la difesa in profondità. Utilizza TLS e non fare clic sugli errori del certificato. In questo modo, anche se il tuo router è spuntato, diventa solo una negazione del servizio anziché un compromesso più significativo.
risposta data 13.03.2018 - 00:47
fonte
3

La prima decisione non è l'uso di un router fornito da un ISP in quanto è probabile che siano costruiti in una back door per se stessi.

Per quanto riguarda i router di consumo, a mio parere tutti i servizi cloud per l'amministratore del router sono di casa. Alcuni router richiedono un servizio cloud, alcuni hanno un servizio opzionale, alcuni raramente non supportano alcun servizio cloud. I router della rete AmpliFi non dispongono di servizi cloud. Peplink ha un servizio cloud opzionale. Quasi tutti i router mesh richiedono un servizio cloud.

Come per l'accesso remoto direttamente nel router, penso che tutti i router lo disabilitino di default.

Per un router sicuro, personalmente mi piace Pepwave Surf SOHO. Negli Stati Uniti è circa $ 200. Ecco perché link

    
risposta data 15.03.2018 - 18:28
fonte
1

In genere devi scegliere, fidarti di un venditore o costruire qualcosa che puoi verificare. Ciò significa anche che, a meno che tu non abbia le competenze, le conoscenze e il tempo per farlo, dovrai fidarti di terze parti fino ad un certo punto.

Se si desidera trovare marchi / fornitori attendibili, è possibile verificare aggiornamenti tempestivi, aggiornamenti per tutta la durata del dispositivo e il modo in cui il fornitore ha comunicato difetti, bug, problemi di sicurezza e come è stato risolto. La maggior parte dei marchi di consumo in generale fallisce completamente, principalmente a causa della natura "sell-and-forget" della loro attività e della dipendenza dai produttori di whitelabel che spesso forniscono hardware e software e può essere l'unica parte capace di aggiornamenti tecnici.

Se fidarsi di un fornitore per rendere sicuro il software non è un'opzione, progetti come openwrt, ddwrt e lede sono cose da verificare per i punti di accesso wireless (e router integrati se ne hai bisogno), ma suggerirei di suddividerlo dal momento che nessuna singola posizione è ottimale per entrambe le attività). Il routing può essere fatto con qualcosa come pfSense.

    
risposta data 13.03.2018 - 03:15
fonte

Leggi altre domande sui tag