Avoir un stand unique dans une location à court terme? utilisez la protection!

Même les motels les plus secrets offrent maintenant une connexion Wi-Fi gratuite. Nous en sommes venus à l'attendre. Nous attendons donc naturellement le même niveau de service dans une location Airbnb ou autre. Mais il y a une différence, une différence énorme, comme l'a clairement démontré Jerry Galloway, expert en sécurité, dans Black Hat.

Galloway s'est présenté en disant: "Je résous les problèmes de sécurité. Parfois, des ordinateurs sont impliqués." Il fait partie d'un plus grand nombre de communautés de sécurité que celles dont j'avais entendu parler, y compris REDACTED. Et son style de présentation animé, avec des apparitions de Homer Simpson et un Cosmo Kramer époustouflé entre les graphiques et les diapositives, a gardé le public fasciné.

Les locations à court terme sont Yuuge

Galloway a passé du temps à cogner à la maison sur l’importance du marché de la location à court terme. Avec une taille de marché estimée à 100 milliards de dollars par an, il se situe entre toutes les dépenses consacrées aux services de cloud computing (110 milliards de dollars) et les ventes mondiales de cocaïne (85 milliards de dollars). Oh, et l'industrie du jeu à Las Vegas? C'est à peu près 6, 3 milliards.

Il a également déclaré que plus de clients utilisaient Airbnb cet été que l'ensemble de la population grecque, suédoise ou suisse. Avec plus de 2 000 000 d'annonces Airbnb (ou, comme il les appelait, de cibles) dans le monde entier, c'est absolument énorme. "Airbnb est une machine à sous extrêmement populaire", a déclaré Galloway. "Mais une étude a montré que 40% des clients ont admis avoir fouiné dans les maisons visitées. Je le fais! Je vérifie ce qui est verrouillé et ce qui ne l'est pas."

Stands à un réseau

"En tant que professionnels de la sécurité, vous pouvez avoir une impression amusante sur un réseau. Vous avez ce sixième sens de sécurité que la personne moyenne ne comprend pas", a déclaré Galloway. "J'ai une échelle de confiance. Votre réseau domestique personnel, c'est 100%. Un réseau universitaire, eh bien, ils ont la sécurité informatique, mais tous ces étudiants, je dirais 50%. Enfin, ce kiosque d'hôtel aléatoire, c'est zéro Airbnb? Je dirais environ 20%."

Galloway a cité l'analogie d'une calculatrice d'exposition sexuelle en ligne. Prenez le nombre de partenaires que vous avez eu et le nombre de partenaires qu’ils ont eu et vous voyez combien de personnes vous avez été exposées. "Réfléchissez à deux fois avant d'avoir un stand sur un seul réseau", a déclaré Galloway. "C'est une phrase idiote, mais la comparaison de la commodité de négociation pour le risque a beaucoup de sens."

Ce que les pirates peuvent faire

Galloway a traversé une litanie d'attaques basées sur des routeurs au cours des dernières années. DNSChanger, le ver de lune, BlackMoon, tout cela a fonctionné en modifiant à distance les routeurs des victimes. Selon le géant de la sécurité Dan Geer, Galloway a déclaré que la situation du routeur était aussi délicate qu’un déversement d’essence dans un centre commercial fermé. "Quant à moi", a déclaré Galloway, "je dirais que la sécurité du routeur est un fichier de benne à ordures qui fait rage."

Bien sûr, ces attaques devaient en quelque sorte s'infiltrer dans le routeur à distance. Lorsque l'attaquant a un accès physique, comme dans une location à court terme, cela change tout. Galloway a présenté son routeur de signature APT. Non, pas avancé menace persistante; Menace avancée liée aux trombones . "Vous n'êtes pas obligé d'être MacGyver", a déclaré Galloway. "Utilisez un trombone plié pour réinitialiser le routeur et supprimez toute la couche de sécurité. Rien de tout cela ne nécessite d'attaques« jour zéro »ou de code d'exploitation fou.

Cela empire, bien pire. Une personne ayant un accès physique au routeur peut capturer vos données sensibles, modifier des données sécurisées, injecter des données, etc. "Ouais, " dit Galloway, "Ça ne va pas être pire."

Il a ensuite énuméré un nombre incroyable de choses que vous pouvez faire pour pirater un routeur, compte tenu de l'accès physique, qui peut être agaçant ou désastreux. Vous pouvez configurer votre propre appareil en tant qu'administrateur distant et surveiller le routeur plusieurs semaines après votre visite. Vous pouvez extraire tous les mots de passe de l'appareil à l'aide d'un simple outil. Définissez-vous comme un serveur de journaux et vous verrez passivement tout le trafic.

Du côté des plus effrayants, vous pouvez définir votre propre serveur en tant que serveur DNS du routeur. Cela a permis à des attaques d'interception qui peuvent dérober des informations confidentielles à quiconque se connectant via le routeur. "Vous ne pouvez pas cibler des individus avec ces attaques", a noté Galloway, "mais vous pouvez cibler des conférences, des lieux situés à proximité de bases militaires, des bureaux de sociétés". Référençant le discours liminaire de Dan Kaminsky, il a déclaré: "L'ICANN met tout en œuvre pour sécuriser le DNS. Vous protégez votre DNS avec lulz et vos souhaits."

Ce que tu peux faire

Vous pouvez toujours utiliser Airbnb et les locations à court terme, mais si vous vous connectez, protégez-vous. Galloway avait une liste de suggestions de blanchisserie. Hardcode DNS dans tous vos appareils. Désactiver la découverte automatique du proxy. Utilisez un VPN. Désactivez le Wi-Fi si votre appareil contient des données cellulaires. Connectez vos autres appareils à votre téléphone en tant que point d'accès personnel (surveillez simplement l'utilisation des données mobiles). Activer l'authentification à deux facteurs lorsqu'elle est disponible.

"C'est technique, mais il y a quelque chose de bien plus important", a déclaré Galloway. "Changez la façon dont vous vous connectez. Mon seul conseil: observez M. Robot! Vous vous exposez à plus de sécurité que 99% de la population. Vous serez dans le top 1%!"

Que peuvent faire les propriétaires?

Si les visiteurs de votre location Airbnb reviennent avec des logiciels malveillants, ils ne vous donneront pas une bonne critique. Et vous pouvez également compter sur le même réseau si votre location n’est qu’une pièce de votre maison. "Mon meilleur conseil, " a déclaré Galloway, "est de supprimer l'accès physique. Verrouillez le routeur dans un placard ou dans une pièce sécurisée. Verrouillez-le dans un boîtier électronique. Je dis cela aux pirates informatiques et ils me disent cette serrure dans cinq minutes. Oui. Le but n'est pas de créer une sécurité parfaite, mais de garder les gens honnêtes."

"Vous pourriez même envisager de ne pas offrir le Wi-Fi", a poursuivi Galloway. "Ou obtenez une ligne distincte à bande passante réduite réservée aux clients. Il s'agit d'une dépense d'entreprise. Sauvegardez et restaurez les paramètres de votre routeur régulièrement. Et ajoutez une section de sécurité en ligne à votre guide des clients."

Pas de bonnes nouvelles

"Je ne peux pas vous laisser de bonnes nouvelles", a conclu Galloway. "Le problème ne disparaît pas. Chaque année depuis 2011 a été" l'année de la brèche ", principalement à cause de l'injection SQL. Et l'injection SQL existe depuis 1998. Il n'y a pas de correctif, de mise à jour ou de solution simple."

Tout ce que je peux dire c'est, wow. Si vous souhaitez obtenir tous les détails techniques, que ce soit pour mieux vous protéger ou pour devenir un pirate informatique routeur domestique, lisez la présentation complète de Galloway.