プログラマー (そしてアーティスト）ブラノン・ドーシーは、危険性について魅力的でかなり専門的な記事を書き上げました。DNSの再バインド先日。あるサイト (たとえば、詐欺サイト) が別のサイト (銀行) にリクエストを送信して、アカウントを流出させたり、資格情報を操作したりするのを防ぐために Web ブラウザーがどのように機能するかに少しでも興味があるなら、一読の価値があります。サイトの明示的な許可）。
彼の研究は主に次のことに焦点を当てていました。DNSの再バインド悪意のあるサイト (またはその背後にいる人物) が、Google Home、Roku、スマート サーモスタット、ルーターなどのデバイスを不正に操作できるようにする可能性があります。その結果として、スマート スピーカーの再生を強制する Web サイト以上の問題が発生する可能性があります。トロロロの歌:
Radio Thermostat CT50 および CT80 デバイスには、私がこれまでに見つけた IoT デバイスの中で最も重大な脆弱性があります。これらのデバイスは、現在市場で入手可能な最も安価な「スマート」サーモスタットの一部です。 CVE-2013–4860 によってセキュリティが欠如していると知らされた後、私は遊ぶために 1 台を購入しました。CVE-2013–4860 では、デバイスには認証形式がなく、ネットワーク上の誰でも制御できると報告されていました。 [...]
その仮定は正しかったことが判明し、サーモスタットの制御 API により、DNS 再バインディングの悪ふざけに対する扉が大きく開かれたままになりました。建物のサーモスタットがリモートの攻撃者によって制御された場合、どのような損害が発生するかはおそらく明らかです。でのPoC
https://rebind.network
目標温度を 95°F に設定する前に、サーモスタットからいくつかの基本情報を抽出します。その温度は、夏の間、高齢者や障害のある乗員にとっては危険、または致命的になる可能性があります。言うまでもなく、休暇中にデバイスが標的にされた場合、帰宅すると莫大な光熱費がかかる可能性があります。
ドーシー氏は、DNS リバインディング攻撃が機能しないようにするために、多くの主要なデバイス メーカーに何らかのパッチやアップデートを提供するよう求めていますが、(おそらく) そうでないデバイスをロックダウンするために、今すぐいくつかの手順を実行する必要もあります。安全な無線ルーター。 Dorsey 氏は次のように述べています。「ただし、これまでのところ、DNS リバインディングの研究をルーターに適用することからほとんど遠ざかっていることを付け加えておきます。主に、怖くて見ることができないからです 😨。」
セキュリティを強化するには、ルーターのこれらの設定を変更してください
ルーターに付属していた場合あらゆる種類のデフォルトのログインWeb ベースの UI は、スマートフォンやタブレットのアプリを使用してセットアップする高級なメッシュ ルーターを所有している場合はおそらく当てはまりませんが、それは今すぐ変更したいことです。共通のログイン名とパスワードを共有するデバイスほど安全ではないため、すでに変更しているはずです。同社が製造する他のすべてのデバイス。
ルーターの設定 (Web ベースまたはアプリベース) または同様の一般的な設定にログインするときにユーザー名とパスワードに「admin」と「admin」を入力している場合は、今すぐ両方を変更してください。 「Routermaster81」と「password123jk」などのように、一意の値にします。
ルーターの設定メニューを開いたので、UPnP を扱うセクションを探してください。これはルーターのメイン設定メニュー内で簡単にラベル付けされているか、詳細設定メニューのどこかに埋もれているオプションである可能性があります。存在する場合は、それがどこにあるかを調べるために (またはルーターのマニュアルを参照して) 調べてください。そして、それを見つけたら、UPnP をオフにすることを検討してください。ドーシーは次のように書いています。
「これらの UPnP サーバーは、HTTP 経由でネットワーク上の未認証のマシンに対するルーター構成を管理者と同様に制御できます。ネットワーク上のすべてのマシン、または DNS 再バインドを介したパブリック インターネットは、IGD/UPnP を使用してルーターの DNS サーバーを構成し、NAT および WAN ポート マッピングを追加および削除し、ネットワーク上で送受信されたバイト数を表示し、ルーターのパブリック IP アドレス (確認してください)
upnp-hacks.org
詳細については)。
ゲーム サービスや BitTorrent クライアントなど、使用する特定のソフトウェアでは、効果的に動作させるためにルーターのポートを手動で転送する必要がある場合があります。どちらかのヘビーユーザーであれば、利便性のためにセキュリティを犠牲にしたくないかもしれません。また、ラップトップを使用して Web を閲覧したり、友人とチャットしたりするだけの場合は、おそらく UPnP を有効にする必要はありません。さらに悪いことに、この機能がないと (またはお気に入りのアプリが) 非常に残念に思う場合はいつでも有効にできます。
ドーシー氏も提案するルーターの DNS を OpenDNS などのサービスに切り替える、ISP の DNS を使用するのではなく、次のように使用できます。OpenDNSDNS 応答から疑わしい IP アドレスをフィルタリングして除外します。
(無料の) OpenDNS アカウントを開設するプロセスを完了したと仮定すると、ルーターを使用できるように設定しますであり、OpenDNS のソフトウェア (窓またはmacOS)、OpenDNS にアクセスしてください。設定ページをクリックし、ネットワークの IP アドレスをクリックします。そこから、左側のサイドバーにある「セキュリティ」をクリックし、「内部 IP アドレスをブロックする」がチェックされていることを確認します。 「すべてのネットワークに適用」にチェックを入れて「適用」ボタンをクリックします。
すべて完了したら、チェックしてくださいウェブサイトDorsey は、接続されている「スマート」デバイスが依然として脆弱かどうかを確認するのに役立つツールを作成しました。
