Een netwerkstandaard hebben voor een kortetermijnhuur? gebruik bescherming!

Zelfs de meest smerige motels bieden nu gratis Wi-Fi. We zijn het gaan verwachten. Dus verwachten we natuurlijk hetzelfde serviceniveau bij een Airbnb of een andere deeleconomie-verhuur. Maar er is een verschil, een enorm verschil, zoals duidelijk werd gemaakt in een Black Hat-toespraak van veiligheidsexpert Jeremy Galloway.

Galloway stelde zich voor door te zeggen: "Ik los beveiligingsproblemen op - soms zijn er computers bij betrokken." Hij is lid van meer beveiligingsgemeenschappen dan ik ooit had gehoord, waaronder REDACTED. En zijn levendige presentatiestijl, met optredens van Homer Simpson en een verbijsterde Cosmo Kramer tussen grafieken en dia's, hield het publiek geklonken.

Korte termijn verhuur is Yuuge

Galloway bracht wat tijd door met hameren hoe groot de huurmarkt op korte termijn is. Met een marktomvang van naar schatting $ 100 miljard per jaar, komt dit neer op een bedrag tussen alle uitgaven voor cloudservices ($ 110 miljard) en de wereldwijde verkoop van cocaïne ($ 85 miljard). Oh, en de game-industrie in Las Vegas? Dat is ongeveer 6, 3 miljard.

Hij verklaarde ook dat meer gasten deze zomer gebruikten van Airbnb dan de hele bevolking van Griekenland, Zweden of Zwitserland. Met meer dan 2.000.000 Airbnb-vermeldingen (of, zoals hij ze noemde, doelen) wereldwijd, is het absoluut enorm. "Airbnb is een razend populaire geldmachine", zei Galloway. "Maar een onderzoek toonde aan dat 40 procent van de gasten toegaf te snuffelen tijdens hun verblijf in de huizen die ze bezoeken. Ik doe het! Ik kijk om te zien wat vergrendeld is en wat niet."

One-Network staat

"Jullie beveiligingsprofessionals kunnen een grappig gevoel krijgen op een netwerk. Je hebt dit zesde beveiligingsgevoel dat de gemiddelde persoon niet heeft", zei Galloway. "Ik heb een schaal van vertrouwen. Je persoonlijke thuisnetwerk, dat is 100 procent. Een universitair netwerk, nou ja, ze hebben IT-beveiliging, maar al die studenten, ik zou zeggen 50 procent. Eindelijk, die willekeurige hotelkiosk, dat is een nul procent. Airbnb? Ik zou het ongeveer 20 procent noemen."

Galloway wees op een online calculator voor seksuele blootstelling als een analogie. Neem het aantal partners dat je hebt gehad en het aantal partners dat je hebt gehad, en je ziet aan hoeveel mensen je bent blootgesteld. "Denk twee keer na voordat je een stand voor één netwerk hebt", zei Galloway. "Het is een dwaze zin, maar de vergelijking van handelsgemak voor risico is heel logisch."

Wat hackers kunnen doen

Galloway heeft de afgelopen jaren een hele reeks routergebaseerde aanvallen doorstaan. DNSChanger, de Moon-worm, BlackMoon, allemaal werkten ze door op afstand wijzigingen aan te brengen in de routers van slachtoffers. Galloway citeerde veiligheidssuperheld Dan Geer en zei dat de routersituatie net zo gevoelig is als een benzinelek in een afgesloten winkelcentrum. "Wat mij betreft, " zei Galloway, "ik zou zeggen dat routerbeveiliging een razend dumpster-bestand is."

Natuurlijk moesten die aanvallen op de een of andere manier op afstand in de router worden ingevoerd. Wanneer de aanvaller fysieke toegang heeft, zoals bij een kortetermijnverhuur, verandert dat alles. Galloway demonstreerde zijn kenmerkende router APT. Nee, geen Advanced Persistent Threat; Geavanceerde Paperclip- dreiging. "Je hoeft geen MacGyver te zijn, " zei Galloway. "Gebruik een gebogen paperclip om de router opnieuw in te stellen en u verwijdert een hele beveiligingslaag. Niets hiervan vereist zero-day-aanvallen of waanzinnige exploitcode."

Het wordt erger, veel erger. Iemand die fysieke toegang tot de router heeft, kan uw gevoelige gegevens vastleggen, vertrouwde gegevens wijzigen, gegevens injecteren en meer. "Ja, " zei Galloway, "het wordt niet veel erger."

Hij somde vervolgens een verbazingwekkend aantal dingen op die je zou kunnen doen om een ​​router te hacken, met fysieke toegang, variërend van vervelend tot rampzalig. U kunt uw eigen apparaat als externe beheerder configureren en de router weken na uw bezoek volgen. U kunt alle apparaatwachtwoorden extraheren met een eenvoudige tool. Stel jezelf in als een log server en je ziet passief alle verkeer.

Aan de enge kant, je zou een eigen server kunnen instellen als de DNS-server van de router. Dit maakte man-in-the-middle-aanvallen mogelijk die privéinformatie kunnen stelen van iedereen die via de router verbinding maakt. "Je kunt je niet richten op individuen met deze aanvallen, " merkte Galloway op, "maar je kunt je wel richten op conferenties, locaties in de buurt van militaire bases, hoofdkantoren." Verwijzend naar de keynote van Dan Kaminsky zei hij: "ICANN gaat tot het uiterste om DNS veilig te maken. U beschermt uw DNS met lulz en wensen."

Wat je kunt doen

Je kunt nog steeds Airbnb en korte termijnverhuur gebruiken, maar als je inlogt, bescherm jezelf dan. Galloway had een waslijst met suggesties. Hardcode DNS op al uw apparaten. Schakel automatische proxy-detectie uit. Gebruik een VPN. Schakel wifi uit als uw apparaat mobiele gegevens bevat. Koppel uw andere apparaten aan uw telefoon als een persoonlijke hotspot (houd alleen het mobiele gegevensgebruik bij). Schakel tweefactorauthenticatie in waar dit beschikbaar is.

"Dat is technisch, maar er is iets veel belangrijker", zei Galloway. "Verander de manier waarop u interageert. Mijn enige advies: kijk Mr. Robot! U zult uzelf blootstellen aan meer veiligheid dan 99 procent van de bevolking. U zult in de top één procent staan!"

Wat eigenaren van onroerend goed kunnen doen

Als bezoekers van uw Airbnb-verhuur met malware thuiskomen, zullen ze u geen goede beoordeling geven. En u kunt ook op datzelfde netwerk vertrouwen, als uw huur maar een kamer in uw huis is. "Mijn beste advies, " zei Galloway, "is het verwijderen van fysieke toegang. Vergrendel de router in een kast of beveiligde ruimte. Vergrendel deze in een elektronische behuizing. Ik zeg dat tegen hackers en zij zeggen:" Ha, ik kan kiezen die vergrendeling binnen vijf minuten. Ja. Het gaat er niet om perfecte beveiliging te creëren, het is om mensen eerlijk te houden."

"Je zou zelfs kunnen overwegen om geen wifi aan te bieden", vervolgt Galloway. "Of krijg een aparte lijn met lage bandbreedte alleen voor gasten. Het is een bedrijfskost. Maak regelmatig een back-up en herstel uw routerinstellingen. Voeg een online veiligheidssectie toe aan uw gastengids."

Geen goed nieuws

"Ik kan u niet verlaten met goed nieuws, " concludeerde Galloway. "Het probleem verdwijnt niet. Sinds 2011 is elk jaar 'het jaar van de inbreuk' geweest, vooral vanwege SQL Injection. En SQL Injection bestaat al sinds 1998. Er is geen patch, update of eenvoudige oplossing."

Ik kan alleen maar zeggen, wauw. Als u zich wilt verdiepen in de volledige technische details, of u uzelf nu beter wilt beschermen of een hacker van een thuisrouter wilt worden, lees dan de volledige presentatie van Galloway.