חברת הסייבר הישראלית Malanta חושפת היום (חמישי) מחקר חדש שלפיו SNMPv3, הפרוטוקול הנחשב לתקן המאובטח ביותר לניהול נתבים, מתגים וחומות אש, מוסר לתוקפים מידע קריטי שמקצר משמעותית את הדרך למתקפת ניחוש סיסמאות נגד מגוון עצום של תשתיות חיוניות, חברות גדולות, ארגונים רגישים ועוד.
המחקר מתפרסם לאחר שהתרעה משותפת של 19 סוכנויות מודיעין ב-13 מדינות, ובהן ה-NSA, ה-CISA וה-FBI האמריקניים, הזהירה מפני גורמי FSB רוסיים המנצלים תצורות SNMP חלשות כדי לחדור לנתבים של תשתיות קריטיות ברחבי העולם. ההמלצה המרכזית בהתרעה הייתה לשדרג ל-SNMPv3, גרסה שקיימת כבר כשני עשורים ונחשבת מאז לתקן המאובטח בתחום.
אלא שהמחקר של מלנטה מראה כי גם ארגונים שביצעו את השדרוג נותרים חשופים. הפרוטוקול המאובטח לכאורה עדיין מדליף מידע קריטי, שיכול לחסוך לפורצים חלק משמעותי מהמאמץ הנדרש כדי לפענח את פרטי הכניסה למכשיר, וממנו לרשת כולה. כדי לפרוץ למכשיר, תוקף צריך לגלות כמה פרטים; לדוגמא מי היצרן שלו, אילו שמות משתמש מורשים לנהל אותו ומהי הסיסמה. SNMPv3, הנחשב לגרסה המאובטחת של הפרוטוקול, אמור להסתיר את המידע הזה עד לאחר הזדהות מוצלחת. אלא שמלנטה גילתה כי זה אינו המצב.
במחקר רחב היקף, שכלל סריקה של כ-470 אלף מכשירים ברחבי העולם, ניתן היה לזהות ב-99.4% מהם את זהות היצרן או את משפחת המכשיר, עוד לפני ניסיון ההתחברות. החוקרים הראו בנוסף כי התשובות שמחזיר הפרוטוקול עשויות לאפשר לתוקף לזהות אם שם משתמש מסוים קיים במכשיר. לאחר שהיצרן ושם המשתמש ידועים, כל שנותר לתוקף הוא להתמקד בניחוש הסיסמה, משימה פשוטה יחסית עבור גורמי תקיפה מדינתיים, במיוחד כאשר ארגונים רבים עדיין משתמשים בסיסמאות גנריות, חלשות או קלות לניחוש.
בין סוגי ההתקנים המשתמשים בפרוטוקול נמצאים נתבים ומתגים, חומות אש ושרתי VPN, וכן שרתים, מערכות אחסון, ציוד VoIP והתקני IoT ותעשייה. התקנים אלה משמשים תשתיות קריטיות, גופי ממשל, חברות תקשורת, מוסדות פיננסיים ותאגידים גדולים ברחבי העולם, ובהם גם ארגונים בישראל. בישראל מקבל הממצא משנה תוקף לנוכח דיווחי שב"כ ומערך הסייבר הלאומי מפברואר על מאות ניסיונות פריצה איראניים לחשבונות ולמכשירים של בכירים, אנשי מערכת הביטחון ואזרחים ישראלים.
מלנטה העבירה את הממצאים ל-IETF, הגוף האחראי על התקן, שאישר כי ההתנהגות תואמת את המפרט וכי היא נובעת מהחלטת תכנון מכוונת, שהתקבלה בתקופה שבה הונח כי פרוטוקולים לניהול רשת יפעלו רק ברשתות סגורות ומהימנות. כלומר, לא מדובר בבאג של יצרן מסוים ולא בפרצה שניתן לסגור באמצעות עדכון תוכנה בלבד.
"השדרוג, כפי שממליצות סוכנויות המודיעין, הוא צעד הכרחי, אבל הוא עלול לייצר אשליית הגנה מסוכנת", אומר קובי בן נעים, מייסד שותף ומנכ"ל מלנטה ולשעבר ראש מחלקת המחקר והחדשנות בסייברארק. "הפרדוקס הגדול הוא שהפרוטוקול עושה בדיוק את מה שתוכנן לעשות, וזה לספק את המידע הדרוש לניהול ולניטור של רכיבי הרשת. אלא שבעידן הנוכחי, שבו תוקפים חמושים בכלי בינה מלאכותית ובכוח מחשוב זול, המידע הזה מקל דרמטית על הפריצה שכן הוא חוסך לתוקף מיליארדי קומבינציות ומקצר את דרכו עוד לפני ניסיון הסיסמה הראשון. לכן השדרוג הוא רק תחילת העבודה, והוא בהחלט אינו מסמן את קץ האיום".
ההמלצות של מלנטה לארגונים המבקשים למנוע את החשיפה המסוכנת
- להוציא את ממשקי הניהול מהאינטרנט הציבורי.
- להגביל את הגישה ל-SNMP באמצעות רשימות הרשאה מחמירות.
- להפעיל SNMPv3 באמצעות תעבורה מאומתת ומוצפנת, כגון TLS או DTLS.
- ככל שניתן, לאכוף הצפנת AES ואימות מודרני מסוג HMAC-SHA-2.
- לנטר ניסיונות התחברות באמצעות שמות משתמש שאינם קיימים ושגיאות אימות כסימנים מוקדמים לסיור תקיפה, ולא להתייחס אליהם כאל תקלות שגרתיות בלבד.
זו אינה הפעם הראשונה שמחקר של מלנטה מוביל לפעולת הגנה בישראל. בחשיפה קודמת זיהתה החברה גישה פתוחה לאלפי מכשירים בתשתיות קריטיות בישראל, ובהם מכשירים של מוסד פיננסי גדול, חברות טכנולוגיה, ספקיות אינטרנט וגופים אקדמיים. הממצא הוגדר אז כ"גביע הקדוש" עבור תוקפים והועבר לטיפולו של מערך הסייבר הלאומי.
מלנטה הוקמה בשנת 2024 בידי קובי בן נעים, יוסי דנטס, טל קנדל וגיא בן אריה, כולם בכירים לשעבר בסייברארק. החברה מפתחת פלטפורמה למניעת מתקפות כבר בשלב ההכנה. הטכנולוגיה שלה מזהה תשתיות, דומיינים ואישורים דיגיטליים שתוקפים מכינים לקראת ביצוע מתקפה. החברה גייסה עד כה 10 מיליון דולר, מחזיקה בפטנט מאושר והגישה שתי בקשות פטנט נוספות.
טעינו? נתקן! אם מצאתם טעות בכתבה, נשמח שתשתפו אותנו