התקני אבטחה פרוצים בשדות תעופה

This post is also available in: English (אנגלית)

בכנס ה- Black Hat האחרון, נחשפו פרטים לגבי נקודות תורפה אבטחתיות של התקנים המופקדים על איתור סמים וחומרי נפץ, על גופם ובכבודתם של נוסעים.

הקשחת הבדיקות הביטחוניות על המשתמשים בתעופה האזרחית בעשור האחרון, הביאה בהכרח שימוש מוגבר באמצעים טכנולוגיים, אולם אלו, כך נמסר ע"י חוקרי אבטחת מידע, אינם מאובטחים כראוי וניתנים לפריצה על ידי האקרים, בקלות יחסית.

כמה מההתקנים הביטחוניים, בהם נעשה שימוש בשדות תעופה ואושרו לשימוש על ידי מנהל התחבורה האמריקני (ה- TSA) נקנו באופן פרטי על ידי חוקר אבטחת המידע בילי ראיוס מחברת Qualys Security.

בכנס ה- 2014 Black Hat האחרון  שנערך בלאס ווגאס, נחשפו הפרטים, הפגיעויות ונקודות התורפה של כמה התקני אבטחה, בעיקר כאלו שתפקידם לאתר חומרי נפץ וסמים בלתי חוקיים.

באחד ההתקנים, התגלה, כי הסיסמא הדרושה להפעלתו טבועה בחומרת ההתקן. כך קל ופשוט לתחזק את המתקן וכן לתפעלו אבל סיסמא טבועה הינה כמעט טאבו בעולם אבטחת המידע, שכן היא מאפשרת גישה כמעט פתוחה לכל משתמש, גם זדוני.

"אם אתה 'משתמש על' ומכיר את הסיסמא הטבועה של ההתקן, אתה יכול, למעשה, לעשות הכל, כולל זיוף תוצאות או הוצאת ההתקן משירות והשבתתו" אמר החוקר ל-  Los Angeles Times והוסיף "ניתן, למשל, להוריד מרשימת החומרים האסורים, אותם מחפש התקן חומרי נפץ ובכך לעבור את הבדיקה הביטחונית באופן מלא ובהצלחה לכאורה"

יצרני ההתקן, בתגובה למוצג בכנס, הבטיחו כי עד סוף השנה יתקינו תיקון תוכנה ברכיבים, כך סיסמאת "משתמש העל" לא תהיה חשופה, למרות שלטענתם,הרכיבים הנמצאים בשירות פעיל ואושרו ע"י ה- TSA אינם חשופים עד כדי כך לפגיעות חיצוניות.

החוקר, בילי ראיוס תיאר את עצמו כך: "בחור אחד, בלי תקציב, מחשב נישא… זה כל מה שהיה לי, וזה אומר שכל אחד יכול לעשות את זה…"