Ευάλωτα σε επιθέσεις τα «έξυπνα» συστήματα σύγχρονων πόλεων

Οι ερευνητές της Kaspersky Lab εξέτασαν ένα πλήθος e-kiosk και διαδραστικών τερματικών που χρησιμοποιούνται στις σύγχρονες πόλεις για διαφορετικούς σκοπούς – από την πληρωμή διάφορων υπηρεσιών μέχρι την ψυχαγωγία. Στο πλαίσιο αυτό, ανακάλυψαν ότι πολλά απ’ αυτά έχουν τρωτά σημεία, τα οποία μπορούν να εκθέσουν τα ιδιωτικά δεδομένα των χρηστών και να χρησιμοποιηθούν για υποκλοπή ή διασπορά κακόβουλου κώδικα. Εκτός από τα ηλεκτρονικά κιόσκια, οι ειδικοί διερεύνησαν και τις κάμερες της τροχαίας που χρησιμοποιούνται στις πόλεις, καθώς και τις υποστηρικτικές τους υποδομές. Ως αποτέλεσμα, ανακάλυψαν ότι κακόβουλοι χρήστες θα μπορούσαν με ευκολία να έχουν πρόσβαση σε αυτές τις κάμερες και να χειριστούν κατά βούληση τα δεδομένα που συλλέγονται.

Οι σύγχρονες πόλεις είναι πολύπλοκα οικοσυστήματα, τα οποία αποτελούνται από εκατοντάδες διαφορετικές επιμέρους συνιστώσες, συμπεριλαμβανομένων και των ψηφιακών. Αν κι αυτές αποσκοπούν στο να κάνουν τις ζωές των πολιτών πιο εύκολες και ασφαλείς, μπορούν ως ένα βαθμό να αποτελέσουν και απειλές για τα δεδομένα και την ασφάλεια τους, όπως κατέδειξαν τα ευρήματα της έρευνας που πραγματοποίησαν οι ειδικοί της Kaspersky Lab.

Τα τερματικά έκδοσης εισιτηρίων στους κινηματογράφους, οι αυτόματοι σταθμοί ενοικίασης ποδηλάτων, τα πληροφοριακά e-kiosk των οργανισμών του Δημοσίου, τα τερματικά κρατήσεων και πληροφοριών στα αεροδρόμια και τα συστήματα πληροφόρησης και ψυχαγωγίας επιβατών στα ταξί μπορεί να έχουν διαφορετική εμφάνιση, αλλά στο εσωτερικό τους, τα περισσότερα απ’ αυτά είναι ίδια. Κάθε τέτοιο τερματικό είναι ουσιαστικά μία συσκευή που λειτουργεί με βάση είτε τα Windows, είτε την πλατφόρμα Android. Η κύρια διαφορά σε σύγκριση με τις συνηθισμένες συσκευές είναι το ειδικό λογισμικό των e-kiosk που τρέχει στα δημόσια τερματικά και λειτουργεί ως interface χρήσης. Αυτό το λογισμικό δίνει στο χρήστη εύκολη πρόσβαση σε συγκεκριμένα χαρακτηριστικά του τερματικού, ενώ ταυτόχρονα περιορίζει την πρόσβαση σε άλλα χαρακτηριστικά του λειτουργικού συστήματος της συσκευής, συμπεριλαμβανομένης της εκκίνησης ενός προγράμματος περιήγησης στο Διαδίκτυο ή ενός ψηφιακού πληκτρολογίου. Η πρόσβαση σε αυτές τις λειτουργίες προσφέρει στους εισβολείς μια πληθώρα ευκαιριών να θέσουν το σύστημα σε κίνδυνο, σαν να βρίσκονταν μπροστά σε έναν ηλεκτρονικό υπολογιστή. Η έρευνα έδειξε ότι σχεδόν όλα τα δημόσια e-kiosk περιέχουν ένα ή περισσότερα τρωτά σημεία ως προς την ψηφιακή τους ασφάλεια, τα οποία θα επέτρεπαν σ’ έναν εισβολέα να έχει πρόσβαση σε κρυμμένα χαρακτηριστικά του λειτουργικού συστήματος.

Σε μια συγκεκριμένη περίπτωση, το interface χρήσης του τερματικού περιείχε ένα web-link. Το μόνο που έπρεπε να κάνει ο εισβολέας ήταν απλώς να πατήσει  πάνω σε αυτό, για να εκκινήσει το πρόγραμμα περιήγησης και στη συνέχεια – μέσω του πρότυπου διαλόγου για Βοήθεια - να ξεκινήσει η λειτουργία ενός εικονικού πληκτρολογίου. Σε μια άλλη περίπτωση που αφορούσε ένα e-kiosk εξυπηρέτησης δημόσιας υπηρεσίας, το σενάριο απαιτούσε από το χρήστη να πατήσει το κουμπί "Εκτύπωση". Μετά από αυτό, για μερικά δευτερόλεπτα το παράθυρο διαλόγου εκτύπωσης του συνήθους προγράμματος περιήγησης θα άνοιγε και – αν ήταν αρκετά γρήγορος – ο εισβολέας θα μπορούσε να πατήσει το πλήκτρο «αλλαγή» [στις παραμέτρους εκτύπωσης] και να εισέλθει στο παράθυρο της Βοήθειας. Από εκεί, θα μπορούσε να ανοίξει τον πίνακα ελέγχου και το πληκτρολόγιο στην οθόνη. Έτσι, ο εισβολέας μπορεί να έχει στα χέρια του όλες τις λύσεις που απαιτούνται για την εισαγωγή πληροφοριών (το εικονικό πληκτρολόγιο και το δείκτη του ποντικιού) και να χρησιμοποιήσει τον υπολογιστή για τους δικούς του σκοπούς – π.χ. για να εκκινήσει τη λειτουργία κακόβουλου λογισμικού, να πάρει πληροφορίες από έντυπα αρχεία, να αποκτήσει τον κωδικό πρόσβασης διαχειριστή της συσκευής κλπ. Κι αυτές είναι μόνο μερικές από τις αδυναμίες που ανακαλύφθηκαν από τους ερευνητές της Kaspersky Lab.

Ένα άλλο κομμάτι της έρευνας αφορούσε στις κάμερες της τροχαίας που βρίσκονται στις πόλεις. Χρησιμοποιώντας τη μηχανή αναζήτησης Shodan, οι ερευνητές κατάφεραν να εντοπίσουν πολλαπλές διευθύνσεις IPad που ανήκουν σε τέτοιες συσκευές και είναι ελεύθερα προσβάσιμες στο Διαδίκτυο. Καθώς δεν υπήρχαν ενεργοί κωδικοί πρόσβασης, ο καθένας ήταν σε θέση να δει το υλικό που ήταν καταγεγραμμένο από τις κάμερες και ακόμη περισσότερα. Οι ερευνητές ανακάλυψαν ότι ορισμένα εργαλεία που χρησιμοποιούνταν για τον έλεγχο αυτών των καμερών ήταν επίσης δημοσίως διαθέσιμα στο Διαδίκτυο.