Исследователи описали восстановление KNX-устройств, заблокированных BCU Key, без участия производителя
Авторы статьи описали, как восстанавливать KNX-устройства, заблокированные BCU Key, без отправки производителю. Опыт получен на 570 реальных устройствах разных производителей.
Главное в цифрах
- Пространство ключа BCU Key: 2^32, или 4 294 967 296 значений
- Оценка полного перебора в knxunlocker: около 13 лет при скорости около 10 проверок в секунду
- Количество устройств в исследовании авторов: 570
- Найден ли ключ в задокументированном случае с единым паролем: примерно за 15 дней, проверено около 37% пространства
- Доступных через интернет устройств KNXnet/IP по Shodan: около 130
В 2021 году злоумышленники атаковали системы умного дома KNX. Они удаляли конфигурации устройств и устанавливали собственный BCU Key. Оборудование переставало работать, а для восстановления его нужно было отправлять производителю. Атаки получили название KNXlock.
В августе 2023 года опубликовали CVE-2023-4346, связанную с KNX Connection Authorization Option 1. Она позволяет при доступе к сети или физическом доступе к устройству удалить конфигурацию и установить ключ. Ключ состоит до четырёх байт, а штатного сброса у пользователя нет.
Почему перебор ключа не работает
Четырёхбайтовый ключ имеет 2^32, или 4 294 967 296, возможных значений. В открытом проекте knxunlocker скорость перебора указана порядка 9–11 проверок в секунду, а полный перебор оценён примерно в 13 лет. Это оценка для конкретного подхода, но она показывает, что медленный обмен с устройством делает простой перебор практически невозможным.
Иначе обстоит дело, если один и тот же ключ стоит на множестве устройств. Так, в одном задокументированном случае на объекте с более чем 300 устройствами был единый пароль, и ключ нашли примерно за 15 дней, проверив около 37% пространства. Если же у каждого устройства свой ключ, как в случае с 570 устройствами, подбор одного не помогает с остальными.
Чтение памяти
По описанию Limes Security, исследователи попробовали считать память непосредственно с процессоров. Это сработало на некоторых устройствах, где не была включена защита чтения памяти, но не на всех. Полученный дамп представлял собой массив байтов без очевидной структуры, поэтому полный анализ прошивки потребовал бы значительного времени.
Для владельцев зданий это важно, потому что блокировка затрагивает освещение, отопление и вентиляцию.
