Peneliti dari Trail of Bits baru-baru ini meraih posisi runner-up untuk kategori Most Innovative Exploitation Technique di kompetisi Junkyard DistrictCon dengan mengeksploitasi dua perangkat jaringan yang sudah dihentikan produksinya. Kesuksesan mereka dengan router Netgear WGR614v9 dan BitDefender Box V1 telah memicu perdebatan menarik di komunitas keamanan siber tentang apakah perangkat keras end-of-life (EOL) benar-benar menimbulkan risiko yang lebih besar daripada perangkat yang baru saja diluncurkan.
Spesifikasi Perangkat yang Dieksploitasi
| Perangkat | Jenis | Arsitektur | Kerentanan Utama | Metode Eksploitasi |
|---|---|---|---|---|
| Netgear WGR614v9 | Router | Berbasis MIPS32 | Bypass autentikasi, Buffer overflow, Injeksi perintah | Eksploitasi daemon UPnP melalui pesan SOAP |
| BitDefender Box V1 | Perangkat Keamanan | Berbasis ARM | Downgrade firmware tanpa autentikasi, Injeksi perintah | Downgrade firmware + injeksi parameter MD5 |
 |
|---|
| Trail of Bits meraih penghargaan di DistrictCon untuk teknik eksploitasi inovatif |
Paradoks Keamanan Inti
Temuan tim peneliti telah menyoroti pertanyaan fundamental yang membagi para ahli keamanan: apakah perangkat yang ditinggalkan benar-benar lebih rentan daripada yang baru? Beberapa anggota komunitas berargumen bahwa kerentanan ini sudah ada sejak hari pertama, bukan karena perangkat tersebut mengalami penurunan kualitas seiring waktu. Celah yang dieksploitasi - termasuk bypass autentikasi, buffer overflow, dan kerentanan command injection - sudah tertanam dalam firmware ketika perangkat ini pertama kali dikirim.
Perspektif ini menantang asumsi umum bahwa yang lebih baru sama dengan yang lebih aman. Router baru yang saat ini terpajang di rak toko kemungkinan besar mengandung kerentanan yang belum ditemukan yang belum berhasil diungkap oleh para peneliti. Perbedaannya adalah perangkat EOL telah memiliki lebih banyak waktu bagi peneliti keamanan untuk mengungkap celah-celahnya.
Ekonomi Penelitian Kerentanan
Diskusi ini mengungkap sudut pandang ekonomi yang menarik terhadap ancaman keamanan siber. Perangkat keras yang ditinggalkan dengan basis instalasi yang besar menjadi target menarik bagi pelaku jahat karena return on investment yang lebih tinggi. Ketika jutaan perangkat berbagi kerentanan yang sama dan tidak dapat diperbaiki, upaya yang dihabiskan untuk mengembangkan eksploit terbayar di seluruh permukaan serangan yang jauh lebih besar.
Sementara itu, waktu dan keterampilan yang diperlukan untuk menemukan kerentanan baru pada perangkat keras yang baru dirilis sering mendorong peneliti menuju program bug bounty legal daripada eksploitasi jahat. Ini menciptakan tekanan pasar alami yang membuat perangkat EOL relatif lebih berbahaya dalam praktiknya, meskipun mereka tidak secara inheren kurang aman ketika diproduksi.
Solusi Praktis Selain Penggantian
Diskusi komunitas telah menghasilkan beberapa pendekatan praktis untuk menangani perangkat keras EOL . Daripada langsung membuang perangkat lama, pengguna dapat mengurangi risiko melalui segmentasi jaringan dan pilihan perangkat lunak yang cermat. Beberapa pengguna yang sadar keamanan telah beralih ke membangun router mereka sendiri menggunakan perangkat keras PC standar dengan OpenBSD atau sistem operasi serupa, yang menerima pembaruan keamanan reguler untuk periode yang jauh lebih lama.
Jangan membelinya sejak awal, jika belum didukung oleh OpenWRT .
Pendekatan ini mencerminkan kesadaran yang berkembang bahwa siklus hidup keamanan harus menjadi pertimbangan utama saat membeli peralatan jaringan, bukan hanya renungan setelahnya ketika perangkat berhenti menerima pembaruan.
Gambaran Besar untuk Keamanan IoT
Perdebatan ini meluas melampaui router dan perangkat keamanan ke ekosistem Internet of Things yang lebih luas. Smart TV, perangkat otomasi rumah, dan perangkat keras terhubung lainnya menghadapi tantangan serupa ketika produsen meninggalkan dukungan. Penelitian ini telah menyoroti bagaimana bahkan perangkat yang berfokus pada keamanan seperti BitDefender Box dapat menjadi kewajiban ketika mekanisme pembaruan mereka tidak memiliki perlindungan downgrade yang tepat.
Diskusi menunjukkan bahwa pendekatan regulasi mungkin diperlukan, dengan beberapa anggota komunitas mengusulkan undang-undang yang mengharuskan produsen untuk membuka sumber driver mereka ketika menghentikan dukungan, atau menawarkan pengembalian dana kepada pelanggan yang tertinggal dengan perangkat keras yang tidak didukung.
Istilah Teknis:
- EOL (End-of-Life): Ketika produsen berhenti memberikan pembaruan dan dukungan untuk suatu produk
- UPnP: Universal Plug and Play, protokol yang memungkinkan perangkat untuk menemukan dan berkomunikasi satu sama lain di jaringan
- Buffer overflow: Kerentanan di mana program menulis lebih banyak data ke buffer daripada yang dapat ditampungnya, berpotensi memungkinkan penyerang untuk mengeksekusi kode berbahaya
Referensi: Exploiting zero days in abandoned hardware