ClickShare-tool om presentaties te delen bevatte meerdere beveiligingslekken

De ClickShare-presentatietool van het Belgische bedrijf Barco had verschillende beveiligingsproblemen waardoor onbevoegden gedeelde informatie konden stelen. Barco brengt een firmware-update uit, maar er zijn ook hardware-issues.

De problemen die F-Secure aantrof na ClickShare onder de loep te hebben genomen, betreffen de hardwarematige knop-accessoire, de clientsoftware en de basiseenheid van de tool. Sommige van de kwetsbaarheden hebben een CVE-referentie gekregen. Met behulp van de kwetsbaarheden konden criminelen informatie tijdens presentaties onderscheppen en manipuleren, wachtwoorden en andere vertrouwelijke informatie stelen, en backdoors en andere malware installeren, claimt F-Secure.

ClickShare maakte het mogelijk draadloos presentaties te geven en te delen. Volgens maker FutureSource Consulting heeft de tool een marktaandeel van 29 procent. Gebruikers moeten de ClickShare Button via usb met hun laptop verbinden. Na een druk op de knop verloopt het delen via een Base Unit.

De knop en de basiseenheid draaien op NXP-socs die onlangs ontdekte kwetsbaarheden hebben waardoor de High Assurance Boot-functie onder omstandigheden te omzeilen is. Verder bleken units van dezelfde familie voor de integriteit van de embedded software identieke encryptiesleutels te hebben. Daardoor kon een aanvaller die toegang kreeg tot het ene apparaat, ook het beveiligde bestand van een ander apparaat ontsleutelen.

Daarnaast bleken one-time programmable aes-sleutels voor verschillende doeleinden ingezet te worden, waaronder voor de decryptie van images tijdens het booten. Dit opent de weg naar het gebruik van eigen images door een aanvaller die als bootable geaccepteerd kunnen worden. Bovendien kon een aanvaller zelfondertekende certificaten gebruiken voor de authenticatie.

F-Secure deelde zijn uitkomsten op 9 oktober dit jaar met Barco, waarna het bedrijf aan de slag ging om firmware-updates te ontwikkelen. Voor de kritiekste kwetsbaarheden zijn die updates inmiddels beschikbaar.

Reacties (68)

Vreselijke tool trouwens. Werkt vaker niet dan wel. De dongle kan vaak geen verbinding maken met het basis station. Moeten dan weer gepaird worden. Local IT niet aanwezig. Erg lastig allemaal
De ouderwetse kabel werkt nog steeds het beste!

[Reactie gewijzigd door colossos op 16 december 2019 16:24]

Kan je geen ongelijk geven.
Het is verschrikkelijk traag om mee te werken (USB insteken, programma uitvoeren en dit telkens opnieuw, en op knopje drukken), dual screen werkt als een ramp (er is een storende latency in wat je doet met de muis en ziet op het scherm), het vraagt veel kracht waardoor je ventilator van je laptop snel begint op te stijgen (en veel kracht wilt ook meteen zeggen dat je batterij sneller plat is) en ja, het werkt vaak niet.

Bij ons hebben ze dan ook nog eens alle kabels weggehaald ten voordele van dit systeem.
Ik kan maar weinig voordelen zien van het systeem.

Om het programma niet steeds opnieuw te moeten starten best de launcher installeren : https://www.barco.com/nl/...lus/knowledge-base/KB4996
Er is inderdaad een latency, er moet geëncodeerd worden, over Wi-Fi verzonden, en op de Base Unit weer gedecodeerd. Als ik presentaties geef kijk ik zelf op mijn eigen scherm om de muis te bedienen dan heb ik daar geen last van. En de andere deelnemers merken uiteraard niets van de delay. Werkt op die manier heel goed voor mij.

Of een recente versie van de Base Unit's installeren zodat de Buttons zelf een auto-launch driver kunnen installeren

Dat lijkt me een mega dom security risico. Überhaupt zijn deze halve USB sticks al een potentieel risico. Je moet er maar van uitgaan dat het een correct apparaat is maar deze dingen liggen over los op een conferentie tafel waar iedereen mee kan knoeien.

Het blijft natuurlijk en continu strijd tussen beveiligers en aanvallers, dat moet ik hier niemand vertellen. Maar ik ben ook zeker dat de meesten hier zonder nadenken spullen in hun laptop pluggen waar minder over security is nagedacht. https://www.barco.com/en/support/docs/TDE9539

Tja, dat is dan een andere miserie. In eerste instantie mag je amper iets installeren op bedrijfscomputers (wat toch hun markt is) en lijkt het dat de geïnstalleerde versie vele onstabieler is als de ad hoc versie. Vaak stopt die met presenteren en crasht de applicatie gewoon. Heb het al tijdens verschillende presentaties meegemaakt en echt leuk is dat niet (klungelen tijdens trainingen).

Daarnaast als je een workshop hebt en je eigen notities staan op je eigen scherm (die je uiteraard niet op het grote scherm wilt) en je wilt de interactieve workshop presenteren op het scherm is de latency gewoonweg storend.
Daarnaast werkt de dual screen methode niet met de ad hoc runtime.

Resultaat, ik print opnieuw...
Voor een setup die gemakkelijk over de €500 kost is dat ding zijn geld niet waard.

die ervaring heb ik niet, wij hebben in ons kantoor 24 CSE-800 toestellen en een paar CSE-200 toestellen en buiten het opnieuw pairen na een software update hebben wij totaal geen omkijk naar deze toestellen. Werken gewoon perfect, veel beter dan de oude projectoren en veel meer user acceptance, ook van 3rd party bezoekers.

Dergelijke problemen zijn meestal omdat de Base Unit ergens gemonteerd is waar een goede Wi-Fi communicatie onmogelijk is. Anders zou het echt wel goed moeten werken. Zelfs in een omgeving met meer dan 50 verschillende Wi-Fi access points.
Kijk ook hier eens : https://www.barco.com/nl/...200/knowledge-base/kb1482
En anders raad ik je aan om Support te contacteren.
edit: Typo

[Reactie gewijzigd door lapps op 16 december 2019 17:45]

De support is wel erg beroerd, mijn 2 cases ivm wepresent staan ondertussen al 1,5 maand open.

Benieuwd hoe snel ze op mijn mail van daarnet gaan reageren naar aanleiding van dit artikel

Dan heeft Local IT iets niet goed gedaan, werkt 100/100x namelijk :-)

Als het dicht bij elkaar staat wel, anders krijg je vaak pairing issues. Het is een duur product die matige kwaliteit overbrengt, het is bij ons redelijk snel vervangen.

Puur uit interesse: door wat hebben jullie het vervangen?

Wij gebruiken wepresent van Barco. Gewoon software, geen dongles

Wij gebruiken Screenbeam. Geen software, dongles, zelf input (touchscreen) geeft de Screenbeam zonder lag door.

Wij gebruiken Intel Unite (software, geen dongle oid).

hallo, pairingissues kunnen ontstaan door wifichannels niet optimaal te configureren. channels mogen niet hetzelfde zijn als de AP's of 2 clickshares in de buurt over dezelfde channel, betekent problemen. Deze dien je dan over verschillende channels te configureren. Werkt super overigens!

[Reactie gewijzigd door grimpyms op 16 december 2019 20:19]

In onze test opstelling werkte het heel goed, maar toen wij overgingen naar productie heeft het een tijd goed gedraaid maar soms kwamen er toch pairing issues of werd de vertraging tussen client en monitor te hoog. Wij hebben meer dan 40+ meeting rooms, en dan is het best vervelend als het niet gewoon plug n play is.

Apart, wij hebben op kantoor meermaals probleemloos speelfilms gestreamd naar een 84 inch tv. Daarnaast ook nog nooit nodig geweest om opnieuw te pairen en het werkt eigenlijk altijd. Regelmatig zijn gasten onder de indruk over de eenvoud waarmee men kan presenteren.

Speelfilms gestreamd? Er zit een mega vertraging in het beeld. Hoe hou je het geluid dan synchroon?

We hebben gewoon een film gestart met VLC en dat was alles. Beeld en geluid waren synchroon met geluid uit een bluetooth speaker en verder totaal niet opgelet of het op de laptop ook synchroon was.

Is me sowieso nog nooit opgevallen dat en of er vertraging in zit, ik vergelijk het beeld van clickshare nooit met m'n laptop. Ik doe alles op de laptop inclusief kijken en overige aanwezigen volgen het via het scherm dat aan de clickshare geknoopt zit.

ClickShare heeft een functie die er voor zorgt dat het beeld en geluid altijd synchroon loopt op je externe scherm.
Op je bron device loopt het dan scheef maar op het presentatie scherm dus niet.

Wij gebruiken ze onder andere op mobiele videoconferencing units. Daar gaat dus regelmatig de stroom af. Voor zover ik weet werken die daarna zonder problemen.

Maakt diefstal van je gegevens ook moeilijker

HDMI is niet altijd optie als je in een grote ruimte zit. Wij gebruiken het ook en eigenlijk altijd probleemloos.

Wij hebben een deel van de cafetaria die afgesloten kan worden voor presentaties. Daar gebruiken wij deze ook. Als je weet hoe hij werkt is hij handig, maar ik vind het maken van de connectie niet het meest logische proces.

huh, het is toch een kwestie van op die knop drukken? veel logischer gaat het niet worden gok ik zo?

Als je de Clickshare aansluit op je laptop dan opent er een verkenner schermpje met een driver. Daar een keer op dubbelklikken en dan kan je pas op de Clickshare knop drukken.

In grotere bedrijven wordt dit meestal door een enterprise policy op de laptops geregeld en is die stap niet nodig.

Maar daar vallen de laptops van bezoekers buiten, en dat is toch een belangrijk deel van de gebruikersgroep.

Je kunt ook gewoon het framework installeren, een link daarvoor staat o.a. als snelkoppeling op de dongel.
De PC herkent daarna ook vanzelf de dongel waardoor je dus alleen op de knop hoeft te drukken.

Lijkt op tightvnc met de reflector applicatie

Ja daar gaat het dus heel traag mis. Ook het op de knop drukken werkt nooit direct.

Eigenlijk heb je dit toch ook niet meer nodig met een goed scherm?
Ik weet niet welke standaard het is, maar op mijn telefoon heet het Wireless Projection, in Windows 10 kan ik sharen naar wireless display. Werkt gewoon met mijn tv thuis. Heb zelfs ook al schermen gehad die dan als touchscreen konden werken voor mijn laptop.
Gemakkelijkste vind ik echter nog steeds VGA of HDMI kabel.
Ik zie de meerwaarde niet meer van ClickShare.

De meerwaarde zien wij vooral bij het gemak en helemaal met bezoekers die iets willen presenteren. Geen gedoe met toets combinaties om een extern aangesloten scherm aan de gang te krijgen, geen gedoe met keuzes tussen extenden of duplicate of muispointers die bij een extend aan de andere kant het scherm binnenkomen dan gedacht. Je drukt de dongle in de laptop, op het aangesloten scherm staat zeer duidelijk de instructie en na software starten plus een keer drukken op de knop werkt het.
Ook heel snel wisselen tussen bijv twee laptops als iemand wat tussendoor wil laten zien is heel simpel zonder gedoe met kabels of verplicht moeten lopen omdat een kabel net te kort is met een stoelendans tot gevolg.

Bezoek bij ons op het kantoor is over het algemeen blij verrast dat het zo eenvoudig kan zijn.

Toch opvallend dat jij het eenvoudig noemt, maar dat deze thread vol staat met klachten van personen waarbij het helemaal niet eenvoudig werkt...

Misschien is dat een kwestie van selectief lezen? Ik zie genoeg anderen die ook aangeven dat het goed en eenvoudig werkt.

Niets selectief lezen, enkel wilde ik aangeven dat dit voordeel zeker niet universeel is.

Zelf heb ik er al zeer gemakkelijk mee kunnen werken, maar ook al serieuze problemen gehad. Zo erg dat de personen van het bedrijf waar ik mijn training gaf, zelf zeiden: "neem maar een kabeltje, dat doet iedereen hier"
Maar ook al gehad dat ik het op 123 aangesloten had, wat de deelnemers verbaasde, want zij kregen het nooit aan de praat.

[Reactie gewijzigd door Chris_147 op 17 december 2019 12:47]

Dat hangt er vanaf wat je noden zijn. ClickShare is veel meer dan 1 op 1 je scherm naar het scherm casten. Afhankelijk van welk product je kocht kunnen er bijvoorbeeld meerdere personen naast elkaar sharen. Er is centrale beheerssoftware voor de Base Units. Het werkt met Windows, OS X, Android, iOS. Google Cast, Airplay en Miracast zijn ondersteund. Het werkt ook met schermen met een touch screen, je kan er aantekeningen mee maken die je met een druk op de ClickShare button kan verdelen naar de deelnemers. Enz.

Casten met miracast werkt inderdaad met Windows 10 maar gaat soms voor een onbekende reden stuk. Sinds de creators update krijg ik het niet meer aan de praat met oudere laptops (4 jaar oud).

Gelukkig worden deze apparaten niet vooral gebruikt op C-level in de meeste bedrijven 😩
Het idee is super handig. USB dongle in de laptop en op de knop drukken om je scherm te delen.

[Reactie gewijzigd door weeraanmelden op 16 december 2019 16:43]

Zonde, het werkte hier altijd perfect. ICT heeft ze deze zomer uitgefaseerd in verband met issues met teleconferencing oid. Hier wordt het nog dagelijks gemist, ik zou willen dat het nieuwe systeem net zo begrijpelijk en foutloos werkte

Welk nieuwe systeem gebruiken jullie nu?

Deze dingen zijn een vrij dure vervanger van een HDMI-kabel. Bovendien vervuilen ze het WiFi ook met gigantisch veel signalen en data, dus alle andere deelnemers van de meeting kunnen niet meer bij hun netwerkbestanden.

Ik kan je verzekeren dat er nergens meer Base Units per vierkante meter tegelijk actief zijn dan hier. Ik kan nog perfect aan mijn bestanden, mijn muziek streamen enz.

[Reactie gewijzigd door lapps op 16 december 2019 17:11]

Alle werkplekken bij ons op kantoor zijn flex met WiFi en de drie Barco's die er zijn veroorzaken nul komma nul problemen.

HDMI is de makkelijkste optie maar dan komt er plots iemand van C-level op het idee om de presentatie vanop z'n iPad te doe en voor je het weet zit er een Barco of AirTame toestel in je netwerk.

Of je hebt geen HDMI aansluiting op je laptop?

Gewoon een oplossing die over je corporate wifi netwerk connectie maakt ipv p2p. Kunnen je dongles ook niet zoek raken of “per ongeluk” meegenomen worden.

Bij ons zitten ze daarom met een staalkabel bevestigd aan de vergadertafel

ook hier hangen ze om die reden aan een staalkabel. Die collega's van mij denken hier dat ze alles maar mee mogen nemen wat los en vast zit.

En een oplossing over corporate wifi heb ik in het verleden getest (Crestron AirMedia) maar dat is echt een drama met latency.
Je bent te veel afhankelijk van je wifi netwerk en in een monumentaal pand waar je niet eens een spijker in de muur mag slaan is goede wifi dekking dus een probleem.

De clickshare heeft zijn eigen signaal en werkt in onze situatie nagenoeg probleemloos.

Moet je corporate wifi dit wel ondersteunen.
Daarnaast kunnen VPN's ook nog roet in het eten gooien.

Het is een mogelijkheid, maar ook dit kan de nodige problemen geven.

Wij gebruiken barco wepresent devices op een aparte vlan.
Zo kunnen bezoekers nadat ze geconnecteerd zijn op onze guest-wifi connecteren naar de wepresent devices.

Er is altijd wel iemand die problemen heeft, maar dat is net zo met clickshare.

Dan moet je ballen hebben en zeggen dat wat ze willen meer kost dan het oplevert.

Zet je channels tegoei, van de Barco en geen problemen meer.

Een HDMI kabel werkt tenminste op elke laptop, ook Linux. Zo'n ClickShare dongle werkt alleen met Windows en met moeite op een Mac, maar niet op Linux

Ik heb anders enkel USB-3 en USB-C op mijn laptop? Geen HDMI. dit gaat dus niet werken.

En wat is dan het probleem?

IK kan uit dit artikel en de informatie niet echt opmaken of de Clickshare Extension en/of Desktop app ook kwetsbaar zijn. F-Secure heeft het ook over vulnerabilities in de "client sw" maar voor beide zie ik geen update.

De Extension Pack bevat enkel een driver voor de Extended Desktop functionaliteit en een Launcher... Als ik de beschrijvingen van de issues lees bij F-Secure, lijken ze mij niet van toepassing op de Extension Pack in elk geval...

Echte vervuiling van het toch al krappe wifi-spectrum al die clickshare spullen.

Nu ben ik wel benieuwd of hun andere producten die geen dongles gebruiken maar enkel een software client ook geimpacteerd zijn.

[Reactie gewijzigd door klakkie.57th op 16 december 2019 18:39]

Echte vervuiling van het toch al krappe wifi-spectrum al die clickshare spullen.

Op te lossen door op 5Ghz in te stellen, bedrijf waar ik werk levert deze spullen ook en inderdaad op het 2,4 Ghz spectrum vaak problemen maar is dus goed op te lossen.

Zelfs 5Ghz is erg druk.
1 verdiep / 20 wepresent/clickshares + 36 Overlapende wifi antennes (3 verdiepingen) en dan nog andere huurders met ieder hun eigen wifi infrastructuur 😱