Jilles Groenendijk hackt smart-tv's en slimme lampen voor zijn klanten

Als een bedrijf zijn veiligheid wil laten doorlichten, ligt een pentest het meest voor de hand. Dan komt er een beveiliger langs met Nessus en Wireshark op z'n laptop die het netwerkverkeer analyseert, en dat levert vaak interessante resultaten op. Maar wat nu als het bedrijf ook smart-tv's, camera-apparatuur of andere hardware in het pand heeft hangen? Dan onderzoekt Jilles Groenendijk - die hardware openschroeft en analyseert - de veiligheid. Hoe hij dat doet, vertelt hij op de Hybride Meet-up Security & Privacy.

Jilles Groenendijk is een pentester, al noemt hij zichzelf liever hardware-hacker. Bedrijven schakelen hem in als ze hardware willen laten testen. Soms gaat het om hardware die ze naar klanten sturen, andere keren om hardware die ze zelf in huis halen en waarvan ze beter willen weten hoe hij werkt voordat hij in gebruik wordt genomen. Denk bijvoorbeeld aan televisieschermen waarop berichten van intranet worden getoond. "Bedrijven willen weten hoe veilig die smart-tv’s zijn en of er geen aanvallen mogelijk zijn via zo’n tv", zegt Groenendijk. Normaliter probeert een pentester met software uit te vinden wat zo'n apparaat het internet op slingert of welke verbindingen er worden gelegd, maar ook aan de hardwarekant is er voor een beveiligingsonderzoeker genoeg te ontdekken. Groenendijk gaat niet alleen met een laptop aan de slag, maar ook met een schroevendraaier en een soldeerbout. "Mensen denken vaak dat een apparaat veilig is omdat het met speciale schroefjes dicht zit. Maar dat is lang niet altijd zo", zegt hij.

Openschroeven

Als Groenendijk voor een klant zo’n tv onderzoekt, maakt hij hem open. "We kijken eerst welke componenten erin zitten. Is er een speciale chip die wordt gebruikt om de tv slim te maken of werkt hij op basis van een standaard Android-systeem?" Groenendijk kijkt naar zaken zoals de printplaat en welke chips erop zitten, en of die chips belangrijke of geheime informatie bevatten. Met de inhoud ervan kunnen potentiële aanvallers wellicht toegang krijgen tot de rest van het netwerk en soms zelfs tot alle met internet verbonden tv’s. Daarbij hoeft het niet eens om een directe aanval te gaan; ze kunnen er ook informatie mee verzamelen die erg nuttig kan zijn voor een latere aanval. Er zijn wat dat betreft veel verschillen tussen iot-apparaten zoals slimme lampen. "Sommige zijn goed beveiligd, maar er zijn genoeg goedkopere modellen op de markt waarbij de kans groot is dat het wachtwoord in plain text wordt opgeslagen. Als je zo’n kapotte lamp in de vuilnisbak gooit, kan een aanvaller hem uitlezen en zo toegang krijgen tot je netwerk."

Zeker bij iot-apparatuur zitten er veel risico's aan hoe ze worden gebruikt. Door bijvoorbeeld naar de gebruikte hardware te kijken, kan Groenendijk onderzoeken of een router op afstand kan worden benaderd door een verborgen serviceaccount. "Met zoekmachines als Shodan kun je uitzoeken wie nog meer zo'n apparaat heeft." Aanvallers hebben in het verleden al misbruik gemaakt van die methode.

Eerste apparaat slopen

Inmiddels gaat Groenendijk uit van een heel proces wanneer hij apparaten van een klant onderzoekt. "Het eerste apparaat slopen we meteen", zegt hij. "We willen bekijken hoe het in elkaar zit. We sluiten er draadjes op aan om informatie uit te lezen en halen desnoods de chips eraf. Daarna gaan we voorzichtiger te werk en halen we ze uit elkaar zonder dat iemand dat kan opmerken. We proberen een aanval uit te voeren met de kennis die we in het eerste traject hebben opgedaan." Tegelijkertijd werkt ook iemand aan de softwarekant, die kwetsbaarheden kan testen met bijvoorbeeld de broncode die uit de chips zijn gehaald. Groenendijk: "Op die manier kun je een apparaat makkelijker hacken dan met alleen software. Criminelen weten dit ook. Wij helpen onze klanten om zich daartegen te wapenen, bijvoorbeeld door het anders inrichten van hun netwerk."

Jilles Groenendijk geeft ook trainingen over hoe hij hardware openmaakt en hackt. Tijdens de Meet-up Security & Privacy geeft hij daar een voorproefje van. Hij vertelt over zijn proces en hoe je zelf kunt beginnen met het openbreken van je iot-apparatuur. Bij deze sessie doe je genoeg inspiratie op om zelf eens langs de kringloop te gaan en thuis met wat hardware te gaan spelen!

Registreer je nu!

Als je enthousiast bent geworden, kun je jezelf hieronder registreren. Als je de meet-up alleen online wil volgen, is dat helemaal gratis. Voor het fysieke evenement betaal je vijftien euro. We maken voor deze meet-up opnieuw gebruik van onze tool EventInsight. Hopelijk tot 6 november!

Kans maken op een gratis ticket?

Wil jij kans maken op een gratis ticket voor de fysieke Meet-up Privacy & Security in het Gooiland-theater in Hilversum? Meld je dan aan via onderstaande poll. We hebben tien gratis tickets beschikbaar.

Kans maken op een gratis ticket voor de fysieke Meet-up?

Poll

Ja, ik wil kans maken op een gratis ticket voor de fysieke Meet-up Privacy & Security.
Nee, ik laat deze actie aan me voorbijgaan.

De opties zijn uitgeschakeld omdat de deelname gesloten is

Algemene voorwaarden acties

• Je Tweakers-account moet voor 27 oktober 2021 zijn geactiveerd.
• Meedoen kan tot en met 1 november, alleen via de poll. Je kunt één keer aan de poll deelnemen.
• Winnaars krijgen uiterlijk 2 november 2021 bericht via e-mail. Niet-winnaars ontvangen geen bericht.
• Winnaars worden at random geselecteerd. Over de uitslag wordt niet gecorrespondeerd.
• Minderjarigen mogen pas meedoen na voorafgaande toestemming van hun ouders of verzorgers.
• Prijzen zijn niet inwisselbaar voor geld of andere goederen.
• Medewerkers van Tweakers zijn uitgesloten van deelname.
• Deelnemers die niet voldoen aan bovengenoemde voorwaarden kunnen worden uitgesloten van deelname.
• Klachten kunnen via [e-mail] ingediend worden.

Reacties (24)

Als een bedrijf zijn veiligheid wil laten doorlichten, ligt een pentest het meest voor de hand. Dan komt er een beveiliger langs met Nessus en Wireshark op z'n laptop die het netwerkverkeer analyseert, en dat levert vaak interessante resultaten op.

Dit is wel heel erg kort door de bocht. Dit komt meer overeen met een vulnerability assessment / scan dan een pentest. Met deze beschrijving doe je ongeveer alle serieuze pentesters tekort.

Darknet diaries heeft een aantal goeie podcasts die laat zien hoe het er aan toe kan gaan en hoe sluw pentesters soms moeten zijn.

Vooral deze episode vond ik zeer vermakelijk.

En wat is dan wel de juiste omschrijving voor een (serieuze) pentest?

Zie Wikipedia:

Een Penetratietest bestaat voor grootste gedeelte uit handmatige tests uitgevoerd door een gespecialiseerde ethische hacker, uiteraard gecombineerd met gebruik van softwareprogramma's zoals poortscanners en proxies. Creativiteit en kennis spelen een essentiële rol in het vinden van risico’s die anders onopgemerkt blijven. Wanneer het merendeel van de Pentest geautomatiseerd is, wordt dit een vulnerability scan genoemd.

Die omschrijving kan als niet geheel correct gezien worden. Een vulnerability scan kan iets op zichzelf zijn, of onderdeel van een pentest. Er zijn echter weinig 'echte' pentesten die enkel maar bestaan uit een vulnerability scan. Soms wordt een pentest verkocht en doet men enkel een vulnerability scan, maar dit is dus eigenlijk misleiding.

[Reactie gewijzigd door The Zep Man op 29 oktober 2021 10:19]

Een vulnerability scan richt zich enkel op bekende kwetsbaarheden. Een pentest is veel breder en kan ook inzicht geven in zaken als public information exposure (bijv lekken van infra details via public signed certificaten of management interfaces die aan het internet hangen), de alertheid van security teams en kwaliteit van security tools (worden breaches (tijdig) opgemerkt), maar ook zerodays en zwakheden dieper in systeemconfiguraties (bijv verouderde encryptie) kunnen worden opgemerkt.

Zo kwamen pentesters bij de laatste actie op ons netwerk achter dat er verouderde algoritmes werden gebruikt in een van onze security oplossingen. Met een authenticated scan hadden we deze kwetsbaarheden nooit kunnen vinden.

De uitkomst van deze bevinding was dan ook dat onze vendor direct met een patch kwam.

Nee hoor, bij een vulnerability scan worden doorgaans ook dynamische checks gebruikt (die zitten ook in Nessus). Bij een dynamische check wordt er getest op generieke kwetsbaarheden (zoals XSS en SQLi), hierdoor is het dus prima mogelijk dat er kwetsbaarheden gevonden worden die nog door niemand eerder gevonden zijn. Zeker in maatwerk software is die kans aanzienlijk zelfs.

Een 'dynamische check' gebruikt ook vooraf gedefinieerde URI paden. Het scannen naar OWASP top 10 kwetsbaarheden beschouw ik nog steeds als het scannen op bekende kwetsbaarheden.

Open schroeven is vaak niet eens nodig. Vaak voldoet het al om een nieuwe firmware versie te downloaden, en die te onderzoeken. Vaak draaien bijvoorbeeld internet camera's op busybox linux oid en kan je met wat zoeken zo uitvinden of er onbeveiligde pagina's of plaintext wachtwoorden zijn. Stukken makkelijker dan flash chips desolderen en proberen uit te lezen.

Dat is een optie maar je beperkt je dan wel tot alleen de firmware. Ik neem aan dat de onderzoeker breder kijkt. Zijn er bv headers die misbruikt kunnen worden, chips welke bv te achterhalen encryptiesleutels bevatten etc.

Open schroeven is altijd nodig als je echt zekerheid wil.
Het hoeft namelijk niet zo te zijn dat het apparaat altijd verbinding legt met ongewenste locaties, maar misschien alleen in bepaalde gevallen, of vanaf een bepaalde datum.
En dat hoeft zeker niet in de firmware te zitten.

China is bijvoorbeeld steeds meer in staat om eigen chips te maken.
Hierin kan je prima ROM code zetten.

Je kan ze zelfs vermommen als "bekende" chip, door er een bekend labeltje op te printen.
En hem op een bepaalde plek op de print zetten, bijvoorbeeld dichtbij de voeding, zodat het een voedingselement lijkt, etc. Verbonden via "verstopte" connecties in een multi-layer PCB.

Je kan de chip eventueel zelfs, als hij wordt verwijderd, zich laten gedragen als een "originele" chip met het gedrag dat bij het labeltje past, zodat bij een analyze niet direct duidelijk wordt dat hij anders is. (vergelijkbaar met de sjoemelsoftware die de testopstelling herkende).

Wil je echt weten wat je hardware doet, dan zul je alles in- en uit elkaar moeten testen, een volledige analyze doen van elk onderdeel.

[Reactie gewijzigd door Zynth op 29 oktober 2021 11:52]

Er zijn wat dat betreft veel verschillen tussen iot-apparaten zoals slimme lampen. "Sommige zijn goed beveiligd, maar er zijn genoeg goedkopere modellen op de markt waarbij de kans groot is dat het wachtwoord in plain text wordt opgeslagen.

Als je dan dit soort info hebt, deel het dan. wordt je wat geloofwaardiger van.

Trek je de geloofwaardigheid van Jilles in twijfel? Boute bewering. Ik geloof niet dat iemand die ooit iets heeft gezien van de kennis en kunde van Jilles, enige twijfel hoeft te hebben. Dus waar baseer je dat op?

Op de persoon heb ik niets aan te merken, doet vast z'n best.

Het valt mij op dat allerlei experts op iot gebied wél roepen dat er veel onveilig spul te koop is, maar nooit daadwerkelijk delen wélke smart devices niet deugen. Als geïnteresseerde consument heb je daar dan nog helemaal niets aan, en wordt de wereld er ook niet veiliger op. Dus... delen die info, op z'n minst die artikelen die wél goed beveiligd zijn zodat het onveilige spul niet gelijk op de teentjes getrapt is.

Klinkt interessant, maar helaas kom ik niet door de inschrijftool heen. Bij stap twee krijg ik steeds "data is invalid, try to refresh the page".

Zou je mij een DM willen sturen? Dan kan ik even met je meekijken.

Heb het vandaag nog een keer geprobeerd, en nu kreeg ik een blokje "saved" in de rechter bovenhoek ipv de error.

Ook de mail ontvangen met QR code.

Check dan ook even dit draadje: https://twitter.com/jpluimers/status/1454031114440413188

@wiert.tweakers als je klikt op 'benadering tweakers events' dan kan je als optie ja of nee aanklikken. Een van deze twee opties is verplicht.

Misschien ben je wel gehacked

Jilles Groenendijk beweegt zich op het voor mij erg interessant snijvlak tussen drie vakgebieden (embedded) hardware, software en de veiligheid van beide aangezien mijn industriele IoT sensor ontwikkel werkzaamheden zich in dezelfde volgorde verhouden. Ik zou graag meer rekening willen houden met het laatste en daarom lijkt me deze meetup ontzettend interessant!

Is het mogelijk om deze meet-up op een later moment te bekijken?

@JVA18 Sommige talks worden opgenomen en zijn achteraf terug te kijken!

"The Benadering Tweakers evenementen field is required."

fijn, het is niet de checkbox, maar een andere select.