Даже недорогие бытовые роутеры — сложные устройства, имеющие целый ряд дополнительных функций. Маршрутизатор может не только раздавать Wi-Fi, но зачастую работать и как домашний центр развлечений, сервер печати, источник точного времени для различных устройств или сетевой экран. Чтобы подобные функции работали, производители постоянно совершенствуют прошивки роутеров. Но иногда эти прошивки становятся источником опасности…

В чем опасность?

Практически все производители сетевого оборудования выпускают одновременно сразу несколько линеек маршрутизаторов, которые отличаются друг от друга используемыми компонентами: процессорами, объемом оперативной памяти, количеством LAN-портов и т.д. Причем активно выпускают новые модели оборудования не только крупнейшие фирмы (Zyxel, D-Link), но и менее известные компании. Стремления производителей очевидны: хочется завоевать максимальную долю рынка, быстро выпуская устройства разных ценовых категорий. Однако нередко разнообразные модели маршрутизаторов выходят с достаточно «сырыми», плохо протестированными прошивками. Да и в уже испытанных моделях находят уязвимости.

Показателен пример с обнаружением уязвимости в роутерах D-Link DIR 620. В прошивках от производителя еще в 2018 году были найдены прописанные данные суперпользователя (root), которые позволяют получить неограниченный доступ к прошивке и извлечь пароль для входа в веб-интерфейс роутера в открытом виде. Кроме того, наличие пароля суперпользователя позволяет выполнять произвольный код в ОС роутера.

Но и это не самая главная проблема — выяснилось, что владелец роутера, обладающий полным доступом к устройству, никак не может изменить пароль суперпользователя, внесенный в конфигурацию прошивки. Представители компании D-Link сообщили пользователям, что обновлений прошивки не будет, поскольку данная модель уже не поддерживается производителем, и призвали приобретать более новые роутеры.

А теперь вспомним, что D-Link — один из крупнейших производителей сетевого оборудования, занимающий значительную долю рынка на постсоветском пространстве. Может быть, у менее известных производителей дела обстоят лучше?

Неудачи постигают всех

Увы, и менее крупные фирмы производят маршрутизаторы со множеством уязвимостей. К примеру, еще в 2016 году были найдены уязвимости в роутерах китайской компании BHU. Различные недоработки прошивки позволяли совершить целый ряд опасных действий. В нескольких моделях присутствует вшитый пароль суперпользователя, который невозможно изменить, — это, как и в случае с DIR 620, позволяет выполнять произвольный код на устройстве. Кроме того, обнаружилось, что роутер принимает любые значения ID-файлов cookie, то есть потенциально любой пользователь может считаться авторизованным. Но и это еще не все! Настройки роутера, установленные по умолчанию, легко меняются таким образом, что злоумышленник может перехватывать весь трафик с устройства. Данная уязвимость может использоваться, например, для перехвата паролей пользователей. Хотя сейчас большинство сайтов использует HTTPS и получить конфиденциальные данные в открытом виде не удастся, риск утечки информации все равно значителен.

Уязвимые устройства выпускаются как крупными производителями, так и сравнительно небольшими компаниями. В ряде прошивок имеются крайне серьезные уязвимости, позволяющие получить доступ к паролям пользователя или привести роутер в нерабочее состояние.

Что делать?

Увы, подобные комплексные уязвимости в прошивках роутеров зачастую возможно исправить только на стороне производителя. Приходится дожидаться, пока компания, выпустившая устройство, представит новую версию программного обеспечения. Однако срок поддержки большинства моделей невелик — для бюджетных моделей маршрутизаторов для дома и малого бизнеса он может не превышать 2–3 лет. И если вы пользуетесь устройством, выпущенным несколько лет назад, скорее всего, вы не дождетесь исправления ошибок.

Как обезопасить себя от уязвимостей в прошивках роутеров? Универсальных советов здесь, увы, нет, но некоторые рекомендации могут помочь:

  1. Если текущая прошивка устройства позволяет ограничить доступ к веб-интерфейсу роутера, создайте белый список доверенных IP-адресов. Для остальных адресов доступ к изменению настроек стоит запретить.
  2. Желательно отключить в настройках доступ к роутеру через Telnet — злоумышленники регулярно используют слабые места этого протокола.
  3. Периодически проверяйте обновления прошивок на сайте производителя вашего роутера — изредка выходят корректирующие обновления даже для моделей прошлых лет. Опытные пользователи также могут обратить внимание на альтернативные прошивки роутеров: конечно, и они не лишены уязвимостей, но их стараются оперативно исправить.
  4. Регулярно меняйте логин и пароль для доступа к веб-интерфейсу роутера. Никакие обновления прошивок не помогут, если на вашем устройстве установлен пароль администратора, заданный по умолчанию производителем.
Поделиться