Cisco-routrar tar igen Hacker-spotlight

Cisco-hackningsplatsen har varit ganska tyst de senaste tre åren, men vid den här veckans Black Hat-hackerkonferens i Las Vegas kommer det att bli lite buller.

Säkerhetsforskare kommer att prata om rootkits och ny programvara för hacking och intrångsdetektering för routrarna som bär det mesta av internetets trafik.

För tre år sedan sköt säkerhetsforskaren Michael Lynn en strålkastare på Ciscos produkter när han pratade om hur han körde ett enkelt "shellcode" -program på en router utan tillstånd. Lynns kontroversiella samtal var den största historien på Black Hat 2005. Han var tvungen att sluta sitt jobb för att komma runt ett företagsförbud mot att diskutera Cisco, och både han och konferens arrangörerna blev snabbt anklagade av Cisco. Nätverksföretaget hävdade att Lynns presentationsglas innehöll information som kränkt företagets immateriella rättigheter, och Lynns prat var bokstavligen rippat ur konferensmaterialpaketet. I en avvecklingsöverenskommelse var forskaren hindrad från att diskutera sitt arbete vidare, men kopior av hans presentation (pdf) publicerades online.

[Vidare läsning: Bästa NAS-lådor för media streaming och backup]

Idag har Cisco Chief Säkerhetschef John Stewart är anmärkningsvärt uppriktig om erfarenheten och säger att hans företag handlade av rätt skäl - skydda sina kunder och immateriella rättigheter - men gick för långt. "Vi gjorde något slags dumma saker", sa han. "Därför sponsrade jag personligen Black Hat på platinivå sedan dess. För jag tror vi hade lite försoning att göra."

Lynn var inte utan jobb för länge. Han blev snabbt snatched upp av Cisco-konkurrenten Juniper Networks, men för några år efter sitt samtal var det inte mycket offentlig diskussion om Cisco-hacking, säger Jeff Moss, Black Hats regissör.

Moss tror att ekonomin kan ha drivit några Cisco forskare underjordiska. Vilken kod som helst som utnyttjar Cisco-sårbarheter är så uppskattad att någon hacker som väljer att avslöja sina fynd snarare än att sälja dem till ett säkerhetsföretag eller statligt organ, ger ofta mycket pengar, sade Moss. Mike Lynn sårbarhet var värd omkring 250.000 dollar, menar han.

Men det här året har saker öppnats. Black Hat-arrangörer planerar tre samtal om Cisco-routrar och operativsystemet Internetwork som de kör. "Helt plötsligt i år har många saker gått sönder," sade Moss.

På senare tid, med Microsoft Windows, inte längre den bördiga grunden för att jaga på att det en gång var, tittar forskare på andra produkter att hacka. Och Ciscos routrar är ett intressant mål. De befaller mer än 60 procent av routerns marknad, enligt forskningsföretaget IDC.

"Om du äger nätverket äger du företaget", säger Nicolas Fischbach, chef för nätverksteknik och säkerhet med COLT Telecom, en europeisk datatjänstleverantör. "Att äga Windows-datorn är inte särskilt prioritet längre."

Men Cisco-routrarna gör ett hårdare mål än Windows. De är inte lika kända för hackare och de kommer i många konfigurationer, så en attack på en router kan misslyckas om en sekund. En annan skillnad är att Cisco-administratörer inte ständigt hämtar och kör programvara.

Cisco har äntligen gjort mycket arbete de senaste åren för att minska antalet attacker som kan lanseras mot sina routrar från Internet, enligt Fischbach. "Alla de grundläggande, mycket enkla utnyttjar du kan använda mot nätverkstjänster är verkligen borta," sa han. Risken att ha en välkonfigurerad router hackad av någon utanför din företagsnätverk är "riktigt låg".

Det har inte avskräckat den senaste grenen av säkerhetsforskare.

För två månader sedan Core Security forskare Sebastian Muniz visade nya sätt att bygga svåra att upptäcka rootkit-program för Cisco-routrar, och denna vecka kommer hans kollega, Ariel Futoransky, att ge en Black Hat-uppdatering om företagets forskning inom detta område.

Dessutom planerar två forskare från Information Risk Management (IRM), en säkerhetskonsult i London, att släppa en modifierad version av GNU Debugger, vilket ger hackare en bild av vad som händer när Cisco IOS-programvaran behandlar sin kod och tre skalkodsprogram som kan användas för att styra en Cisco-router.

IRM-forskare Gyan Chawdhary och Varun Uppal har tagit en titt på Lynns arbete. I synnerhet tog de en närmare titt på hur Lynn kunde kringgå en IOS-säkerhetsfunktion som kallas Check Heap, som skannar routerns minne för typen av ändringar som skulle tillåta en hacker att köra obehörig kod på systemet.

De upptäckte att medan Cisco hade blockerat tekniken som Lynn brukade lura Check Heap, fanns det fortfarande andra sätt att smyga sin kod på systemet. Efter Lynns avslöjande patenterade Cisco "enkelt" vektorn, "sa Chawdhary. "På ett visst sätt kvarstår buggan."

Genom att ändra en del av routerns minne kunde de kringgå Check Heap och köra sköldkoden på systemet, säger han.

Forskaren Lynn krediterade med att göra hans egen forskning möjlig, Felix "FX" Lindner, kommer också att prata om Cisco hacking på Black Hat. Lindner, chef för Recurity Labs, planerar att släppa sitt nya Cisco Forensics-verktyg, kallat CIR (Cisco Incident Response), som han har testat för de senaste månaderna. Det kommer att finnas en gratis version som kontrollerar en routers minne för rootkits medan en kommersiell version av programvaran kommer att kunna upptäcka attacker och utföra rättsmedicinska analyser av enheterna.

Denna programvara kommer att ge nätverkspersonal som Fischbach en väg att gå tillbaka och titta på minnet på en Cisco-enhet och se om den har manipulerats. "Jag tror att det finns en nytta för det," sa han. "För mig är det en del av verktyget när du gör rättsmedicin, men det är inte det enda verktyget du borde lita på."

Det finns fortfarande stora hinder för någon Cisco-angripare, säger Stewart. Till exempel är många angripare ovilliga att hacka routrar, för om de gör ett misstag slår de ut hela nätverket. "Vi sorts få ett pass eftersom ingen vill apa med den infrastruktur som de använder," sa han. "Det är som att skruva upp motorvägen medan du försöker åka till en annan stad."

Även om Cisco kanske inte har några större säkerhetsproblem just nu, tar Stewart ingenting för givet.

Faktum är att han också erkände att hans företag har haft tur så länge och han vet att det kan förändras om tillräckligt många människor som Lindner börjar jobba med problemet. "Vi har tid," sa han. "Vi har möjlighet att bli bättre, och vi borde ständigt satsa på att sänka attackytan."