Des nouvelles quelque peu déconcertantes pour les propriétaires de routeurs : une récente évaluation de 28 modèles populaires et destinés aux particuliers a montré qu’aucun ne proposait un firmware doté de fonctions renforcées de sécurité intégrées et activées, offertes par Linux.
Le CITL (Cyber Independent Testing Laboratories) déclare avoir effectué cette découverte inattendue après avoir analysé les images de firmware d’Asus, D-Link, Linksys, Netgear, Synology, TP-Link et Trendnet exécutant les versions du noyau Linux sur deux plateformes de microprocesseurs, MIPS et ARM.
Les protections de sécurité manquantes comprenaient l’ASLR (Address Space Layout Randomization), la DEP (Data Execution Prevention) et la RELRO (RELocation Read-Only).
Certes, cela ressemble à un charabia de termes techniques pour la plupart des propriétaires de routeur, mais dans les systèmes d’exploitation modernes, cette couche de sécurité devrait avoir de l’importance.
Linux a mis au point des fonctionnalités telles que l’ASLR (Windows l’a ajouté à Vista en 2007), tirant parti des fonctionnalités de segmentation de la mémoire des processeurs modernes via ce que l’on appelle le NX bit (no-execute).
Comme son nom le suggère, l’ASLR protège contre les attaques par dépassement de mémoire tampon, en sélectionnant au hasard les fichiers exécutables du système dans la mémoire (les attaquants ne savent donc pas où ils se trouvent).
Pendant ce temps, son parent, le DEP, est un moyen d’empêcher les malwares de s’exécuter à partir de la mémoire système utilisée par le système d’exploitation lui-même.
Le renforcement de la sécurité de ce type a pour objectif d’empêcher les pirates d’exploiter les failles des logiciels au fur et à mesure de leur découverte.
Comment les routeurs sont-ils affectés ?
Les fabricants de routeurs basent leur firmware sur une version du noyau Linux sur laquelle ils implémentent des extensions propriétaires.
En principe, rien ne les empêche de mettre en œuvre des fonctionnalités telles qu’ASLR, mais selon le CITL, cela ne semble pas se produire ainsi.
En ce qui concerne l’ASLR, tous les modèles évalués ont obtenu un score faible, allant de 0% d’utilisation à près de 9% dans un cas, avec environ la moitié des modèles testés atteignant la moitié de ce score maximal. À l’exception du modèle Linksys qui a obtenu 95%, l’implémentation RELRO n’était par contre pas bien meilleure.
À titre de comparaison, Ubuntu 16.04 LTS a implémenté ASLR sur 23% de ses exécutables et une protection RELRO sur 100%.
La vulnérabilité MIPS
Une telle situation pourrait s’expliquer par les scores particulièrement faibles des 10 routeurs exécutant MIPS pour des protections telles que DEP.
Cela incluait une faiblesse dans les noyaux Linux entre 2001 et 2016 relative à la mise en œuvre de l’émulation en virgule flottante. Les chercheurs ont également remarqué un contournement potentiel du renforcement de la sécurité introduit par un correctif du noyau en 2016.
Nous observons également un retard important dans l’adoption des derniers noyaux Linux et des toolchains de compilation associées dans de nombreux périphériques MIPS, y compris les périphériques des utilisateurs finaux.
La version du noyau Linux ne devrait pas en soi déboucher sur un renforcement insuffisant de la sécurité (qui d’ailleurs existe depuis de nombreuses années sous Linux), mais cela suggère plutôt que le firmware utilisé par nombre de ces routeurs a été développé à un moment où la sécurité n’était pas une priorité.
En fait, le même problème pourrait expliquer pourquoi tant de routeurs fonctionnent encore sur le MIPS, une plateforme vieillissante du début des années 2000 et avec une conception basée une référence Wi-Fi de type Broadcom, livrée avec ses propres puces. Pour MIPS, les chercheurs conseillent la chose suivante :
Nous pensons que les consommateurs devraient éviter d’acheter des produits basés sur cette architecture pour le moment.
Le CITL fait valoir que, bien que les routeurs basés sur ARM soient un choix plus sûr, le renforcement de la sécurité varie considérablement parmi les produits du même fournisseur.
Devrions-nous être inquiets ?
Oui et non. Oui, car un routeur dépourvu de ces protections de base est intrinsèquement moins sécurisé, mais non, car même si cela était corrigé, il resterait de nombreux autres problèmes de sécurité au sein des routeurs que les attaquants pourraient s’empresser d’utiliser.
Par exemple, le marché des routeurs a une réputation mixte en ce qui concerne la correction des vulnérabilités de sécurité lorsque celles-ci sont découvertes, abandonnant parfois certains modèles (et leurs utilisateurs) à leur triste sort !
Pour être plus juste, en ce qui concerne les correctifs, l’industrie des routeurs s’est nettement améliorée. L’analyse du CITL suggère toutefois que des efforts sont encore à fournir au niveau des fondamentaux.
Billet inspiré de Most home routers lack simple Linux OS hardening security, sur Sophos nakedsecurity.
