De flesta trådlösa hemroutrar använder inte grundläggande säkerhetsåtgärder som är vanliga på datorer och smartphones, säger två forskare en svindlande ny rapport släpptes tidigare denna månad.

Problemen är så dåliga, säger de, att ett stort antal routrar som för närvarande finns på marknaden inte borde användas alls.

Upphovsman: Piotr Adamowicz / Shutterstock
(Bildkredit: Piotr Adamowicz / Shutterstock)

Av 28 allmänt använda hemroutrar, tillverkade av sju olika tillverkare, undersökta av Parker Thompson och Sarah Zatko från Cyber ​​Independent Testing Lab, "inte en en enda utnyttjade de grundläggande applikationspansarfunktionerna från operativsystemet till fullo. "Alla routrar placerade på olika publikations bästa av listor.

"Endast en eller två modeller" - Linksys WRT32X och Netgear R7000, sa de - "till och med kom nära, och inget märke klarade sig konsekvent i alla testade modeller."

Tio av de testade routrarna, tillverkade av Asus, D-Link, Linksys, Netgear, TP-Link och Trendnet, använder den föråldrade MIPS-processorn arkitektur, som Thompson och Zatko säger innehåller en "till synes glömd" brist som helt undergräver systemet säkerhet.

MER: Din routers säkerhet stinker. Så här fixar du det

"Vi tror att konsumenter för närvarande bör undvika att köpa produkter som bygger på denna [MIPS] -arkitektur", säger forskarna.

Nyare, dyrare routrar är mer benägna att använda ARM-arkitekturen som också driver de flesta smartphones och vissa bärbara datorer. Men Thompson och Zatko sa att av de ARM-baserade routrarna de undersökte, "inte en enda utnyttjade de grundläggande applikationspansarfunktionerna från operativsystemet."

Linksys en ljuspunkt

Det fanns ett par ljuspunkter. Alla 18 ARM-baserade routrar implementerade DEP med en hastighet på 99 eller 100 procent. En av dessa, Linksys WRT32X, implementerade också RELRO på 95 procent av dess kod och buffertöverskridande skydd på 82 procent.

Ändå "den Linksys WRT32x saknade fortfarande ASLR nästan helt, så det finns fortfarande utrymme för förbättringar, "noterade rapporten. "Med tanke på att ASLR är en enkel säkerhetshygienfunktion att utföra för binära applikationer är detta ett stort säkerhetsförlopp inom branschen."

Ett branschbrott

Tyvärr är det inte lätt för en konsument som handlar efter en ny router att berätta vilken typ av processorarkitektur en potentiell router använder. Googling av "processorarkitektur" tillsammans med namnet på en viss modell kan ge en hel del ohjälpsamma tekniska detaljer - och det är om du har tur.

"Dessa resultat tyder på ett branschövergripande misslyckande med att granska och testa säkerheten för programvaran som körs på dessa produkter", tillade forskarna. "Även de mest grundläggande metoderna ignoreras till stor del.

Dagens stationära och mobila operativsystem, inklusive Windows, Android, iOS, macOS och Linux, alla använda säkerhetsfunktioner som kanske inte är hushållsord, men som har blivit vanligt i det senaste årtionde.

Dessa funktioner inkluderar adressutrymme layout randomisering (ASLR), vilket gör det svårt för skadlig kod att hitta utsatta processer; förhindrande av datakörning (DEP), som hindrar skadlig kod från att använda kod som finns i vissa delar av minnet som körs; buffertöverskridande skydd, vilket avvärjer en mycket vanlig typ av skadlig attack. och i Linux-baserade system (inklusive Android), RELocation Read-Only (RELRO), som stoppar en annan vanlig typ av skadlig attack.

'Oförlåtlig' säkerhetsfördröjning

De flesta routrar använder också Linux. Ändå har deras tillverkare misslyckats med att genomföra de flesta eller alla dessa säkerhetsåtgärder, även om det ofta skulle vara billigt och enkelt att lägga till dem.

"Frånvaron av dessa säkerhetsfunktioner är oförlåtlig", skriver Thompson och Zatko. "Funktionerna som diskuteras i denna rapport är lätta att använda, har inga nackdelar och är vanliga metoder i andra marknadssegment."

Thompson och Zatko kontrasterade routrarnas Linux-firmware med en tvåårig, fortfarande vanligt förekommande Linux-distribution, Ubuntu Linux 16.04 Long Term Support (aka Xenial Xerus).

MER: Bästa WiFi-förlängaren - Boosters för att utöka ditt Wi-Fi-intervall

Ubuntu-distro använde RELRO på 100 procent av sina 5000 plus bitar av körbar kod och DEP på 99 procent. Buffertöverskridande skydd användes på 79 procent av koden och ASLR på 23 procent. Rapporten påpekade att Xenial Xerus inte är lika säker som Windows 10 och macOS 10.13, som båda implementerar ASLR på 99 procent av sin kod.

Routrarnas antal var mycket lägre än Ubuntu-distributionerna. En MIPS-baserad router, Linksys E2500, använde DEP på 9 procent av sin kod, och det var höjdpunkten bland alla 28 testade routrar. Resten av de MIPS-baserade routrarna låg på noll procent. Sju ARM-baserade routrar misslyckades helt med att implementera ASLR. Sjutton av de 28 routrarna, både MIPS- och ARM-baserade, hade inget buffertöverskridande skydd.

"Denna brist på grundläggande hygien verkar inte bero på någon inneboende fråga", säger rapporten. "Om det inte var möjligt att införa dessa säkerhetsfunktioner skulle värdena vara noll över hela linjen. Istället innebär denna dåliga uppvisning en apatisk attityd gentemot tillämpad konsumentsäkerhet och säkerhet för de hemrouterprodukter som analyserats. "

Slutsats

Den inneboende svagheten hos de flesta hemroutrar är en anledning till att skadliga hackare flyttar sina mål bort från stationära och mobila operativsystem och mot routrar och andra "sakernas internet" enheter.

"Hemma-routrar är mjuka mål i jämförelse med den säkerhetshygien som finns i moderna stationära operativsystem", säger Thompson och Zatko. "Alla leverantörer har utrymme för förbättringar, särskilt när det gäller att konsekvent tillämpa grundläggande säkerhetsfunktioner för olika modeller i sina produktlinjer."

  • En routerinställning som alla ska ändra (men ingen gör)
  • Bästa Wi-Fi-routrar
  • Vad är en Mesh Wi-Fi-router och behöver du en?