Les routeurs semblent moins sûrs depuis que les hackers participant au concours SOHOpelessly Broken ont réussi à pénétrer sur cinq modèles de routeurs sans fil sur dix, débusquant 15 nouvelles vulnérabilités qu'ils ont signalées aux fabricants concernés. Les routeurs soumis étaient : Linksys EA6500, Asus RT-AC66U, Trendnet TEW-812DRU, Netgear Centria WNDR4700 Netgear WNR3500U / WNR3500L, TP-Link TL-WR1043ND, D-Link DIR-865L, Belkin N900 DB et le firmware Open Wireless Router développé par l'Electronic Frontier Foundation (EFF).

Les hackers avaient trois défis à relever pour gagner. Pour le premier, ils devaient trouver des vulnérabilités zéro-day non corrigées dans des modèles sélectionnés et ils étaient gratifiés d'un certain nombre de points en fonction de la criticité de la vulnérabilité. Le second défi consistait à entrer sur des routeurs fonctionnant avec un firmware vulnérable et à voler des informations sensibles. Le troisième défi, similaire, ciblait un routeur d'Asus et un de D-Link. Les quatre candidats ayant participé au concours zero-day ont trouvé un total de 15 failles. Onze de ces vulnérabilités ont été identifiées par Craig Young, chercheur pour l'entreprise de sécurité Tripwire. Craig Young n'est pas inconnu dans le domaine de la sécurité des routeurs : en février dernier, il avait publié un rapport dans lequel il montrait que 80 % des 25 routeurs SOHO sans fil les plus vendus par Amazon comportaient des vulnérabilités.

Plusieurs failles combinées pour une attaque complète

« Toutes les failles débusquées lors du concours SOHOpelessly Broken n'étaient pas critiques, et dans certains cas, les candidats ont dû combiner plusieurs vulnérabilités entre elles pour élaborer une procédure d'attaque complète », a déclaré Stephen Bono, président de Independent Security Evaluators, l'entreprise de sécurité qui a organisé la compétition avec la EFF. Le participant devait réussir à gagner un accès suffisant au routeur pour exécuter des commandes spécifiques et être finalement capable de prendre un contrôle total du routeur. Sept attaques sont parvenues à ce résultat sur les routeurs Asus RT-AC66U, Netgear WNDR4700 Centria (il présentait deux failles distinctes), Belkin N900, Trendnet TEW-812DRU et un routeur fabriqué par Actiontec Electronics que Verizon Communications fourni à ses abonnés.

Le routeur Actiontec ne faisait pas parti des modèles présélectionnés par les organisateurs et il a été ajouté par l'un des concurrents. « Nous avons fait une exception et avons accepté le choix du concurrent », a déclaré Stephen Bono. Un autre candidat a montré comment prendre le contrôle total de son propre routeur D-Link DIR-865L, mais il s'est avéré que l'appareil tournait avec un firmware plus ancien que celui préconisé par les organisateurs, lequel n'était pas vulnérable à la faille exploitée par le concurrent. 

Certains fournisseurs ne corrigent jamais les failles signalées

A noter que seules quatre des vulnérabilités signalées étaient totalement nouvelles. Les autres avaient été découvertes et corrigées par le passé dans d'autres modèles de routeur provenant des mêmes fabricants, mais ceux-ci ne les avaient pas corrigées dans les routeurs sélectionnés pour la compétition. « Ce genre d'incohérence dans le déploiement des correctifs arrive fréquemment dans le monde du routeur », a déclaré le président de Independent Security Evaluators. Les vendeurs corrigent souvent les vulnérabilités des modèles signalés par les chercheurs et ne testent pas leurs autres produits pour savoir s'ils sont également vulnérables.

« Dans certains cas, les vendeurs ne corrigent jamais les vulnérabilités signalées, et parfois ils ne sont même pas capables de les corriger parce qu'elles se trouvent dans le code intégré par les fournisseurs de puces », a-t-il ajouté. Stephen Bono ne garantit pas non plus que les routeurs qui n'ont pas été piratés pendant le concours sont exempts de toutes vulnérabilités. Selon lui, les résultats sont liés au fait que les quatre candidats ont pu avoir accès à certains routeurs avant la compétition pour les analyser, si bien que cela ne permet pas de dire qu'un routeur est plus sûr qu'un autre. 

Les attaques massives de plus en plus fréquentes

« En général la sécurité des routeurs Soho n'est pas une priorité des fabricants parce que leurs marges sur ces produits sont assez faibles et ils cherchent à commercialiser leurs matériels le plus rapidement possible, plutôt que d'investir dans des cycles de vie de développement sécurisé et des audits de sécurité », a déclaré Stephen Bono. « Etant donné que la plupart des routeurs sont vulnérables, quel que soit le fabricant, les incitations à passer par un développement sécurisé ne sont pas très fortes. Cependant, comme les attaques massives contre les routeurs sont de plus en plus courantes et étant donné que les utilisateurs commencent à comprendre les risques associés au piratage des routeurs, la sécurité peut devenir un facteur de différenciation sur ce marché », a déclaré le président de Independent Security Evaluators.