«Лаборатория Касперского» выявила 24 уязвимости в биометрическом терминале международного производителя ZKTeco. Они в состоянии являться использованы для обхода системы контроля доступа и физического проникновения в оберегаемые места, а также для кражи биометрических данных, внесения изменений в базы и установки бэкдоров.
Биометрические считыватели, о которых идёт речь, широко используются в самых различных отраслях по всему миру - от атомных электростанций и производств до офисов и организаций сферы здравоохранения. Они поддерживают четыре способа аутентификации пользователя: биометрический (с поддержкою лица), по паролю, электронному пропуску или QR-коду. Внутри них могут храниться биометрические данные тысяч людей. Эксперты «Лаборатории Касперского» сгруппировали все сысканные уязвимости и зарегистрировали их, предварительно сообщив о них производителю.
Уязвимость, позволяющая злодеям получать физический доступ в закрытые зоны. Одна из групп уязвимостей может быть использована для кибератак на основании SQL-инъекции. Преступники могу внедрить данные в QR-код для доступа в те места, куда не попасть без авторизации. Если терминал начнёт давать пройти запрос, содержащий такой вредоносный QR-код, информационная база фальшиво идентифицирует его как исходящий от последнего авторизованного легитимного пользователя. Таким образом атака с применением этого типа уязвимостей даёт возможность получать несанкционированный доступ к терминалу и физически попадать в закрытые зоны.
«Помимо замены QR-кода, существует ещё одна потенциальная возможность "обмануть" систему и получить доступ в закрытые оберегаемые зоны. Если злоумышленник получит доступ к информационной базе устройства, он можем использовать иные уязвимости, чтобы скачать фотографию легитимного пользователя, распечатать её и использовать для обмана камеры устройства, чтобы получить доступ в оберегаемую зону. Данный метод, конечно, имеет определённые ограничения. Фотография непременно обязана быть распечатана или выведена на экран телефона, а тепловые датчики на биометрическом терминале - отключены. Однако такой метод всё одинаково представляет собой серьёзную угрозу», - объясняет эксперт по кибербезопасности в «Лаборатории Касперского» Георгий Кигурадзе.
Фото: Unsplash.com