čo s nudou na dovolenke pri mori: hacknúť si loď. éra wifi a smartfónov sa doplavila aj do sveta jachtárskej naviatiky a s bezpečnosťou to do dopadlo ako vždy, keď spolu súperí ľudská prezieravosť a pohodlnosť: výsledok je user-friendly a tým pádom.. no veď už tušíte.

strávil som týždeň na mori s partiou IT-čkárov (pozdravujem!), medzi ktorými bol aj majo, hacker zo starej bandy na hysteria.sk. prišli sme hneď na to, že naša zánovná loď Hanse 455 má vstavané wifi a heslo na router je “admin”. a tak započala naša plavba po internej sieti lode, používanej na komunikáciu medzi ovládcími navigačnými displejmi a externými zariadeniami. následné zistenie bolo vzrušujúce, ale v zásade nie prekvapivé:

máme deravú loď

ovládacie prvky lode komunikujú s navigačnými prístrojmi ako sú GPS, radar, hĺbkomer, kormidlo, či merač vetra pomocou protokolu NMEA0183. komunikácia je obojstranná, meracie prístroje chrlia dáta a ovládací displej dáva povely zariadeniam, vrátane kormidla. medzi jednotlivými zariadeniami neexistujú autentifikačné mechanizmy, ale kompromitácia by si vyžadovala napojenie na fyzickú kabeláž lode. ehm, donedávna.

teraz traja výrobcovia lodných navigačných prístrojov (lowrance, simrad a b&g) uviedli systém GoFree, ktorý umožňuje prepojiť naviatiku s tabletmi a smartphonmi cez tcp-ip a wifi. a to je priestor, v ktorom sa hackeri, na rozdiel od námorníkov, pohybujú ako ryba vo vode.

spomínaná wifi sieť je voľne viditeľná, čo vôbec nie je dobré a naviac má v SSID názve defaultne slovo “GoFree”, podľa čoho sa dá ľahko spoznať. v prístave biograd na moru nachádzam štyri takéto siete GoFree:

# airport -s |grep -i gofree
GoFree Wifi A98F 00:42:42:00:a9:8f -90 13 N HK WPA2(PSK/TKIP/TKIP)
GoFree Wifi 159C 00:42:42:00:15:9c -85 13 N HK WPA2(PSK/TKIP/TKIP)
GoFree Wifi B7E1 00:42:42:00:b7:e1 -60 10 N HK WPA2(PSK/TKIP/TKIP)
GoFree Wifi D2A2 00:42:42:00:d2:a2 -61 6 N HK WPA2(PSK/TKIP/TKIP)

siete majú wpa2 bezpečnosť, to je fajn, ale aj to má svoje limity.

wifi heslo sa inak dá fyzicky prečítať tromi ťukmi na samotnom navigačnom displeji, ktorý býva na plachetniciach v otvorenom priestore lode, vzadu pri kormidle. v prístave si teda na nestráženej lodi môžete heslo pozrieť, displej nemá možnosť uzamykania heslom.

keď sa dostanete na wifi sieť GoFree, router na adrese 192.168.0.1 má default login “admin” a heslo “admin”. čo je zvláštne, vo webovskom rozhraní routera sa to heslo ani nedá zmeniť, ani sa nedá zneviditelniť SSID, čiže celé to nie je bug, ale “user-friendly feature”. Interface vyzerá takto:

router má aj telnet prístup, ktorý dá shell s root právami:

Navico login: super
Password:

BusyBox v1.12.1 (2015-05-12 14:58:31 CST) built-in shell (ash)
Enter 'help' for a list of built-in commands.

#grep super /etc/passwd
super:.nYt6q5U2ySLI:0:0:Adminstrator:/:/bin/sh
# help

Built-in commands:
-------------------
. : break cd chdir continue eval exec exit export false hash
help local pwd read readonly return set shift source times trap
true type ulimit umask unset wait

cez shell sa dajú o.i. pomeniť sieťové nastavenia, cez ďaľší router si teda môžete napríklad celú loď hodiť na verejný internet. pripomína to trochu situáciu z pred 15-tich rokov, keď sme brázdili blavu s wifi anténou na aute a nachádzali stovky slabo zabezpečených bezdrôtových sietí.

čo ďalej? nmap-om som prescanoval sieť a našiel IP adresy navigačných ovládacích prístrojov, my sme mali dva od výrobcu B&G a vyzerali takto:

Nmap scan report for 192.168.0.184
PORT STATE SERVICE
21/tcp open ftp
80/tcp open http
111/tcp open rpcbind
554/tcp open rtsp
2049/tcp open nfs
5001/tcp open commplex-link
MAC Address: 00:0E:91:09:CA:79 (Navico Auckland)

na porte 21 navigačného panela beží ftp server, kde sa dá prihlásiť bez hesla na užívateľa “ftp” a je tam pár zaujímavých vecí na stiahnutie:

150 Here comes the directory listing.
drwxr-xr-x 2 ftp ftp 160 Jan 11 2015 Gribs
drwxr-xr-x 5 ftp ftp 352 Jun 24 2015 Logs
drwxr-xr-x 2 ftp ftp 160 Jan 11 2015 Polars
drwxrwxrwx 2 ftp ftp 360 May 03 15:08 crashlog
drwxr-xr-x 2 ftp ftp 880 Mar 31 2015 wallpaper

stiahnuté logy prezradili architektúru ovládacieho panelu lode:

[ 0.000000] Linux version 3.0.35 (root@) (gcc version 4.7.3 (GCC) ) #2 SMP PREEMPT Wed Jul 8 11:41:42 UTC 2015
[ 0.000000] CPU: ARMv7 Processor [412fc09a] revision 10 (ARMv7), cr=10c53c7d
[ 0.000000] CPU: VIPT nonaliasing data cache, VIPT aliasing instruction cache
[ 0.000000] Machine: Freescale i.MX 6 NAVICO Board
[ 0.000000] Memory policy: ECC disabled, Data cache writealloc
[ 0.000000] CPU identified as i.MX6DL/SOLO, silicon rev 1.1

nepáči sa mi predstava, že sú na lodi dva kľúčové linuxové počítače, ktoré sú pripojené jednak na viditeľné wifi a zároveň na vnútornú ovládaciu sieť, ktorá je postavená na princípe plnej dôvery medzi jednotlivými zariadeniami. elitný hacker vám crackne wpa2, šupne 0-day remote exploit na linux a plne ovládne loď. nebude to zadlho a bude to na hlavných správach.

na porte 80 navigačného displeja beží http server, kde sa dajú uploadnúť GRIB fajly. to je štandardizovaný formát súborov s údajmi o počasí. takže hneď lokálny nápad na neplechu: okázalému pracháčovi z vedľajšej lode uploadnúť falošné dáta o počasí. nechať ho uveriť, že sem ide bóra, tak nech páli dokelu! rozhranie vyzerá takto:

interaktovať s multifunkčným lodným displejom sa dá cez appku GoFree Link, voľne stiahnuteľnú na iOS a android. a tak sme na telefóne mali kompletnú kópiu obrazovky lodnej navigácie a ovládania:

z tabletu sa dá aj plne interaktovať, tu jeden screenshot z iPadu počas našej plavby:

cez appku som dokázal klikať úplne všetky funkcie ovládania lode, okrem práce s autopilotom a teda nevedel som meniť smer plavby. ale mohol som meniť akékoľvek nastavenia, zadávať waypointy a podobne. v dokumentácii sa píše, že je možné cez tablet aj ovládať kormidlo, ale je to “on agreement base”.

všetko sa to týka len nových lodí, systém je na trhu len od roku 2013. tak dúfajme, že kým bude väčšina plachetníc plne ovládateľných na diaľku, dorieši sa security. dovtedy je tu more spôsobov, ako môže niekto cudzí s loďami riadne nezbedníčiť.

pre suchozemcov záverom jedna všeobecná myšlienka: ak sa tvorí účelový systém, ktorý má fungovať v uzavretom prostredí, treba ho aj tak spraviť natoľko bezpečným, aby vedel fungovať v otvorenom, “divokom” priestore. je totiž pravdepodobné, že sa čoskoro poprepája všetko so všetkým a všetky zariadenia budú online. dá sa rátať napríklad s tým, že bude vnútorný komunikačný systém autonómnych áut navždy neprístupný zvonka?

jasné že nie a história sa opakuje: “uzavretý” systém dostal po pripojení na sieť trochu na frak od hackerov: zažili to iránske jadrové centrifúgy, ukrajinská elektráreň, americké SUV-čko, no a teraz aj tá naša nemecká plachetnica: