Chociaż widzieliśmy już kilka bardzo poważnych przypadków zaniedbań ze strony niektórych firm, to co stało się z TP-Linkiem w ostatnich dniach sprawia, że mamy ochotę włożyć papierową torbę na głowę ze wstydu. Najwyraźniej chiński producent zapomniał o odnowieniu domen dla dwóch adresów, które produkty sprzedawane przed 2014 rokiem wykorzystują jako początkowy portal konfiguracyjny, a nowi właściciele żądają 2,5 miliona dolarów… tylko za jedną z nich.
Zapomniane domeny konfiguracyjne
Od dawna główni producenci modemów, routerów, przełączników, wzmacniaczy Wi-Fi i innych podobnych urządzeń szukają sposobu na uproszczenie procesu konfiguracji. Osobiście jestem pierwszym, który przyzna, że konfiguracja routera jest wszystko tylko nie intuicyjna, ale gdy już przełamiemy się z kilkoma modelami, ogólne parametry są łatwe do naśladowania. Jednak rozumiem, że użytkownik czuje się nieswojo, wpisując «192.168.1.1» w miejsce, gdzie zwykle wpisuje się adres strony internetowej, i próbując wykorzystać tę «intuicję», kilka firm zdecydowało się na wprowadzenie częściowych lub całościowych adresów jako portalu konfiguracyjnego. Na przykład Belkin używa «http://router», co działa całkiem dobrze, a w przypadku Asusa mamy «http://router.asus.com». Przy pierwszej konfiguracji routera te adresy poprawnie kierują użytkownika do strony konfiguracyjnej, ale gdy połączenie z internetem jest aktywne, takie adresy mogą być rozwiązywane.
Ten ostatni szczegół wymaga pewnej odpowiedzialności ze strony producenta, a jak udało nam się sprawdzić, koledzy z TP-Linka zapomnieli ją zostawić w drzwiach. Zgodnie z Amitayem Danem z firmy bezpieczeństwa Cybermoon, TP-Link zapomniał odnowić rejestracje dla dwóch swoich domen: tplinklogin-dot-net i tplinkextender-dot-net. Te adresy pojawiają się na etykietach produktów sprzedawanych przed 2014 rokiem, a teraz mają inne (tplinkwifi-dot-net i tplinkrepeater-dot-net, jeśli chodzi o ścisłość), ale nie o to chodzi. Zapominając o odnowieniu, obie domeny przeszły w ręce zewnętrznych podmiotów, które szybko wystawiły je na sprzedaż. Ile żądają? Tplinklogin-dot-net jest bardziej popularna z tych dwóch, z 4,4 milionami miesięcznych wizyt, a magiczna liczba to 2,5 miliona dolarów.
Wobec takiej ceny decyzja TP-Linka nie była inna, jak porzucenie domen całkowicie i zmodyfikowanie wszystkich odniesień na oficjalnej stronie, ale to nie eliminuje ryzyka bezpieczeństwa. Obie domeny mogą zostać wykorzystane do ataku phishingowego (podszywając się pod oficjalną stronę) lub jako mechanizm dystrybucji złośliwego oprogramowania, rozpowszechniając fałszywe «aktualizacje firmware». Na szczęście ochrona jest prosta: powinniśmy ignorować obie domeny i używać wewnętrznego adresu IP urządzenia do konfiguracji (czy to 192.168.0.1, 192.168.1.1, 10.0.0.1, czy inna wariant). Co się z nimi stanie? Ze względu na problem, jaki stanowią, prawdopodobnie zostaną zablokowane na poziomie przeglądarki lub ISP. Do tego czasu właściciele sprzętu TP-Link z kilkoma latami na karku być może będą chcieli obchodzić się z nieco większą ostrożnością.
