网络附加存储设备比家用路由器更安全

安全检查发现的严重安全漏洞来自多个制造商的10个流行的NAS系统 

网络附加存储（NAS）来自多个厂商的设备安全审查发现，他们通常比家庭路由器，一类称为安全穷人和弱势群体的代码的设备更多的漏洞。 

雅各霍尔库姆在巴尔的摩的独立安全评估人员安全分析师，在分析从10厂商的NAS设备的过程中，迄今已发现的漏洞可能导致完全妥协于他们。 

“没有，我简直无法接管一台设备，”霍尔库姆说，星期三的讲座在拉斯维加斯，在那里他展示了他的一些初步调查结果的黑帽安全大会期间。 “其中至少有50％的可以不经认证被利用，”他说。 

他评估的设备有：Asustor的AS-602T，TRENDnet的TN-200 TN-200T1，QNAP的TS-870，希捷的BlackArmor1BW5A3-570，Netgear的ReadyNAS104，D-Link的DNS-345，联想的IX4-300D，Buffalo的TeraStation的5600，西部数据的MyCloud EX4和合勤的NSA325 V2。 

到目前为止，安全组织MITRE已分配22 CVE（通用漏洞披露）标识符的研究人员已经发现了问题，但该项目刚刚开始，他希望能够找到更多的在今年年底。这些设备是远远比路由器更糟糕，他说。 

霍尔库姆带领了类似的研究，去年确定了50多个漏洞，流行的SOHO路由器。他预计，在确定NAS系统远漏洞的数量超过他那些在路由器中发现的时候，他的新项目已经结束。 

他在NAS系统中发现的问题类型包括命令注入，跨站请求伪造，缓冲区溢出，认证和旁路故障，信息披露，后门账户，可怜的会话管理和目录遍历。通过结合一些漏洞，攻击者可以取得“根壳”上的设备，让他们用最快的权限执行命令。 

霍尔库姆展示期间对D-LINK，美国网件，布法罗和TRENDnet的NAS设备了黑帽简报此类攻击。他还透露了希捷设备和确定性的cookie产生的Asustor产品。后门账号。 

所有迄今发现的漏洞报告给厂商，但补丁对他们的释放可能需要几个月，霍尔库姆说。在黑帽大会中提出的问题还没有得到解决，这样他们就可以被认为是零几天，他说。 

有什么可以妥协的NAS设备，并降低路由器进行明显的差异。通过控制路由器的攻击者可以获取并修改互联网流量的网络，同时侵入一台NAS系统可以提供对存储的敏感信息。 

路由器是更可能是从互联网上比NAS系统可访问的，但是这并不意味着NAS设备不被攻击的目标攻击。 

戴尔SecureWorks公司的研究人员报告在六月，一个黑客通过侵入的Synology NAS设备，并使用它们来挖掘Dogecoin，一种cryptocurrency作了60多万美元。最近，一些台Synology NAS设备拥有者报告说，他们的系统已经被感染了名为SynoLocker文件加密恶意程序。 

通过降低NAS设备，攻击者也可以利用技术，如ARP欺骗劫持流量从同一网络上的其他设备，霍尔库姆说。 

一个大问题是，许多NAS厂商使用相同的代码库为他们的高端和低端设备，研究人员说。这意味着在一个低成本的NAS设备设计用于家庭使用中可能存在设计用于企业环境更加昂贵的NAS系统相同的安全漏洞。 

付更多的钱用于设备并不意味着它具有更好的安全性，霍尔库姆警告。 

独立安全评估人员已与电子前沿基金会合作，在本周晚些时候举办的SOHO路由器的黑客大赛在DEFCON安全会议，主要是为了提高人们对这些设备的安全性差的状态。霍尔库姆的新的研究表明其他嵌入式设备的票价更是雪上加霜。