Keamanan firmware hampir tidak meningkat selama dekade terakhir

Sebuah survei baru terhadap lebih dari 6.000 gambar firmware tidak menemukan peningkatan dalam keamanan firmware selama 15 tahun terakhir, serta lemahnya standar keamanan untuk perangkat lunak yang menjalankan perangkat yang terhubung dari Linksys, NETGEAR dan vendor perangkat keras utama lainnya.

Survei ini dilakukan oleh kepala ilmuwan di Cyber ​​Independent Testing Lab (CITL), Sarah Zatcko yang menjelaskan bahwa keamanan firmware lebih buruk daripada yang dipikirkan banyak orang, dengan mengatakan:

“Kami tidak menemukan konsistensi dalam vendor atau lini produk melakukan lebih baik atau menunjukkan peningkatan. Tidak ada bukti bahwa ada orang yang melakukan upaya bersama untuk mengatasi kebersihan keamanan produk mereka. "

Studi CITL mensurvei firmware dari 18 vendor yang berbeda termasuk ASUS, D-link, Linksys, NETGEAR, Ubiquiti, dan lainnya. Tim menganalisis lebih dari 6.000 versi firmware yang dibuat dari 2003 hingga 2018 sebagai bagian dari studi logitudinal pertama tentang keamanan Internet of Things (IoT).

Keamanan firmware

Para peneliti di CITL mempelajari gambar firmware yang tersedia untuk umum untuk mengkompilasi studi mereka dan mengevaluasinya berdasarkan inklusi fitur keamanan standar seperti penggunaan tumpukan yang tidak dapat dieksekusi, Address Space Layout Randomization (ASLR) dan penjaga tumpukan yang digunakan untuk mencegah buffer overflow serangan.

CITL menemukan bahwa firmware dari produsen yang biasa digunakan gagal untuk mengimplementasikan fitur keamanan dasar dan ini juga berlaku ketika para peneliti menguji versi terbaru dari firmware.

Ada beberapa kabar baik termasuk kenyataan bahwa hampir semua firmware router Linksys dan NETGEAR baru-baru ini termasuk tumpukan yang tidak dapat dieksekusi. Namun, fitur keamanan umum lainnya seperti ASLR atau stack guard tidak diterapkan sesuai dengan data CITL.

Para peneliti mendokumentasikan 299 perubahan positif dalam skor keamanan firmware selama 15 tahun yang dicakup oleh penelitian ini, tetapi mereka juga menemukan 360 perubahan negatif selama periode yang sama. Menganalisis seluruh kumpulan data sebenarnya menunjukkan bahwa keamanan firmware tampak semakin buruk seiring waktu. Skor buruk yang diperoleh perangkat ini menunjukkan bahwa banyak perusahaan yang membuat perangkat IoT belum mengadaptasi praktik mereka untuk memperhitungkan risiko yang meningkat yang menyertai perangkat terhubung.

Penjahat dunia maya semakin menargetkan perangkat yang terhubung karena jika dibandingkan dengan Microsoft Windows, AppleMacOS dan Google Chrome, mereka mangsa mudah.

Melalui Buku Besar Keamanan