ประตูหลังเราเตอร์ราคาประหยัด ภัยเงียบในเครือข่ายบ้าน

ประตูหลังที่ซ่อนอยู่: เมื่อเราเตอร์โทรกลับเองโดยไม่ถามเจ้าของ

ช่องโหว่ความปลอดภัยเราเตอร์ที่เป็นประเด็นในบทความนี้หมายถึงการฝังฟังก์ชันประตูหลังเราเตอร์ลงในเฟิร์มแวร์ ทำให้เราเตอร์โทรออกไปยังเซิร์ฟเวอร์ภายนอกและเปิดให้บุคคลภายนอกเข้าควบคุมจากระยะไกลโดยไม่ต้องยืนยันตัวตน ซึ่งสร้างความเสี่ยงร้ายแรงต่อความปลอดภัยเครือข่ายบ้านของผู้ใช้ทุกคนที่เชื่อมต่อผ่านอุปกรณ์นั้น. ผู้ให้บริการความปลอดภัยพบว่าเราเตอร์ยี่ห้อ Zbtlink ฝังเครื่องมือชื่อ rctl ซึ่งทำหน้าที่เป็นไคลเอนต์สั่งงานจากศูนย์ควบคุมและถูกตั้งให้ทำงานตั้งแต่บูตเครื่อง โดยโปรเซสนี้รันด้วยสิทธิ์ root และพยายามเชื่อมต่อไปยังเซิร์ฟเวอร์ควบคุมทุกครั้งที่มีอินเทอร์เน็ตเชื่อมต่อ. รายงานอีกฉบับยืนยันว่าเราเตอร์เหล่านี้ถูกโปรแกรมให้ ping รายการเซิร์ฟเวอร์ที่ฝังไว้ล่วงหน้า และเมื่อเซิร์ฟเวอร์ตอบรับก็จะมอบสิทธิ์ root เต็มรูปแบบโดยไม่ต้องใช้รหัสผ่านหรือกระบวนการพิสูจน์ตัวตนใดๆ. นั่นไม่ใช่ “ฟีเจอร์” แต่มันคือประตูหลังเต็มตัว.

จากฟีเจอร์บำรุงรักษา สู่ประตูหลัง: คำอธิบายที่ฟังไม่ขึ้น

ผู้ผลิตเราเตอร์รายนี้ประกาศว่าเฟิร์มแวร์ของตนไม่มีประตูหลัง แต่ก็ยอมรับโดยทางอ้อมว่ามีปัญหาด้านความปลอดภัยเมื่อประกาศหยุดให้ดาวน์โหลดเฟิร์มแวร์ชั่วคราวเพื่อแก้ไขช่องโหว่ที่ตรวจพบในหลายเวอร์ชัน. ในหน้าโหลดเฟิร์มแวร์มีข้อความชัดเจนว่าพบช่องโหว่และได้ถอดไฟล์ที่ได้รับผลกระทบออกจากช่องทางดาวน์โหลด พร้อมระบุว่าทีมวิศวกรกำลังเร่งพัฒนาเฟิร์มแวร์แพตช์ที่ปลอดภัยมากขึ้น. ในขณะเดียวกัน โฆษกของบริษัทอธิบายว่าฟังก์ชันดังกล่าวเป็นเพียง “ระบบดูแลหลังการขาย” และมักใช้กับเครื่องตัวอย่างเพื่อช่วยลูกค้าดีบักเท่านั้น ไม่ได้อยู่ในเครื่องที่ขายจริง. คำอธิบายนี้ขัดกับข้อเท็จจริงที่ว่ามีเฟิร์มแวร์หลายรุ่นถูกดึงออกทั้งหมด และนักวิจัยพบโค้ดโทรกลับฝังอยู่ในเราเตอร์มากกว่า 20 รุ่น. เมื่อผู้ผลิตบอกว่าไม่ใช่ประตูหลัง แต่โค้ดกลับมอบสิทธิ์ root เต็มรูปแบบโดยไม่ต้องยืนยันตัวตน นั่นคือการเล่นคำ ไม่ใช่การป้องกันผู้ใช้.

ทำไมเครือข่ายบ้านจึงเสี่ยงหนักกว่าที่คิด

เมื่อเราเตอร์กลายเป็นประตูหลัง ทุกข้อมูลที่ผ่านออกอินเทอร์เน็ตสามารถถูกดักดูหรือแก้ไขได้ทันที ช่องโหว่แบบนี้ทำให้ผู้ควบคุมจากภายนอกสามารถสั่งคำสั่ง shell หรือเปิด reverse bash shell บนอุปกรณ์ได้ ทำให้เข้าถึงอุปกรณ์ทุกตัวในเครือข่ายบ้านได้เหมือนอยู่ในแลนเดียวกัน. นักวิจัยเตือนว่ามีการตั้งค่าให้เราเตอร์โทรกลับไปยังเซิร์ฟเวอร์ที่ฝังในเฟิร์มแวร์ และเมื่อเชื่อมต่อได้ก็จะให้สิทธิ์ควบคุม root โดยไม่ต้องยืนยันตัวตน. นี่คือขุมทองสำหรับการโจมตีแบบซัพพลายเชน เพราะเฟิร์มแวร์เราเตอร์เป็นจุดเดียวที่ควบคุมทราฟฟิกทั้งหมดของผู้ใช้. เราเตอร์เหล่านี้ถูกวางขายในหลายแบรนด์ย่อย เช่น ZBT, ZBTWiFi และ Wiflyer ในกลุ่มเราเตอร์ราคาประหยัด จึงไม่แปลกที่หน่วยงานกำกับดูแลด้านสื่อสารได้ประกาศแบนเราเตอร์ต่างประเทศรุ่นใหม่บางส่วนด้วยเหตุผลด้านความมั่นคง. แต่ปัญหาใหญ่คืออุปกรณ์รุ่นเก่าที่ยังวางขายอยู่และยังติดตั้งอยู่ในบ้านผู้ใช้นับไม่ถ้วน.

คุณอาจใช้เราเตอร์ที่มีประตูหลังอยู่แล้วโดยไม่รู้ตัว

ประเด็นที่น่ากังวลคือเราเตอร์กลุ่มนี้ไม่ได้ขายภายใต้ชื่อเดียว แต่ถูกรีแบรนด์หลายครั้ง ทำให้ผู้ใช้ยากจะรู้ว่าตนเองกำลังถือระเบิดเวลาอยู่หรือไม่. รายงานของนักวิจัยระบุรุ่นที่ได้รับผลกระทบอย่างชัดเจน ได้แก่ CPE2801, WE1026-5G-WD, WE1326, WE2007, WE2008-DSIM, WE2416, WE3326, WE5927, WE5931, WE5931AC, WE826-T3-DSIM, WG108, WG1602, WG1608-DSIM, WG209, WG2105, WG2107, WG259, WG3526 และ Z8102AX-2DSIM. หากคุณใช้เราเตอร์ราคาประหยัดหรือแบรนด์ที่ไม่คุ้นชื่อ สิ่งแรกที่ควรทำคือตรวจสอบรุ่นและเวอร์ชันเฟิร์มแวร์บนหน้าแอดมินของเราเตอร์ แล้วไปเทียบกับข้อมูลที่นักวิจัยเผยแพร่. ผู้ผลิตเองก็ยอมรับว่ามีเฟิร์มแวร์บางเวอร์ชันที่ได้รับผลกระทบและถูกถอดออกจากหน้าโหลด. การรู้ว่าอุปกรณ์ของคุณอยู่ในกลุ่มเสี่ยงหรือไม่คือก้าวแรกก่อนจะวางแผนป้องกันที่เหลือ และหลีกเลี่ยงการตกเป็นเหยื่อจากประตูหลังเราเตอร์แบบนี้.

แผนป้องกันสำหรับเครือข่ายบ้าน: จากการอัปเดตเฟิร์มแวร์สู่การแบ่งเครือข่าย

เมื่อช่องโหว่ความปลอดภัยเราเตอร์รุนแรงถึงขั้นให้สิทธิ์ root โดยไม่ต้องยืนยันตัวตน การเพิกเฉยไม่ใช่ทางเลือกอีกต่อไป. นักวิจัยเสนอวิธีรับมือหลายระดับ ตั้งแต่การเขียนกฎบล็อกการเชื่อมต่อจากเราเตอร์ไปยังโดเมนและ IP ที่ฝังไว้ โดยให้ตัวอย่างในรูปแบบกฎสำหรับ Suricata, Snort และ YARA รวมถึงวิธีตรวจจับเครื่องที่อาจติดมัลแวร์แล้ว. แต่สำหรับผู้ใช้บ้าน แนวทางที่ใช้ได้จริงควรเริ่มจากการตรวจสอบและอัปเดตเฟิร์มแวร์เราเตอร์เมื่อมีเวอร์ชันแพตช์ใหม่ออกมา เนื่องจากผู้ผลิตประกาศว่ากำลังพัฒนาเฟิร์มแวร์ที่ปลอดภัยขึ้น. ขั้นต่อมาคือเปิดใช้ฟีเจอร์ความปลอดภัยที่มีอยู่ เช่น ปิดการเข้าถึงจากภายนอกที่ไม่จำเป็น และสร้างเครือข่ายแยก (network segmentation) สำหรับอุปกรณ์ IoT ทั้งหมด เพื่อไม่ให้อุปกรณ์สมาร์ตบ้านอยู่ในแลนเดียวกับคอมพิวเตอร์หรือโทรศัพท์ที่ใช้ทำธุรกรรมสำคัญ. นักวิจัยยังแนะนำว่าหากเป็นไปได้ให้เปลี่ยนเราเตอร์ใหม่ หรืออย่างน้อยก็วางเราเตอร์ปัญหาไว้หลังระบบไฟร์วอลล์ที่ควบคุมการออกอินเทอร์เน็ตอย่างเข้มงวดและถือว่าแลนฝั่งนั้นไม่ปลอดภัย. การปกป้องเครือข่ายบ้านจึงไม่ใช่แค่เรื่องการตั้งรหัส Wi-Fi ให้ซับซ้อน แต่คือการควบคุมทุกช่องทางที่เราเตอร์ของคุณอาจ “โทรออก” ไปโดยที่คุณไม่รู้ตัว.