В генераторах случайных чисел в устройствах интернета вещей (IoT) есть серьезный баг, который делает миллиарды "умных" девайсов уязвимыми к кибератакам. Уязвимость, о которой идет речь, обнаружили исследователи Дэн Петро и Аллан Сесил из компании Bishop Fox.

Специалисты опубликовали отчет, в котором подробно описали найденную в IoT-устройствах уязвимость. "Наши тесты показали, что генерация случайных чисел — серьезная проблема, особенно в случаях, когда такая генерация осуществляется на устройствах интернета вещей. Обычно IoT-девайсы выбирают ключи шифрования уровня 0 или еще ниже — такая практика создает катастрофические риски для безопасности данных", — говорит Сесил.

Генераторы случайных чисел — важная часть криптографического ПО. На основе случайных чисел создаются ключи шифрования, модификаторы входа хеш-функций, и так далее, и если механизм генерации случайного числа скомпрометирован, то злоумышленники могут легко обойти защиту устройства.

"Проблема в том, что аппаратные генераторы случайных чисел в однокристальных системах, на которых построены современные устройства IoT, не выдают настоящие случайные последовательности. Генераторы работают предсказуемым образом, что развязывает руки хакерам и создает огромный простор для атак", — пояснил Петро.