ETS5 Password Recovery Tool

Inhaltsverzeichnis

• Einleitung
• Installation
• Voraussetzungen
• Wie funktioniert die Passwortwiederherstellung?
• Wie wurde der Designfehler entdeckt?
• Wie kann das Risiko gemindert werden?
• Koordinierte Offenlegung von Sicherheitslücken
• Lizenz
• Änderungsprotokoll

Einleitung

Haben Sie das Passwort für eines Ihrer ETS5-Projekte vergessen und können nicht mehr auf die Konfiguration der KNX-Installation zugreifen? Das ETS5 Password Recovery Tool ermöglicht es Ihnen, das Projektpasswort und andere im Projektverzeichnis der ETS5 gespeicherte Geheimnisse wiederherzustellen. Dies ist möglich, weil die ETS5 einen erheblichen Designfehler aufweist: Sie verwendet ein fest codiertes Passwort und einen fest codierten Salt, um die Projektinformationen zu verschlüsseln (CVE-2021-36799).

Das Speichern kryptografischer Geheimnisse im Quellcode ist nicht empfehlenswert, da sie durch Reverse Engineering der Software wiederhergestellt werden können und somit kaum mehr Schutz bieten, als die Informationen im Klartext zu speichern. Dies kann eine Gefahr für die Sicherheit der KNX-Installationen darstellen. Wenn ein Angreifer Zugriff auf die Dateien im Projektverzeichnis erlangt, kann er diese entschlüsseln, ohne das Projektpasswort zu kennen. Die darin enthaltenen Informationen ermöglichen es, KNX-Geräte abzuhören, sich als solche auszugeben und neu zu konfigurieren. Dies ist besonders problematisch, da die ETS5 den Benutzern den Eindruck vermittelt, das Projektpasswort würde zur Verschlüsselung der Projektinformationen verwendet, nicht nur für exportierte Projekte. Daher haben viele Benutzer und Systemintegratoren wahrscheinlich keine zusätzlichen Maßnahmen ergriffen, um die Vertraulichkeit des Projektverzeichnisses zu gewährleisten. Wenn die ETS5 die Verschlüsselung korrekt implementieren würde und ein starkes Projektpasswort gewählt würde, wäre es für einen Angreifer deutlich schwieriger, selbst wenn er Fernzugriff auf den Computer erlangt hätte.

Die folgenden vertraulichen Informationen werden nicht ordnungsgemäß verschlüsselt:

• Projektpasswörter
• FDSKs
• Backbone-Schlüssel
• Geräteauthentifizierungscodes und abgeleitete Schlüssel
• Geräteverwaltungspasswörter und abgeleitete Schlüssel
• Benutzer-/Tunnelpasswörter und abgeleitete Schlüssel
• Werkzeugschlüssel

Das ETS5 Password Recovery Tool ist ein Machbarkeitsnachweis, der das Problem demonstriert, indem es die sensiblen Informationen entschlüsselt und anzeigt. Es wurde im Rahmen der koordinierten Offenlegung von Sicherheitslücken entwickelt und mit Genehmigung der KNX Association veröffentlicht. Die Veröffentlichung des Tools dient den folgenden Zwecken:

1. Es dokumentiert das Sicherheitsproblem öffentlich, sodass Benutzer Vorsichtsmaßnahmen zur Risikominderung ergreifen können.
2. Die KNX Association plant nicht, das Problem in aktuellen oder zukünftigen Versionen der ETS zu beheben. Die Sensibilisierung für den Designfehler könnte ihre Meinung ändern. (siehe Abschnitt koordinierte Offenlegung von Sicherheitslücken für ein Update)
3. Die Offenlegung des Designfehlers hoffentlich ermutigt die KNX Association und alle, die dieses Dokument lesen, bessere Software-Engineering-Praktiken zu übernehmen.
4. Das ETS5 Password Recovery Tool könnte tatsächlich nützlich sein, falls jemand das Passwort für sein eigenes Projekt vergessen hat.

WARNUNG: Verwenden Sie dieses Tool nur, wenn Sie rechtlich dazu befugt sind, die Projektinformationen einzusehen. Das Umgehen von Sicherheitsmaßnahmen, selbst von ineffektiven, um Zugang zu Informationen zu erhalten, die Sie nicht sehen dürfen, kann in Ihrem Rechtsgebiet eine Straftat darstellen.

Installation

Die ausführbare Datei kann aus dem Release-Bereich heruntergeladen werden. Sie muss nicht installiert werden und kann in einem beliebigen Verzeichnis abgelegt werden.

Alternativ, wenn Sie keine nicht vertrauenswürdige Binärdatei auf Ihrem System ausführen möchten, können Sie einzelne Attribute aus den Projekt-XML-Dateien auf der CyberChef Website entschlüsseln.

Voraussetzungen

Die Software benötigt .NET Framework 4.6 oder höher. Windows 10 enthält standardmäßig bereits eine geeignete .NET-Version. Benutzer älterer Windows-Versionen müssen eine aktuelle .NET Framework-Version installieren, um die Software auszuführen.

Wie funktioniert die Passwortwiederherstellung?

Entgegen der Darstellung in der Benutzeroberfläche verschlüsselt die ETS5 Ihre lokal gespeicherten Projektdateien in C:\ProgramData\KNX\ETS5\ProjectStore nicht mit dem Projektpasswort. Stattdessen verwendet sie das fest codierte Passwort ETS5Password und den Salt Ivan Medvedev, um bestimmte Attribute in den Projekt-XML-Dateien zu verschleiern. Fest codierte kryptografische Geheimnisse widersprechen den Best Practices, wie in CWE-798 und CWE-321 erläutert.

Der Prozess für die Entschleierung ist:

1. Das verschleierte Attribut ist Base64-kodiert und muss dekodiert werden, siehe RFC 4648.
2. Ermitteln Sie die Byterepräsentation von Ivan Medvedev als ASCII- oder UTF-8-kodierten String.
3. Verwenden Sie die vom PasswordDeriveBytes im .NET Framework implementierte Schlüsselableitungsfunktion. Sie basiert auf PBKDF1, fügt jedoch einen Zähler zum Schlüsselableitungsalgorithmus hinzu. In der ETS5 wird sie mit SHA-1 als Hash-Funktion, 100 Iterationen, ETS5Password als Passwort und der Byterepräsentation von Ivan Medvedev als Salt verwendet. Die ersten 32 Bytes der Schlüsselableitungsausgabe werden als Schlüssel und die folgenden 16 Bytes als IV verwendet.
4. Entschlüsseln Sie das dekodierte Attribut mit AES-256 im CBC-Modus mit dem Schlüssel und der IV aus Schritt 3.
5. Entfernen Sie die PKCS#7-Padding, und das Ergebnis ist der ursprüngliche Wert des Attributs.

Eine Implementierung der Entschleierung befindet sich in der Datei Deobfuscator.cs. Da Passwort und Salt konstant sind, wäre es möglich, den Schlüssel und die IV vorab zu berechnen, um die Schlüsselableitung zu überspringen. Dies wird in der Implementierung dieser Software nicht getan, da sie alle Schritte der Entschleierung zeigen soll. Falls Sie jedoch den Schlüssel und die IV benötigen, sind diese unten aufgeführt.