ETS5 Password Recovery Tool

Sommario

• Introduzione
• Installazione
• Requisiti
• Come funziona il recupero della password?
• Come è stato scoperto il difetto di progettazione?
• Come si può mitigare il rischio?
• Divulgazione coordinata delle vulnerabilità
• Licenza
• Registro delle modifiche

Introduzione

Hai dimenticato la password di uno dei tuoi progetti ETS5 e non riesci più ad accedere alla configurazione dell'impianto KNX? Il tool ETS5 Password Recovery ti permette di recuperare la password del progetto e altri segreti salvati nel project store dell'ETS5. Ciò è possibile perché l'ETS5 presenta un significativo difetto di progettazione: utilizza una password e un salt hard-coded per crittografare le informazioni del progetto (CVE-2021-36799).

Conservare segreti crittografici nel codice sorgente è sconsigliato perché possono essere recuperati tramite reverse engineering del software, offrendo così poca protezione in più rispetto a memorizzare le informazioni in chiaro. Ciò può rappresentare una minaccia per la sicurezza delle installazioni KNX. Se un attaccante riesce ad accedere ai file nel project store, può decifrarli pur non conoscendo la password del progetto. Le informazioni in essi contenute consentono di intercettare, impersonare e riconfigurare i dispositivi KNX. Questo è particolarmente problematico perché l'ETS5 dà agli utenti l'impressione che la password del progetto venga utilizzata per crittografare le informazioni del progetto, non solo per i progetti esportati. Di conseguenza, è probabile che molti utenti e integratori di sistema non abbiano preso ulteriori misure per garantire la riservatezza del project store. Se l'ETS5 implementasse correttamente la crittografia e venisse scelta una password forte per il progetto, sarebbe una sfida molto più ardua per un attaccante, anche se riuscisse ad ottenere accesso remoto al computer.

Le seguenti informazioni riservate sono crittografate in modo improprio:

• Password dei progetti
• FDSK
• Chiavi backbone
• Codici di autenticazione dei dispositivi e chiavi derivate
• Password di gestione dei dispositivi e chiavi derivate
• Password utente/tunneling e chiavi derivate
• Chiavi tool

ETS5 Password Recovery Tool è una prova di concetto che dimostra il problema decifrando e mostrando le informazioni sensibili. È stato sviluppato come parte della divulgazione coordinata delle vulnerabilità e viene rilasciato con il permesso della KNX Association. La pubblicazione del tool ha i seguenti scopi:

1. Documenta pubblicamente il problema di sicurezza, permettendo così agli utenti di prendere precauzioni per mitigare i rischi.
2. La KNX Association non prevede di risolvere il problema nelle versioni correnti o future dell'ETS. Sensibilizzare l'opinione pubblica sul difetto di progettazione potrebbe far loro cambiare idea. (vedere la sezione divulgazione coordinata delle vulnerabilità per un aggiornamento)
3. Divulgare il difetto di progettazione sperabilmente incoraggia la KNX Association e chiunque legga questo documento ad adottare migliori pratiche di ingegneria del software.
4. ETS5 Password Recovery Tool potrebbe effettivamente essere utile nel caso in cui qualcuno abbia dimenticato la password del proprio progetto.

AVVERTENZA: Utilizza questo tool solo se sei legalmente autorizzato a visualizzare le informazioni del progetto. Aggirare le misure di sicurezza, anche quelle inefficaci, per ottenere l'accesso a informazioni che non ti è consentito vedere, potrebbe essere un reato nella tua giurisdizione.

Installazione

L'eseguibile può essere scaricato dalla sezione release. Non necessita di installazione e può essere posizionato in qualsiasi directory a scelta.

In alternativa, se non desideri eseguire un binario non attendibile sul tuo sistema, puoi decifrare singoli attributi dai file XML del progetto sul sito CyberChef.

Requisiti

Il software dipende da .NET Framework 4.6 o successivo. Windows 10 include già una versione .NET adeguata per impostazione predefinita. Gli utenti di versioni precedenti di Windows dovranno installare una versione corrente di .NET Framework per eseguire il software.

Come funziona il recupero della password?

Contrariamente a quanto suggerisce l'interfaccia utente, l'ETS5 non crittografa i file di progetto memorizzati localmente in C:\ProgramData\KNX\ETS5\ProjectStore con la password del progetto. Invece, utilizza la password hard-coded ETS5Password e il salt Ivan Medvedev per offuscare specifici attributi nei file XML del progetto. I segreti crittografici hard-coded sono contrari alle buone pratiche, come spiegato in CWE-798 e CWE-321.

Il processo per la deoffuscazione è:

1. L'attributo offuscato è codificato in Base64 e deve essere decodificato, vedere RFC 4648.
2. Ottieni la rappresentazione in byte di Ivan Medvedev come stringa codificata ASCII o UTF-8.
3. Utilizza la funzione di derivazione della chiave implementata da PasswordDeriveBytes nel .NET Framework. È basata su PBKDF1, ma aggiunge un contatore all'algoritmo di derivazione della chiave. Nell'ETS5 viene utilizzata con SHA-1 come funzione hash, 100 iterazioni, ETS5Password come password e la rappresentazione in byte di Ivan Medvedev come salt. I primi 32 byte dell'output della derivazione della chiave saranno usati come chiave e i successivi 16 byte come IV.
4. Decifra l'attributo decodificato utilizzando AES-256 in modalità CBC con la chiave e l'IV del passo 3.
5. Rimuovi il padding PKCS#7 e il risultato è il valore originale dell'attributo.

Un'implementazione della deoffuscazione si trova nel file Deobfuscator.cs. Poiché la password e il salt sono costanti, sarebbe possibile precalcolare la chiave e l'IV per saltare la derivazione della chiave. Ciò non viene fatto nell'implementazione di questo software, poiché intende mostrare tutti i passaggi della deoffuscazione. Tuttavia, se hai bisogno della chiave e dell'IV, sono elencati di seguito.

	Hex	Base64
Chiave	22BD16CDBB96B0E18E977BB3FEFADD8886E7E38A2F8A6FD9D2F2F5663AC20371	Ir0WzbuWsOGOl3uz/vrdiIbn44ovim/Z0vL1ZjrCA3E=
IV	8E977BB3FEFADD88E6AE6CBEAE3E7CAF	jpd7s/763Yjmrmy+rj58rw==