Я створив ідеальний пристрій для віддаленого доступу — і водночас ідеальний «хакерський» девайс

Кілька років тому, коли я займався запуском промислових об’єктів, нам знадобився віддалений доступ до діагностичних даних та різних систем. Щоб організувати безпечне підключення до обладнання, я придбав мобільний роутер TP-Link TL-MR3020 та USB LTE-модем. Я прошив роутер на OpenWRT, налаштував його як L2TP/IPsec-клієнт — він підключався до віддаленого сервера, встановлював зашифрований тунель і давав мені прямий доступ до шафи керування відеоспостереженням. Відчуття було таке, ніби я перебуваю на об’єкті фізично.

Цей компактний пристрій живиться через micro-USB, має один Ethernet-порт і один USB-роз’єм. Він надзвичайно популярний серед ентузіастів завдяки своїй ціні (близько $20) та можливості модифікації під безліч цікавих проєктів. Наприклад, я міг легко розмістити USB-хаб, флешку та LTE-модем прямо всередині корпусу, що робило його функціонал майже безмежним. Єдиним реальним обмеженням був малий обсяг пам’яті (64 МБ RAM та 8 МБ Flash), але навіть це можна виправити за допомогою відносно простих модифікацій.

На той момент це було елегантне рішення, яке повністю закривало наші потреби. Але погляньмо на цю ситуацію під іншим кутом. Вітаю — ми щойно зібрали rogue device (несанкціонований пристрій).

Невидима загроза у вашому офісі

Тепер уявіть цей девайс у вашому офісі, встановлений десь за телевізором у переговорній кімнаті. Йому навіть не потрібна окрема розетка — достатньо USB-порту телевізора. Або поставте його поруч із принтером і наклейте інвентарний номер, знятий з будь-якої іншої техніки в офісі — і все, тепер він «легітимний», і на нього ніхто не звертає уваги.

Сьогодні подібне можна реалізувати на базі безлічі портативних IoT-пристроїв або мікрокомп’ютерів на кшталт Raspberry Pi Zero. На них можна запустити навіть Tailscale, не кажучи вже про SSH-тунелі, яким часто довіряють просто тому, що вони «знайомі». Замаскувати такий пристрій у мережі досить просто: підмінити MAC-адресу та змінити ім’я хоста на назву популярної моделі принтера — і він може залишатися непоміченим дуже довго.

Як протидіяти подібним ризикам?

Організації зі зрілою ІТ-інфраструктурою використовують прості, але системні практики, щоб мінімізувати такі загрози:

1. Точний облік: Вони знають, що саме підключено до їхньої мережі — не «приблизно», а до останнього пристрою.
2. Принцип найменших привілеїв: Обмеження доступу за принципом необхідності, а не за замовчуванням «довіряємо всьому, що всередині».
3. Сегментація мережі: Телевізор у переговорній фізично не повинен мати можливості «спілкуватися» з робочими станціями чи серверами.
4. Моніторинг у реальному часі: Відстеження появи нових пристроїв та миттєве реагування, а не перевірка постфактум.
5. Серйозне ставлення до дрібниць: Сприйняття «тимчасових рішень» як повноцінної частини інфраструктури, а не як чогось невидимого.

Це не про параною чи тотальний контроль. Це про розуміння того, що сьогодні будь-який пристрій із живленням та мережевим інтерфейсом — це комп’ютер.