美国公司紧急警报产品曝安全漏洞

网络安全公司Bastille在近日表示，由位于美国波士顿的ATI Systems公司开发的紧急警报系统（Emergency Alert System，EAS）存在一个严重的安全漏洞，允许潜在攻击者通过发送特制的无线信号远程利用这些系统来激活与之相连的所有警报器，以触发虚假警报。

全球大多数国家目前都在采用紧急警报系统，用以在发生自然灾害、人为灾难和其他紧急情况的时候向公民发出应急警报，例如，恶意的气候条件、风暴灾害、龙卷风和恐怖袭击。

根据ATI Systems公司网站记录的信息，该公司的产品已经被广泛部署在旧金山以及其他大城市和农村地区、军事基地、大学校园以及包括石油和核能发电厂在内的工业场所，其中不乏包括世界贸易中心一号大楼、IPEC能源中心、麻省大学阿默斯特分校和西点军校这样的重要场所。

被命名为“Siren Jack”的漏洞是由Bastille公司的漏洞研究总监Balint Seeber发现的，他在今年1月向ATI Systems披露了这个问题。这依据了安全行业的90天漏洞披露机制，以给供应商足够的时间来研究漏洞和开发修补程序。

Seeber表示，这个漏洞其实是他在2016年审核部署在旧金山市的紧急警报系统时发现的，起初他并没有打算向ATI Systems进行披露。但鉴于在2017年4月发生的达拉斯龙卷风警报系统遭黑客攻击事件和以及在今年1月发生的夏威夷核导弹警报系统误报的事件，Seeber最终还是决定与ATI Systems进行联系。

根据Seeber的说法，漏洞来自用于控制警报器的无线电协议没有受到安全保护——激活命令以“明文”形式发送，而并没有进行任何加密处理。

为了利用Siren Jack漏洞来发起攻击，攻击者首先需要从无线电信号中识别出目标报警器所使用的无线电频率（RF），然后才能够发送出能够被报警器所接收的特制消息，而这似乎并不困难。而由于ATI Systems紧急警报系统所发出的激活命令并没有经过加密处理，这使得攻击者在找到特定的无线电频率之后，很容易模拟出这种激活命令。

Seeber表示，无论是识别无线电频率还是模拟激活命令对于拥有专业技能的黑客来说并不困难，至于发起攻击所需要的设备，只是一台价值30美元的手持式收音机和一台个人计算机而已。

ATI Systems表示，修复程序目前正在测试中，不久之后将用于修复在旧金山市部署的系统。不过，ATI Systems指出，要修复所有的系统并不容易，因为许多产品都是根据不同的客户需求而量身定制的，这意味着对于不同的产品来说修复程序可能并不通用。

Bastille公司表示，他们通过与ATI Systems公司的联系，了解到了部分受漏洞影响设备型号，并制作了一份清单。但正如上面提到的那样，由于很多产品都是依据客户需求定制的，所以他们并不能确定这份清单是完整的。

因此，Bastille公司建议客户主动联系ATI Systems，以确定自己所使用的系统中是否存在易受攻击的报警器或控制器，然后从ATI Systems获得更具针对性的解决措施。

原文：http://mp.weixin.qq.com/s/mJi9KMBAnYdyO8mjOYlZow