Condividi tramite

Considerazioni sulla sicurezza dell'host del dispositivo

  • Articolo

L'uso dell'host del dispositivo crea problemi di sicurezza a causa dei seguenti elementi:

  • I dispositivi ospitati in un computer che esegue Windows XP invia annunci su tutte le reti.
  • I dispositivi ospitati in un computer che esegue Windows XP consentono il controllo dei dispositivi da tutte le reti.

Ciò aumenta il rischio per i consumatori di casa, perché i dispositivi come un lettore multimediale o un sistema HVAC ospitato in un computer che esegue Windows XP sono visibili e possono essere controllati dai punti di controllo all'esterno della casa.

Quando si crea un dispositivo ospitato, è necessario prendere in considerazione alcuni problemi di sicurezza.

  • Per ridurre l'ambito dell'individuazione e dell'attacco dei dispositivi basati su UPnP, il TTL di tutti i messaggi SSDP è 1. Ciò significa che un dispositivo registrato viene individuato solo dai punti di controllo nella stessa rete. È possibile configurare un TTL superiore nel Registro di sistema.
  • La registrazione di un dispositivo non in esecuzione richiede la pre-registrazione del dispositivo .dll con COM, che richiede privilegi di amministratore.
  • La registrazione di un dispositivo in esecuzione richiede privilegi amministratore, servizio locale o sistema locale.
  • Quando viene avviato l'host del dispositivo, viene eseguito come LocalService. Ciò consente al dispositivo di generare controlli e leggere la chiave del Registro di sistema HKEY_LOCAL_MACHINE . Il dispositivo ha accesso a HKEY_CURRENT_USER. L'account LocalService può usare le risorse a cui è stato concesso l'accesso LocalService, nonché quelli che consentono l'accesso a AuthenticationdUser. Il dispositivo ha accesso limitato al file system.
  • Gli ACL del file system devono essere aggiornati per consentire l'accesso a LocalService alla directory delle risorse.
  • Se il dispositivo deve avere più accesso alla sicurezza, è possibile creare il proprio processo per il dispositivo e registrarlo usando IUPnPRegistrar::RegisterRunningDevice.