Depolardaki Barkod Okuyucularda Bluetooth Doğrulaması Yok

Kablosuz barkod okuyucular terminal konsoluna nasıl dönüşüyor?

Lojistik tesislerinde el terminalleri personelin sürekli kullandığı sıradan araçlar olarak görülür. Standart kurulum genellikle Bluetooth üzerinden haberleşen kablosuz bir okuyucu ve bu cihazın USB ile bilgisayara bağlı şarj yuvasından oluşur. USB bağlantısı bilgisayara İnsan Arayüz Cihazı (HID) olarak tanıtıldığı için, işletim sistemi bu yuvadan gelen her karakteri doğrudan klavye girdisi olarak kabul eder.

Kaspersky uzmanlarının tespitine göre birden fazla üreticinin modelleri karşılıklı kimlik doğrulamasını tümüyle atlıyor. Çevredeki radyo trafiğini pasif şekilde dinleyen bir saldırgan, baz istasyonunun donanım adresini rahatlıkla yakalayabiliyor. Ardından sahte bir cihazla şarj yuvasına bağlanan saldırgan, istediği komut dizilimini bilgisayara tuş vuruşu gibi iletiyor. Yuva, gelen sinyali elindeki okuyucudan ayırt edemediği için tüm karakterleri doğrudan işletim sistemine aktarıyor.

Bu yöntem tipik bir BadUSB saldırısıyla aynı mantıkla çalışıyor. Tesisin içine fiziksel olarak girmeye gerek kalmıyor; mal kabul alanı ya da otopark gibi Bluetooth sinyalinin ulaştığı herhangi bir nokta yeterli. Gönderilen karakterler saniyeler içinde arka planda komut satırı açabiliyor, zararlı yazılım indirebiliyor ve personel palet okutmaya devam ederken bilgisayarda kalıcı erişim kurabiliyor.

Yükleme rampasından ana kurumsal ağlara sızma riski

Periferik donanımlar saldırganlar için nihai hedef değil, sadece içeri sızma aracı. Stok takip bilgisayarına erişim sağlandığında, doğrudan Depo Yönetim Sistemleri (WMS) ve merkezi sunucular hedef alınıyor. Yeterince bölünmemiş ağ yapılarında, mal kabuldeki bir terminal muhasebe sunucularıyla ya da müşteri veritabanlarıyla aynı alt ağı paylaşabiliyor.

Tıpkı 16 yıllık Broadcom Wi-Fi açığının uç donanımları uzun süre korumasız bırakması gibi, endüstriyel sahadaki çevre birimleri de güvenlik stratejilerinde çoğunlukla göz ardı ediliyor. Benzer doğrulama eksikliklerinin termal etiket yazıcılarında ve taşınabilir veri terminallerinde de bulunabileceği belirtiliyor.

Kaspersky etkilenen marka ve modellerin adını doğrudan paylaşmadı ancak sorunun tek bir üreticiyle sınırlı olmadığını, sektör geneline yayıldığını açıkladı. Dünya çapında faaliyet gösteren yüz binlerce deponun yanı sıra perakende mağazaları ve hastaneler de aynı zafiyet barındıran okuyucuları kullanıyor.

İşletmelerin alması gereken güvenlik önlemleri

Üreticiler şifreli eşleştirme ve sertifika tabanlı el sıkışma zorunluluğu getiren bellenim güncellemeleri yayınlayana kadar, depo istasyonlarındaki okuyucu yuvalarının güvenilmeyen harici cihaz statüsünde değerlendirilmesi gerekiyor.

Bilgi işlem ekiplerinin saha bilgisayarlarını ana kurumsal ağdan tamamen izole etmesi ve yetkisiz komut çalıştırılmasını engellemesi şart.

• Masaüstü yuvalarda kullanılmayan Bluetooth yayınını ve kablosuz arayüzleri devre dışı bırakın.
• İş istasyonlarında USB tabanlı cihazlardan komut satırı veya PowerShell gibi betiklerin çalıştırılmasını engelleyin.
• Saha terminallerini ana şirket ağından ve kritik sunuculardan ayrı VLAN yapılarına taşıyın.
• Depo personelinin kullandığı oturumlardan tüm yönetici (admin) yetkilerini kaldırın.

Türkiye'de durum ne?

Türkiye'de hızla büyüyen e-ticaret lojistik merkezleri, kargo dağıtım depoları ve büyük süpermarket zincirleri bu kablosuz barkod okuyucu sistemlerini yoğun biçimde kullanıyor. Kaspersky henüz belirli marka ve model listesi paylaşmadığı için yerel BT ekiplerinin doğrudan bir yama kurması şu an mümkün değil.

Özellikle otoyol kenarlarında veya açık yükleme alanlarında bulunan lojistik merkezlerinde, sinyal menzilinin bina dışına taşması büyük risk oluşturuyor. Türkiye'deki depo yöneticilerinin harici donanımları ayrı bir ağ segmentine alması ve terminal bilgisayarlarındaki yerel yetkileri derhal kısıtlaması gerekiyor.

Her yıl milyarlarca liralık ürün trafiğini yöneten tedarik zincirleri, kimlik doğrulaması bulunmayan basit bir kablosuz bağlantı yüzünden kesintiye uğrayabilir. Bu açığı kapatmak, depo zeminindeki en küçük cihazı bile bir sunucu ciddiyetiyle denetlemekten geçiyor.