Могат ли хакери да отвлекат къщата ви? изгори си тост?

Домашната автоматизация е толкова готина. Не е нужно да се притеснявате, че може би сте оставили кафенето включено или сте забравили да затворите вратата на гаража; можете да проверите къщата и да отстраните всички проблеми, независимо къде се намирате. Но какво ще стане, ако кибер мошеник успее да получи контрол над системата? Изследователи от IOActive откриха колекция от недостатъци в популярна система за домашна автоматизация, недостатъци, които престъпник лесно би могъл да използва, за да поеме.

Системата за домашна автоматизация на Belkin на Belkin използва Wi-Fi и мобилен интернет, за да контролира почти всеки вид домашна електроника. Уязвимостите, открити от екипа на IOActive, ще позволят на атакуващия да контролира дистанционно всички прикачени устройства, да актуализира фърмуера със собствена (злонамерена) версия, да наблюдава дистанционно някои устройства и евентуално да получи пълен достъп до домашната мрежа.

Потенциал за проблеми

Наличен е огромен набор от WeMo устройства. Можете да получите светодиодни крушки, осветяващи WeMo, превключватели на светлините, които предлагат както дистанционно управление, така и мониторинг на използването, и изходи за дистанционно управление. Бебешки монитори, сензори за движение, в работата има дори бавна печка с дистанционно управление. Всички те се свързват чрез WiFi и всички те трябва да се свързват само с законни потребители.

Изследователите посочиха, че мошеник с достъп до вашата WeMo мрежа може да включи всичко, което води до загуба на електроенергия до пържена верига и потенциално до пожар. След като системата на WeMo е развита, умен хакер може да използва тази връзка в пълен достъп до домашната мрежа. От обратната страна функциите на бебешкия монитор и сензора за движение ще разкрият дали има някой вкъщи. Необитаема къща е дамска мишена за някакви кражби в реалния свят.

Комедия на грешките

Уязвимостите, които бяха открити в системата, са почти за смях. Фърмуерът е цифрово подписан, вярно, но ключът за подпис и паролата могат да бъдат намерени точно в устройството. Нападателите могат да заменят фърмуера, без да задействат проверки за сигурност, просто като използват същия ключ за подписване на тяхната злонамерена версия.

Устройствата не валидират сертификатите за защитен сокет слой (SSL), използвани при свързване с облачната услуга Belkin. Това означава, че кибер-мошеникът може да използва произволен SSL сертификат, за да се представя за майчинството на Belkin. Изследователите откриха и уязвимости в протокола за комуникация между устройствата, така че един атакуващ може да получи контрол дори без да заменя фърмуера. И (изненада!) Те откриха уязвимост в API на Belkin, която ще даде пълен контрол на атакуващия.

Какво да правя?

Може да попитате, защо IOActive публикува тези опасни разкрития? Защо не отидоха при Белкин? Както се оказва, те го направиха. Просто не получиха никакъв отговор.

Ако сте един от очакваните половин милион потребители на WeMo, IOActive ви съветва незабавно да изключите всичките си устройства. Това може да изглежда малко драстично, но като се има предвид тежестта на пропуските в сигурността, потенциала за експлоатация и очевидната липса на интерес от страна на Белкин, виждам. За пълни технически подробности, проверете препоръките на IOActive онлайн. Докато Belkin не свързва нещата, може да помислите да опитате друга система за домашна автоматизация.