Videó: Почему авиакомпании продают слишком много билетов? — Нина Клетч (November 2024)
Az otthoni automatizálás olyan jó. Nem kell attól tartania, hogy bekapcsolt kávéfőzőt hagyott el, vagy elfelejtette bezárni a garázs ajtaját; ellenőrizheti a házat, és kijavíthatja a problémákat, függetlenül attól, hogy hol tartózkodik. De mi van, ha egy számítógépes csalónak sikerült megszereznie a rendszer irányítását? Az IOActive kutatói hibákat találtak a népszerű otthoni automatizálási rendszerben, olyan hibákat, amelyeket a bűncselekmény könnyen felhasználhat az átvételre.
A Belkin WeMo otthoni automatizálási rendszere a Wi-Fi-t és a mobil internetet használja bármilyen otthoni elektronika irányításához. Az IOActive csapata által felfedezett sérülékenységek lehetővé teszik, hogy a támadó távolról vezérelje a csatlakoztatott eszközöket, frissítse a firmware-t a saját (rosszindulatú) verziójával, távolról figyeljen egyes eszközöket, és valószínűleg teljes hozzáférést kapjon az otthoni hálózathoz.
Hiba lehetősége
Rengeteg WeMo eszköz áll rendelkezésre. Vásárolhat WeMo-tudatos LED-izzókat, világítókapcsolókat, amelyek távvezérlést és felhasználásfigyelést is kínálnak, valamint távirányítói aljzatokat. Babafigyelők, mozgásérzékelők, még egy távirányítóval működő lassú tűzhely is van a munkálatokban. Mind WiFi-n keresztül csatlakoznak, és csak legitim felhasználókkal kell kapcsolódniuk.
A kutatók rámutattak, hogy a WeMo hálózatához hozzáféréssel rendelkező csaló mindent bekapcsolhat, ami az elektromos áram pazarlásától a sütött áramkörig és potenciálisan tüzet okozhat. Miután a WeMo rendszert megfogalmazták, egy okos hackerek ezt a csatlakozást teljes hozzáférésbe hozhatják az otthoni hálózathoz. A fedőlapon a babafigyelő és a mozgásérzékelő funkciói feltárják, hogy van-e otthon valaki. A kihasználatlan ház dandy célpontja egy valódi betörésnek.
Hibakomédia
A rendszerben felfedezett sebezhetőség szinte nevetséges. A firmware digitális aláírással rendelkezik, igaz, de az aláírási kulcs és a jelszó közvetlenül az eszközön található. A támadók a firmware-t a biztonsági ellenőrzések megkezdése nélkül cserélhetik ki, egyszerűen ugyanazzal a kulccsal a rosszindulatú verzió aláírásához.
Az eszközök nem érvényesítik a Belkin felhőszolgáltatáshoz való kapcsolódáshoz használt Secure Socket Layer (SSL) tanúsítványokat. Ez azt jelenti, hogy egy számítógépes csaló bármilyen véletlenszerű SSL tanúsítvánnyal felhasználhatja a Belkin anyaság megszemélyesítését. A kutatók olyan biztonsági réseket is találtak az eszközök közötti kommunikációs protokollban, amelyekkel a támadó még a firmware cseréje nélkül is megszerezheti az irányítást. És (meglepetés!) Egy biztonsági rést találtak a Belkin API-ban, amely teljes támadást biztosít a támadó számára.
Mit kell tenni?
Megkérdezheti, hogy az IOActive miért teszi ezeket a veszélyes kijelentéseket nyilvánosságra? Miért nem mentek Belkinbe? Mint kiderült, megtettek. Csak nem kaptak választ.
Ha Ön a becslések szerint a fél millió WeMo felhasználó egyike, az IOActive azt javasolja, hogy azonnal húzza ki az összes eszközt. Ez kissé drasztikusnak tűnhet, de tekintettel a biztonsági hiányosságok súlyosságára, a kizsákmányolás potenciáljára és a Belkin nyilvánvaló érdektelenségére, látom. A teljes műszaki részletekért olvassa el az IOActive tanácsadását az interneten. Amíg Belkin nem javítja a dolgokat, mérlegelheti egy másik otthoni automatizálási rendszer kipróbálását.
