Κατά τη διάρκεια του δίμηνου hackathon το Σεπτέμβριο και τον Οκτώβριο του 2015, οι ερευνητές ασφαλείας από το Bitdefender βρήκαν τρωτά σημεία σε τέσσερις νέες συσκευές IoT, εκ των οποίων μόνο η μία έχει μερικώς διορθωθεί αφότου ενημερώθηκε ο προγραμματιστής.
Οι ερευνητές διαπίστωσαν το πρώτο πρόβλημα στο WeMo Switch, έναν προσβάσιμο μέσω Διαδικτύου διακόπτη που επιτρέπει στους χρήστες να ανοίγουν και να σβήνουν τις ηλεκτρονικές συσκευές στο σπίτι τους.
Αυτή η συσκευή χρησιμοποιούσε (και εξακολουθεί να το κάνει) ένα κανάλι ανασφαλών επικοινωνιών μεταξύ του διακόπτη και της εφαρμογής smartphone και που δεν διαθέτει κανένα έλεγχο ταυτότητας. Τα πάντα μεταδίδονται σε απλό κείμενο, εκτός από τον κωδικό της συσκευής, ο οποίος είναι κρυπτογραφημένος με έναν εύκολα breakable 128-bit AES αλγόριθμο, χρησιμοποιώντας ένα κλειδί κρυπτογράφησης που προέρχεται από το ID της συσκευής και τη διεύθυνση MAC του.
Neuralink: Έγκριση FDA για επαναστατική συσκευή Blindsight
Η δεύτερη IoT συσκευή που δοκιμάστηκε ήταν η Lifx Bulb, ένα Nest- compatible έξυπνο LED σύστημα, το οποίο επιτρέπει στους χρήστες να προσαρμόσουν το χρώμα και την ένταση του συστήματος φωτισμού στο σπίτι τους μέσω ενός Android app.
Αυτή η συσκευή έχει μια σχεδιαστική ευπάθεια που επιτρέπει σε έναν εξωτερικό εισβολέα να υποκλέψει τις πιστοποιήσεις του οικιακού δικτύου WiFi ενός χρήστη εξαναγκάζοντας το Android app του χρήστη να επανασυνδεθεί στο δίκτυο του σπιτιού του. Ο εισβολέας μπορεί να δημιουργήσει ένα ψεύτικο hotspot και στη συνέχεια, να υποκλέψει τα διαπιστευτήρια σύνδεσης του WiFi του χρήστη.
Το ίδιο ζήτημα επηρεάζει το LinkHub starter kit, το οποίο περιλαμβάνει δύο GE Link λαμπτήρες και ένα κομβικό σημείο διαχείρισης, και τα δύο ελεγχόμενα μέσω ενός Android app. Εφαρμόζοντας την τεχνική επίθεση που περιγράφεται παραπάνω και επειδή η συσκευή δεν χρησιμοποιεί κρυπτογράφηση, στέλνει πακέτα δικτύου σε απλό κείμενο, ένας εισβολέας μπορεί να αρπάξει τα διαπιστευτήρια WiFi σε σύντομο χρονικό διάστημα και χωρίς καμία σημαντική προσπάθεια.
Τελευταία στη λίστα και η μόνη συσκευή που έχει λάβει (μερική) επιδιόρθωση είναι το MUZO Cobblestone Wi-Fi Audio Receiver, το οποίο επιτρέπει στους χρήστες να κάνουν streaming μουσικής από τις συσκευές τους σε ένα τοπικό σύστημα ήχου.
Οι ερευνητές του Bitdefender ανακάλυψαν ότι η συσκευή δημιουργούσε ένα συνεχόμενα ανοιχτό hotspot, στο οποίο θα μπορούσε να γίνει brute-force και μέσα από αυτό θα μπορούσε κάποιος εισβολέας να εξάγει τον κωδικό πρόσβασης του WiFi για το τοπικό δίκτυο WiFi.
Ένας εισβολέας με πρόσβαση στο τοπικό δίκτυο WiFi μπορεί να παρακολουθεί την κυκλοφορία του χρήστη, ακολουθώντας τις συνήθειες περιήγησή του, αρπάζοντας τα διαπιστευτήρια ελέγχου ταυτότητας για άλλες ανασφαλής υπηρεσίες ή ακόμα και να «μολύνει» τα δεδομένα του χρήστη με κακόβουλο λογισμικό.
«Αυτή η έρευνα μας δείχνει την επιτακτική ανάγκη που υπάρχει για να ενσωματώσουμε μια σωστή αρχιτεκτονική ασφαλείας στον κύκλο ζωής των συσκευών», καταλήγει η Bitdefender ομάδα μετά από την έρευνα τους. «Το IoT (Internet of Things) ανοίγει μια εντελώς νέα διάσταση στο τομέα της ασφάλειας […]. Εάν οι προβλέψεις ενός υπερ-συνδεδεμένου κόσμου γίνουν πραγματικότητα και οι κατασκευαστές δεν εισάγουν την έννοια της ασφαλείας στα προϊόντα τους, οι συνέπειες μπορεί να γίνουν τρομακτικές για τις ζωές των ανθρώπων.»
Η έκθεση The Internet of Things: Risks in the Connected Home είναι διαθέσιμη για κατέβασμα μέσω της ιστοσελίδας της Bitdefender.
