Dlaczego hack iKettle powinien cię niepokoić (nawet jeśli go nie posiadasz)

Reklama

Jeśli chodzi o technologię Smart Home, nie brakuje produktów, których racja bytu jest wątpliwa, delikatnie mówiąc. W rzeczywistości ja napisał cały artykuł Tweety Lodówki i kontrolowane przez Internet urządzenia do gotowania ryżu: 9 najgłupszych inteligentnych urządzeń domowychIstnieje wiele inteligentnych urządzeń domowych, które są warte twojego czasu i pieniędzy. ale są też takie, które nigdy nie powinny ujrzeć światła dziennego. Oto 9 najgorszych. Czytaj więcej na nich w kwietniu tego roku. Jednym z wymienionych przeze mnie urządzeń było iKettle, Smarter Labs.

IKettle to czajnik z obsługą WiFi. Tak, dobrze to przeczytałeś. Najwyraźniej zadanie podgrzewania wody do jej temperatury wrzenia jest czymś, co można zrealizować tylko dzięki integracji WiFi.

Aha, i czy wspominałem, że pojawiła się z ogromną luką w zabezpieczeniach, która mogła zdmuchnąć całe sieci WiFi?

Jak działał atak

Tak, okazuje się, że iKettle nie jest za gorący (Przepraszam), jeśli chodzi o bezpieczeństwo. Wystarczy kilka kroków, aby przekonać go do wykasowania hasła Wi-Fi użytkownika. Jak włamujesz się do czajnika?

Najpierw atakujący musiałby zidentyfikować sieć bezprzewodową z podłączonym iKettle. Następnie utworzą własną sieć bezprzewodową przy użyciu tego samego identyfikatora SSID.

Gdy iKettle przełączy się na tę sieć, osoba atakująca może połączyć się z nią przez port 23 za pomocą usługi Telnet Co to jest Telnet i jakie są jego zastosowania? [MakeUseOf wyjaśnia]Telnet jest jednym z tych terminów technicznych, które od czasu do czasu możesz usłyszeć, ale nie ma go w reklamie ani na liście pralni każdego produktu, który możesz kupić. To dlatego, że jest to protokół lub język ... Czytaj więcej . Jest to bezpłatne narzędzie, które jest podobne do SSH i umożliwia użytkownikom zdalne zarządzanie komputerami.

IKettle poprosi atakującego o podanie sześciocyfrowego hasła. Może to być brutalnie wymuszone, ale jeśli czajnik został skonfigurowany z urządzeniem z Androidem, ma domyślne hasło 000000. Po uwierzytelnieniu atakujący powie czajnikowi, aby wymienił jego ustawienia. W tym momencie wypluje całe buforowane hasło Wi-Fi w postaci zwykłego tekstu, umożliwiając osobie atakującej uzyskanie dostępu do całej sieci.

Problem zarządzania

Rzecznik Smarter Labs chętnie podkreślił, że rozwiązanie tego problemu nie jest daleko.

„W Smarter bardzo poważnie podchodzimy do kwestii bezpieczeństwa i współpracujemy z naszymi inżynierami, aby nasze nowe produkty nie napotykały problemów związanych z bezpieczeństwem. Będziemy aktualizować wprowadzony produkt w listopadzie, aby wyeliminować ten problem. ”

Podkreślili również, że nie będzie to miało wpływu na nadchodzący iKettle:

„Nasz nowy produkt i aplikacja mają zaktualizowane funkcje bezpieczeństwa, które nie są związane z [podatnością]”.

Użytkownicy dotkniętego czajnika mogą go zaktualizować za pomocą aplikacji iKettle dostępnej na iPhone'a i Androida. W międzyczasie rozsądne może być podłączenie drugiego routera do sieci domowej o innym identyfikatorze SSID i podłączenie do niego czajnika. Możesz znaleźć idealnie odpowiedni router od Amazon za jedyne 10 USD.

Ten odcinek przypomina nam, jakie produkty inteligentnego domu stosujemy zasadniczo komputeryoraz w jaki sposób napotykają te same problemy bezpieczeństwa, co tradycyjne komputery. Dziwne jest wyobrażanie sobie, że ktoś używa Telnetu do łączenia się z czajnikiem, ale najwyraźniej to jest coś.

Gdy pole inteligentnego domu nieuchronnie dojrzewa, producenci będą pod rosnącą presją, aby rozważyć bezpieczeństwo swoich urządzeń. A gdy coś pójdzie nie tak (jak nieuchronnie), mogą spodziewać się, że ich stopy staną ponad węglami.

Producenci będą musieli zaprojektować swoje produkty, aby były łatwe do zresetowania i aktualizacji. Będą musieli przyjąć aktywne podejście do bezpieczeństwa swoich urządzeń i współpracować z badaczami bezpieczeństwa. Będą musieli się nauczyć jak zarządzać ujawnieniem Pełne lub odpowiedzialne ujawnianie informacji: w jaki sposób ujawniane są luki w zabezpieczeniachLuki bezpieczeństwa w popularnych pakietach oprogramowania są cały czas wykrywane, ale w jaki sposób są zgłaszane programistom i jak hakerzy dowiadują się o lukach, które mogą wykorzystać? Czytaj więcej i ich relacje ze społecznością bezpieczeństwa Oracle chce, abyś przestał wysyłać im błędy - oto dlaczego to szaloneOracle jest w gorącej wodzie nad błędnym postem na blogu szefa bezpieczeństwa Mary Davidson. Ta demonstracja tego, jak filozofia bezpieczeństwa Oracle odchodzi od głównego nurtu, nie została dobrze przyjęta w społeczności bezpieczeństwa ... Czytaj więcej , co dla niektórych było niezwykle trudne.

Producenci będą musieli zastanowić się, jak zapewnić bezpieczeństwo swoich urządzeń na wypadek awarii. Co ważniejsze, będą musieli ustalić ze swoimi klientami konsensus co do tego, jak długo będą utrzymywać dany produkt.

Nieplanowane starzenie się

Mój przyjaciel ma kuchenkę mikrofalową dosłownie starożytny. Brzmi jak hiperbola, ale tak nie jest. Odziedziczył ją od rodziców, którzy z kolei kupili ją od nieistniejącego już hipermarketu w latach 80. Powiem to w kontekście: jego mikrofalówka jest starsi ode mnie.

Ale o to chodzi; to jest idealnie odpowiednia kuchenka mikrofalowa. Niemal po trzydziestu latach nadal zamienia zamrożony danie lasagne w parującą kałużę stopionego sera i nadal może łatwo rozmrozić zamrożone mięso. Nie ma dosłownie powodu, aby go zastąpić.

Tak jest w przypadku tradycyjnego sprzętu AGD. Nie podlegają tym samym cykl planowanego starzenia się Będziesz konsumować: historia elektroniki użytkowej [funkcja]Każdego roku wystawy na całym świecie prezentują nowe urządzenia wysokiej technologii; drogie zabawki, które mają wiele obietnic. Mają na celu uczynić nasze życie łatwiejszym, bardziej zabawnym, super połączonym i oczywiście mają status ... Czytaj więcej to większość technologii. Nie ma czegoś takiego jak „cykl odświeżania lodówki”. W świecie AGD nie ma czegoś takiego jak „dwuletnia aktualizacja”.

Inna sprawa: kuchenka mikrofalowa mojego przyjaciela została wyprodukowana w kraju, który już nie istnieje (Niemiecka Republika Demokratyczna, znana również jako Niemcy Wschodnie), przez firmę, która również przestała istnieć. Ale nie stanowiło to dla niego przeszkody w tworzeniu tandetnych nachos mikrofalowych po trzydziestu latach.

To inna sprawa dla inteligentnych technologii domowych. Jest wysoce prawdopodobne, że Twój skomputeryzowany czajnik lub parasol z obsługą WiFi będzie wymagał okresowych aktualizacji wydajności i zabezpieczeń.

Problem polega na tym, że programiści są kosztowny, i zasadniczo nierealistyczne jest oczekiwanie, że firmy produkujące oprogramowanie utrzymają swoje produkty w nieskończoność. W końcu muszą odpuścić, tak jak Microsoft zrobił z Windows XP Co oznacza dla Ciebie Windows XPocalypseMicrosoft zamierza zabić obsługę systemu Windows XP w kwietniu 2014 r. Ma to poważne konsekwencje zarówno dla przedsiębiorstw, jak i konsumentów. Oto, co powinieneś wiedzieć, jeśli nadal korzystasz z systemu Windows XP. Czytaj więcej na początku 2014 r.

Jest jeszcze drobna sprawa, że ​​firmy technologiczne mają tendencję do wszczepiania się jak Gwiazda Śmierci, pozostawiając po sobie górę promocyjnych naklejek na laptopa i nieobsługiwany kod. Oto trzy (z wielu) przykładów: Silicon Graphics, Palm i Commodore.

Jeśli kupujesz produkt, który z natury wymaga dużego zarządzania, aby zapewnić bezpieczeństwo i płynność działania, ryzykujesz, że firma będzie go wspierać. To nie zawsze jest bezpieczny zakład.

Ochrona Internetu przedmiotów

W tej chwili Internet przedmiotów jest rodzącym się pomysłem, wciąż na wpół uformowanym. To wciąż bardzo eksperyment, a na dziesiątki pytań wciąż nie ma odpowiedzi.

Czy producenci powinni być odpowiedzialni za bezpieczeństwo sprzedawanych produktów? Jeśli tak, to w jakim stopniu?

Czy można zasadnie oczekiwać, że firma będzie wspierać produkt IoT lub Smart Home? Jeśli tak, to jak długo?

Co się stanie, jeśli producent zawiedzie? Wiele startupów zobowiązało się do wydania swojego kodu w domenie publicznej, jeśli się nie powiedzie. Czy producentów inteligentnych domów należy zmuszać do robienia tego samego?

Czy konsumenci mogą zrobić coś, aby zapewnić bezpieczeństwo swojego sprzętu? Jeśli tak to co?

Odpowiedzi na te pytania zostaną udzielone na czas. Ale dopóki tak się nie stanie, podejrzewam, że większość konsumentów będzie niechętnie przyjmować świat Internetu rzeczy.

Ale co myślisz? Zostaw mi komentarz poniżej, a my porozmawiamy.