Эксперты «Лаборатории Касперского» опубликовали доклад о результатах исследования хаба — централизованной системы для управления всеми умными устройствами и сенсорами в доме. Специалисты обнаружили уязвимости, воспользовавшись которыми, злоумышленники смогут получить полный контроль над всей IoT-техникой жертвы.

Как выяснили исследователи, программное обеспечение для хаба было выложено в открытый доступ на сайте разработчика — любой желающий мог скачать дистрибутив и проанализировать код на предмет брешей. Устройство было защищено root-паролем с шифрованием по недостаточно надежному стандарту DES: при должном упорстве пароль можно определить обычным перебором.

Управление хабом осуществляется либо через мобильное приложение, либо через веб-интерфейс. Эксперты установили, что во время синхронизации с порталом устройство отсылает серверу по HTTP-протоколу все настройки в файле config.jar, используя в качестве идентификатора серийный номер хаба. В файл также записываются логин и пароль пользователя — последний хоть и защищен шифрованием, но не слишком надежным. К тому же при регистрации на портале не предъявляется никаких минимальных требований к сложности пароля.

С серийным номером хаба на руках злоумышленник мог отправить запрос на сервер и, получив подтверждение о регистрации такой системы, завладеть доступом к учетным данным пользователя и войти в его аккаунт. После этого преступник не только узнает IP-адрес жертвы и номер телефона, привязанный к системе, но и сможет управлять абсолютно любыми настройками умных устройств в доме: например, включить на максимум плиту или утюг.

Еще один прибор, который подвергся тестированию — электрическая лампочка, контролируемая через мобильное приложение. Несмотря на то что она не имеет принципиального значения для безопасности умного дома, она также оказалась потенциальной находкой для взломщиков. Как выяснили исследователи, устройство обновляет прошивку через незащищенное HTTP-соединение, поэтому его также можно взломать. При этом в памяти умной лампочки хранятся данные всех сетей Wi-Fi, к которым она когда-либо подключалась.

Вся информация о найденных уязвимостях была направлена поставщику, и сейчас недостатки исправляются.

Количество угроз для Интернета вещей постоянно растет. Так, в ноябре стало известно об уязвимостях в очередных детских интерактивных игрушках, а летом исследователи сообщили о бреши в приложении для умного дома. Чаще всего атакам подвергаются умные роутеры. По оценке некоммерческой организации Spamhaus, в некоторых странах количество скомпрометированных устройств достигает 1,2 млн.

Категории: Аналитика, Уязвимости