Dlaczego hack iKettle powinien Cię niepokoić (nawet jeśli go nie posiadasz)

Jeśli chodzi o technologię Smart Home, nie brakuje produktów, których racja bytu jest wątpliwa. W rzeczywistości napisałem cały artykuł Tweeting Fridges i kontrolowane przez Internet urządzenia do gotowania ryżu: 9 najgłupszych inteligentnych urządzeń domowych Tweeting Fridges i kontrolowane przez internet urządzenia do gotowania ryżu: 9 najgłupszych inteligentnych urządzeń domowych Istnieje wiele inteligentnych urządzeń domowych, które są warte twój czas i pieniądze. ale są też takie, które nigdy nie powinny ujrzeć światła dziennego. Oto 9 najgorszych. na nich w kwietniu tego roku. Jednym z urządzeń, o których wspomniałem, był iKettle firmy Smarter Labs.

IKettle to czajnik z obsługą WiFi. Tak, dobrze to przeczytałeś. Najwyraźniej zadanie podgrzewania wody do jej temperatury wrzenia jest czymś, co można osiągnąć tylko dzięki integracji WiFi.

Aha, i czy wspominałem, że pojawiła się z ogromną luką w zabezpieczeniach, która mogła zdmuchnąć całe sieci WiFi?

Jak działał atak

Tak, okazuje się, że iKettle nie jest za gorący (Przepraszam), jeśli chodzi o bezpieczeństwo. Wystarczy kilka kroków, aby przekonać go do wykasowania hasła WiFi użytkownika. Jak włamujesz się do czajnika?

Najpierw atakujący musiałby zidentyfikować sieć bezprzewodową z podłączonym iKettle. Następnie utworzyliby własną sieć bezprzewodową przy użyciu tego samego identyfikatora SSID.

Gdy iKettle przełączy się na tę sieć, osoba atakująca może połączyć się z nią za pośrednictwem portu 23 za pomocą usługi Telnet Co to jest Telnet i jakie są jego zastosowania? [MakeUseOf wyjaśnia] Co to jest Telnet i jakie są jego zastosowania? [MakeUseOf wyjaśnia] Telnet jest jednym z tych terminów technicznych, które od czasu do czasu możesz usłyszeć, ale nie ma go w reklamie ani na liście pralni przedstawiających produkty, które możesz kupić. To dlatego, że jest to protokół lub język… Jest to bezpłatne narzędzie podobne do SSH, które umożliwia użytkownikom zdalne zarządzanie komputerami.

IKettle poprosi atakującego o podanie sześciocyfrowego hasła. Może to być brutalnie wymuszone, ale jeśli czajnik został skonfigurowany z urządzeniem z Androidem, ma domyślne hasło 000000. Po uwierzytelnieniu atakujący powie czajnikowi, aby wymienił jego ustawienia. W tym momencie wypluje całe buforowane hasło WiFi w postaci zwykłego tekstu, umożliwiając osobie atakującej uzyskanie dostępu do całej sieci.

Problem zarządzania

Rzecznik Smarter Labs chętnie podkreślił, że rozwiązanie tego problemu nie jest daleko.

“W firmie Smarter bardzo poważnie podchodzimy do bezpieczeństwa i współpracujemy z naszymi inżynierami, aby nasze nowe produkty nie napotykały problemów związanych z bezpieczeństwem. Będziemy aktualizować wprowadzony produkt w listopadzie, aby wyeliminować ten problem.”

Podkreślili również, że nie wpłynie to na nadchodzący iKettle:

“Nasz nowy produkt i aplikacja mają zaktualizowane funkcje bezpieczeństwa, które nie są istotne dla [luki].”

Użytkownicy dotkniętego czajnika mogą go zaktualizować za pomocą aplikacji iKettle dostępnej na iPhone'a i Androida. W międzyczasie rozsądne może być podłączenie drugiego routera do sieci domowej o innym identyfikatorze SSID i podłączenie do niego czajnika. Możesz znaleźć idealnie odpowiedni router od Amazon za jedyne 10 USD.

Ten odcinek przypomina nam, jakie produkty inteligentnego domu stosujemy zasadniczo komputery, i jak mają do czynienia z tymi samymi problemami bezpieczeństwa, co tradycyjne komputery. Dziwne jest wyobrażanie sobie, że ktoś używa Telnetu do łączenia się z czajnikiem, ale najwyraźniej to jest coś.

Gdy pole inteligentnego domu nieuchronnie dojrzewa, producenci będą pod rosnącą presją, aby rozważyć bezpieczeństwo swoich urządzeń. A gdy coś pójdzie nie tak (jak to nieuchronnie), mogą spodziewać się, że ich stopy staną ponad węglami.

Producenci będą musieli zaprojektować swoje produkty, aby były łatwe do zresetowania i aktualizacji. Będą musieli podjąć aktywne podejście do bezpieczeństwa swoich urządzeń i współpracować z badaczami bezpieczeństwa. Będą musieli nauczyć się, jak zarządzać ujawnianiem. Pełne lub odpowiedzialne ujawnianie: w jaki sposób ujawniane są luki w zabezpieczeniach Pełne lub odpowiedzialne ujawnianie: w jaki sposób ujawniane są luki w zabezpieczeniach Luki w popularnych pakietach oprogramowania są cały czas wykrywane, ale w jaki sposób są zgłaszane programistom, i w jaki sposób hakerzy dowiadują się o lukach, które mogą wykorzystać? i ich relacje ze społecznością zajmującą się bezpieczeństwem Oracle chce przestać wysyłać im błędy - oto dlaczego to szalone Oracle chce przestać wysyłać im błędy - oto dlaczego to szalone Oracle jest w gorącej wodzie nad błędnym postem na blogu szefa bezpieczeństwa Mary Davidson. Ta demonstracja, w jaki sposób filozofia bezpieczeństwa Oracle odchodzi od głównego nurtu, nie została dobrze przyjęta w społeczności bezpieczeństwa…, co niektórzy uważają za niezwykle trudne.

Producenci będą musieli zastanowić się, jak zapewnić bezpieczeństwo swoich urządzeń na wypadek awarii. Co ważniejsze, będą musieli ustalić z klientami konsensus co do tego, jak długo będą oczekiwać utrzymania określonego produktu.

Nieplanowane starzenie się

Mój przyjaciel ma kuchenkę mikrofalową dosłownie starożytny. Brzmi jak hiperbola, ale tak nie jest. Odziedziczył ją po rodzicach, którzy z kolei kupili ją od nieistniejącego już hipermarketu w latach 80. Powiem to w kontekście: jego mikrofalówka jest starsza ode mnie.

Ale o to chodzi; to jest idealnie odpowiednia kuchenka mikrofalowa. Niemal po trzydziestu latach wciąż zamienia zamrożony danie lasagne w parującą kałużę stopionego sera i nadal może łatwo rozmrozić zamrożone mięso. Nie ma dosłownie powodu, aby go zastąpić.

Tak jest w przypadku tradycyjnych artykułów gospodarstwa domowego. Nie podlegają one temu samemu cyklowi planowego starzenia się. Konsumpcja: historia elektroniki użytkowej [funkcja] Konsumpcja: historia elektroniki użytkowej [funkcja] Każdego roku wystawy na całym świecie prezentują nowe urządzenia wysokiej technologii; drogie zabawki, które mają wiele obietnic. Ich celem jest uczynienie naszego życia łatwiejszym, bardziej zabawnym, super połączonym, i oczywiście mają status… większość technologii. Nie ma czegoś takiego jak “cykl odświeżania lodówki”. Nie ma czegoś takiego jak “dwuletnia aktualizacja” w świecie AGD.

Inna sprawa: mikrofalówka mojego przyjaciela została wyprodukowana w kraju, który już nie istnieje (Niemiecka Republika Demokratyczna, znana również jako Niemcy Wschodnie), przez firmę, która również przestała istnieć. Ale nie stanowiło to dla niego przeszkody, gdy robił tandetne nachos w kuchence mikrofalowej po trzydziestu latach.

To inna sprawa dla technologii inteligentnego domu. Jest wysoce prawdopodobne, że skomputeryzowany czajnik lub parasol z obsługą WiFi będzie wymagał okresowych aktualizacji wydajności i zabezpieczeń.

Problem polega na tym, że programiści są kosztowny, i zasadniczo nierealistyczne jest oczekiwanie, że firmy produkujące oprogramowanie utrzymają swoje produkty w nieskończoność. W końcu muszą odpuścić, podobnie jak Microsoft z Windows XP. Co oznacza dla ciebie Windows XPocalypse Co oznacza dla ciebie Windows XPocalypse Microsoft zamierza zabić obsługę systemu Windows XP w kwietniu 2014 roku. Ma to poważne konsekwencje dla obu firmy i konsumenci. Oto, co powinieneś wiedzieć, jeśli nadal korzystasz z systemu Windows XP. na początku 2014 r.

Jest jeszcze drobna sprawa, że ​​firmy technologiczne mają tendencję do wszczepiania się jak Gwiazda Śmierci, pozostawiając po sobie górę promocyjnych naklejek na laptopa i nieobsługiwany kod. Oto trzy (z wielu) przykładów: Silicon Graphics, Palm i Commodore.

Jeśli kupujesz produkt, który z natury wymaga dużego zarządzania, aby zapewnić bezpieczeństwo i płynność działania, ryzykujesz, że firma będzie go wspierać. Nie zawsze jest to bezpieczny zakład.

Ochrona Internetu przedmiotów

W tej chwili Internet przedmiotów jest rodzącym się pomysłem, wciąż na wpół uformowanym. To wciąż bardzo eksperyment, a na dziesiątki pytań wciąż nie ma odpowiedzi.

Jeżeli producenci są odpowiedzialni za bezpieczeństwo sprzedawanych produktów? Jeśli tak, to w jakim stopniu?

Czy można oczekiwać, że firma będzie wspierać produkt IoT lub Smart Home? Jeśli tak, to jak długo?

Co się stanie, jeśli producent zawiedzie? Wiele startupów zobowiązało się do wydania swojego kodu w domenie publicznej, jeśli się nie powiedzie. Czy producenci inteligentnych domów powinni być zmuszeni do tego samego?

Czy konsumenci mogą zrobić coś, aby zapewnić bezpieczeństwo swojego sprzętu? Jeśli tak to co?

Odpowiedzi na te pytania zostaną udzielone na czas. Ale dopóki tak się nie stanie, podejrzewam, że większość konsumentów będzie niechętnie przyjmować świat Internetu rzeczy.

Ale co myślisz? Zostaw mi komentarz poniżej, a my porozmawiamy.