I ricercatori di sicurezza dell'Università del Michigan hanno scoperto una serie di difetti di progettazione nella piattaforma SmartThings di Samsung. I difetti potenzialmente minano la sicurezza di qualsiasi configurazione di una casa intelligente utilizzando l'ecosistema SmartThings 3 Modi per proteggere la tua famiglia e la tua casa con SmartThings Presenza 3 modi per proteggere la tua famiglia e la tua casa con SmartThings Presenza Vuoi usare la tecnologia per mantenere la tua sicurezza più vicina? Scopri cosa può fare SmartThings Presence per tenere d'occhio la tua casa. Leggi altro, consentendo alle applicazioni dannose di sbloccare porte, impostare falsi allarmi, impostare i codici di accesso a casa, riattivare i dispositivi dalla modalità vacanza e una serie di altri vettori di attacco.
Con un po 'di risparmio, uno degli attacchi dipende dall'utente che sta scaricando un'app dannosa dallo store SmartThings o seguendo un collegamento dannoso. Una volta che l'app dannosa viene scaricata, un utente malintenzionato può effettivamente effettuare un attacco remoto da qualsiasi parte del mondo.
Comprensibilmente, Samsung è stata difensiva riguardo ai problemi di sicurezza critici, sostenendo che opera in piena consapevolezza dei problemi e che sono stati rimossi attivamente.
È abbastanza buono? Oppure Samsung, una multinazionale tecnologica, sta indagando attivamente sul fatto che i suoi prodotti siano apparentemente spediti con problemi di sicurezza? Diamo un'occhiata.
Vulnerabilità multiple
I ricercatori di sicurezza dell'Università del Michigan hanno messo a punto diversi exploit di proof-of-concept incentrati sull'esposizione di potenziali guasti nell'ecosistema Samsung SmartThings. Come uno dei più grandi produttori di dispositivi IoT Ready (Internet of Things), tra cui frigoriferi, termostati, forni, porte di sicurezza, serrature, pannelli, sensori e molto altro ancora, non sorprende che le loro credenziali di sicurezza siano sotto esame .
I ricercatori hanno confermato che i difetti erano causati da due difetti intrinseci di progettazione nell'ecosistema SmartThings. Inoltre, i due difetti intrinseci del design non sono necessariamente facili da risolvere.
I problemi riguardano il modo in cui le applicazioni di controllo domestico intelligenti di terze parti implementano il protocollo di autorizzazione OAuth . I ricercatori hanno scoperto un'applicazione non conforme e sono stati in grado di costruire un intero attacco basato sulla falla, inviando un singolo collegamento alla pagina di accesso SmartThings effettiva, ma rubando il token di accesso dell'utente allo stesso tempo. Con i token in mano, un utente malintenzionato potrebbe creare il proprio PIN per un lucchetto intelligente mentre l'utente rimarrebbe inconsapevole 4 Usi davvero interessanti per SmartThings Sensori aperti e chiusi 4 Usi davvero fantastici per SmartThings Sensori aperti e chiusi Il sensore Aperto / Chiuso è destinato a monitora porte e cancelli, ma con un po 'di creatività può fare molto di più. Ecco le idee per utilizzare il dispositivo per rendere la tua casa un po 'più intelligente. Leggi di più .
Un altro exploit comprendeva lo sfruttamento di una vulnerabilità per disattivare la "modalità vacanza", dimostrando l'accesso a permessi di alto livello. Una volta che l'accesso alla "modalità vacanza" è concesso a un utente malintenzionato, può mitigare qualsiasi modalità di difesa delle vacanze pre-programmata, ad esempio luci ciclistiche casuali in tutta la casa o apertura e chiusura dei bui per simulare una residenza occupata.
Questo porta al secondo aspetto del problema di sicurezza di SmartThings. La maggior parte delle app sfruttate dai ricercatori non dovrebbe avere questo livello di privilegio operativo per cominciare. I ricercatori di sicurezza hanno creato il negozio SmartThings con oltre 500 singole app Ecco come la nuova app SmartThings rappresenta un passo indietro all'indietro Ecco come la nuova app SmartThings fa un passo indietro all'indietro Un recente aggiornamento dell'app SmartThings dimostra che l'azienda potrebbe cambiare rotta. Questo tipo di tecnologia sta sicuramente cambiando, ma resta da vedere se questo è nel bene o nel male. Leggi di più offrendo un certo grado di controllo o automazione della tua casa. Hanno poi scoperto che oltre il 40% di queste app concede troppi privilegi per il lavoro a volte semplice che sono stati progettati per fare.
Queste app "over-privilege" creano un significativo problema di sicurezza, anche se spesso non è completamente colpa del progettista. Atul Prakash, professore di informatica e ingegneria all'Università del Michigan, ha spiegato così:
"L'accesso che SmartThings assegna di default è a livello di dispositivo completo, piuttosto che più stretto. Come un'analogia, dì che dai a qualcuno il permesso di cambiare la lampadina nel tuo ufficio, ma la persona finisce anche per avere accesso a tutto il tuo ufficio, compreso il contenuto dei tuoi archivi. "
La risposta Samsung
Come ci si aspetterebbe, Samsung è stata protettiva rispetto ai propri interessi su Internet of Things. La dichiarazione di SmartThings è la seguente:
"Proteggere la privacy e la sicurezza dei dati dei nostri clienti è fondamentale per tutto ciò che facciamo a SmartThings. Siamo pienamente consapevoli del rapporto della University of Michigan / Microsoft Research e collaboriamo con gli autori del rapporto nelle ultime settimane su come possiamo continuare a rendere la casa intelligente più sicura con la crescita del settore.
Le potenziali vulnerabilità rilevate nel report dipendono principalmente da due scenari: l'installazione di SmartApp dannosa o l'incapacità degli sviluppatori di terze parti di seguire le linee guida di SmartThings su come proteggere il loro codice.
Per quanto riguarda le SmartApp maligne descritte, queste non hanno e non avrebbero alcun impatto sui nostri clienti a causa dei processi di certificazione e revisione del codice che SmartThings ha predisposto per garantire che le SmartApp dannose non siano approvate per la pubblicazione. Per migliorare ulteriormente i nostri processi di approvazione SmartApp e garantire che le potenziali vulnerabilità descritte continuino a non influenzare i nostri clienti, abbiamo aggiunto ulteriori requisiti di revisione della sicurezza per la pubblicazione di qualsiasi SmartApp.
Come piattaforma aperta con una comunità di sviluppatori in crescita e attiva, SmartThings fornisce linee guida dettagliate su come mantenere tutto il codice protetto e determinare quale sia una fonte attendibile. Se il codice viene scaricato da una fonte non attendibile, questo può presentare un potenziale rischio proprio come quando un utente PC installa il software da un sito Web di terze parti sconosciuto, c'è il rischio che il software possa contenere codice dannoso. A seguito di questo rapporto, abbiamo aggiornato le nostre best practice documentate per fornire agli sviluppatori una guida di sicurezza ancora migliore. "
Non è la prima volta che Samsung si imbatte in problemi di sicurezza IoT, né si tratta di un problema isolato da una singola azienda tecnologica. I dispositivi IoT sono stati costantemente fonte di problemi di sicurezza e la maggioranza degli utenti che esplorano nuovi dispositivi predisposti per Internet non comprendono appieno la gravità di ciò che stanno facendo. Perché Internet of Things è il più grande incubo della sicurezza Perché Internet di Le cose sono il più grande incubo della sicurezza Un giorno, arrivi a casa dal lavoro per scoprire che il tuo sistema di sicurezza domestica abilitato al cloud è stato violato. Come è potuto accadere? Con Internet of Things (IoT), potresti scoprire il modo più difficile. Leggi di più .
Piccolo studio SmartApp
Il team di ricerca ha persino completato uno studio estremamente ristretto di persone che utilizzano SmartApps, misurando la loro attenzione sui permessi che concedevano.
Sorprendentemente, 20 delle 22 persone intervistate avrebbero permesso a un'app di monitoraggio della batteria di verificare lo stato dei blocchi intelligenti installati nei propri locali, in base alla premessa che l'app avrebbe inviato i codici di accesso alle porte a un server remoto. Può essere il caso in cui gli utenti non commettano la dovuta diligenza per la sicurezza personale, soprattutto quando ciò comporta il rischio di gravi perdite o, nel peggiore dei casi, di pericolo personale.
Ma allo stesso modo, ed è qui che mi commiserano con gli utenti, un problema importante è che le aziende che installano e implementano sistemi intelligenti in abitazioni private e aziende non offrono abbastanza supporto educativo agli utenti. 7 Ragioni per cui l'Internet delle cose dovrebbe spaventarti 7 motivi Perché l'Internet delle cose dovrebbe spaventarti I potenziali benefici dell'Internet delle cose diventano più brillanti, mentre i pericoli sono proiettati nelle ombre silenziose. È tempo di attirare l'attenzione su questi pericoli con sette terrificanti promesse dell'IoT. Leggi di più .
Certo, l'utente potrebbe capire di cosa sta parlando l'installer, ma ha davvero digerito il fatto che tutta la casa è in rete? Capiscono che il loro frigorifero è ora online 5 Dispositivi che NON vuoi collegare all'Internet degli oggetti 5 Dispositivi che NON vuoi connettere all'Internet delle cose L'Internet delle cose (IoT) potrebbe non essere tutto ciò che è rotto a essere. In effetti, ci sono alcuni dispositivi intelligenti che potresti non voler connettere al web. Per saperne di più, e che il loro frigorifero è ora aperto alle stesse vulnerabilità dei loro tablet? Dato che puoi scommettere sul tuo dollaro in meno, l'utente sarà molto più aggiornato con le vulnerabilità del tablet piuttosto che una minaccia alquanto intangibile per il contenuto del refrigeratore. Lo Smart Fridge di Samsung ha appena ottenuto l'effetto. Che ne pensi del resto della tua casa intelligente? Lo Smart Fridge di Samsung è appena diventato pegno. Che ne pensi del resto della tua casa intelligente? Una vulnerabilità con il frigorifero intelligente Samsung è stata scoperta da Pen Test Parters, azienda infosec nel Regno Unito. L'implementazione di Samsung della crittografia SSL non controlla la validità dei certificati. Leggi di più .
Oppure, come il team di ricercatori dell'Università del Michigan ha scritto:
"I dispositivi domestici intelligenti e le piattaforme di programmazione associate continueranno a proliferare e rimarranno attraenti per i consumatori perché forniscono funzionalità potenti. Tuttavia, i risultati di questo lavoro suggeriscono che anche la prudenza è giustificata da parte dei primi utenti e da parte dei progettisti del framework. I rischi sono significativi ed è improbabile che possano essere facilmente risolti tramite semplici patch di sicurezza. "
Non c'è bisogno di andare in panico. Samsung ha già iniziato ad affrontare alcune delle principali problematiche evidenziate nel documento, anche se ci vorrà del tempo per garantire che la struttura SmartThings sia davvero una piattaforma di casa intelligente veramente sicura. Quale Smart Hub per l'automazione domestica è la migliore per te? Quale Smart Hub per la domotica è la cosa migliore per te? Per un po 'la gente pensò che l'idea non fosse altro che un trucco, ma le recenti versioni del prodotto hanno dimostrato che la domotica intelligente sta iniziando a essere all'altezza delle sue promesse. Leggi di più .
Usi SmartThings? Prenderesti in considerazione il passaggio a un quadro diverso? Fateci sapere qui sotto!
Immagine di credito: Alexander Kirch via Shutterstock