Az okosizzókat sem kímélik a hackerek

Biztonsági kutatók okosizzókat és azok vezérlésére alkalmas készülékeket vettek szemügyre. A vizsgálatok során érdekes sebezhetőségekre akadtak.
 

Az okoseszközök terjedésével a biztonsági kockázatok is szaporodnak. Ennek egyik oka, hogy a gyártók jelenleg még nem minden esetben helyezik középpontba a védelmi megfontolásokat. Ezt már több biztonsági kutató igazolta, amikor például kamerákat, fitnesz karkötőket stb. vettek górcső alá, és találtak azokban különféle sebezhető pontokat.
 
A Rapid7 szakértői úgy határoztak, hogy az okosotthonokhoz fejlesztett világítástechnikai berendezéseket is megvizsgálják, és felmérik azok biztonsági szintjét. Jelen esetben a tavalyi CES-en bemutatott Osram LIGHTIFY rendszert elemezték. Nem hiába, ugyanis kilenc sérülékenységre bukkantak. Ezek között voltak olyanok is, amelyek hálózatokhoz, eszközökhöz való jogosulatlan hozzáférésekre adtak lehetőséget.
 
Néhány biztonsági rés
 
Az egyik sebezhetőség abból eredt, hogy a LIGHTIFY Home-hoz tartozó, iOS kompatibilis mobil alkalmazás a vezeték nélküli hálózathoz megadott (WPA PSK) hitelesítő adatokat nemes egyszerűséggel sima szövegként tárolta le. A Pro változat már valamivel biztonságosabbnak bizonyult, de sajnos hamar kiderült, hogy néhány óra alatt visszafejthető PSK kulcsokat alkalmaz. Ezek a kulcsok nyolc karakteresek, és kisméretű ("0123456789abcdef") kulcstér alapján generálódnak.  
Az otthoni felhasználásra készülő LIGHTIFY átjáró egy olyan biztonsági hiányosságot is tartalmaz, amely jogosulatlan rendszerhozzáférésre és parancsvégrehajtásra adhat módot. A hibát az okozza, hogy az átjáró a 4000-es TCP porton keresztül hitelesítés nélkül is hadra fogható. Ez a port arra az esetre van fenntartva, ha az internetes szolgáltatás nem lenne elérhető. Egy szimulált támadás során a kutatók a biztonsági résen keresztül átkonfigurálták az adott eszköz WiFi beállításait, amivel a készüléket egy másik hozzáférési ponthoz csatlakoztatták.
 
A Pro verziójú LIGHTIFY webes felülete is sebezhetőnek bizonyult. Egy XSS (cross-site scripting) sérülékenységre derült fény, amelyen keresztül tetszőleges HTML és script kódok váltak lefuttathatóvá, és konfigurációs beállítások manipulálására is lehetőség adódott. A Pro verzióhoz tartozó mobil alkalmazással is akadtak gondok: az app rendszeresen képernyőképeket mentett le, amelyeken esetenként megjelentek jelszavak is.  
Mind a Home, mind a Pro változatok esetében problémásnak bizonyult az SSL kezelés, valamint a ZigBee protokoll támogatása. Ez utóbbi két hibára még nincs is gyógymód. A többi sérülékenységet az Osram fejlesztői már javították, és az ígéretek szerint a frissítések augusztus folyamán mindenki számára elérhetővé válnak. Megjegyzendő, hogy a Rapid7 szakértői több olyan sérülékenységről is tudnak, amelyek a ZigBee-vel hozhatók összefüggésbe, és nemcsak az Osram megoldásait érintik.
 
"Amióta értesültünk a feltárt sérülékenységekről, azóta megtettük a szükséges intézkedéseket, ellenőrzéseket, valamint létrehoztunk egy kockázatalapú javítási stratégiát. A sebezhetőségek többségét javítani fogjuk a következő verzióban, amelynek megjelenésére augusztusban lehet számítani" - nyilatkozta az Osram.