Нелепые ошибки дают хакерам доступ к «умному» освещению

Консультант по безопасности «Интернета вещей» продемонстрировал посетителям LuxLive, как легко можно проникнуть в сеть, украсть пароли и что-нибудь еще.

ЛОНДОН – Консультант по безопасности, чья работа – взламывать «Интернет вещей» (IoT), предупредил профессионалов индустрии освещения, что без должного внимания системы «умного» светодиодного освещения могут оказаться крайне уязвимы для хакерской атаки.

 

Во время своего выступления перед толпой зрителей на прошедшей на прошлой неделе выставке LuxLive 2016 «этичный хакер» Кен Мунро, основатель Pen Test Partners (Бакингем, Великобритания), продемонстрировал, как легко злоумышленник может получить доступ к паролям от Wi-Fi и другой важнейшей личной информации.

 

Хакеры смогут получать доступ к устройствам из «Интернета вещей», таким как чайники, кофемашины, и, вполне возможно, к светильникам, если производители просто встроят в них микросхемы для обмена данными, не задумываясь о последствиях.

«Нельзя просто вкрутить модуль в устройство и надеяться, что его работа будет безопасной», – заявил Мунро. «Однако именно так многие компании обеспечивают подключение своих устройств к Интернету. Они встраивают модуль Bluetooth, GSM или Wi-Fi – это обходится в пару долларов. Что же может пойти не так?»

Хакеры могут с легкостью заполучить коды мобильных приложений, управляющих устройствами, а те, в свою очередь, могут сообщить им IP-адрес, заявил Мунро. После этого у хакера развязаны руки.

«Пожалуйста, если вы хотите сделать ваш устройство совместимым с «Интернетом вещей», ознакомьтесь с рекомендациями по безопасности, чтобы ваши лампочки не оказались уязвимы к «чертям», как те, что мы увидели на прошлой неделе», – сказал Мунро, явно намекая на линейку светильников «умного» освещения от Phillips: переданный дроном вирус атаковал их в офисном здании по беспроводной линии ZigBee, заставив светильники мигать аварийным сигналом. Мунро заявил, что беспроводные технологии, такие как ZigBee, Wi-Fi и Bluetooth, могут быть надежно защищены.

3.jpg

«Этичный хакер» Кен Мунро на LuxLive 2016, где он рассказал, что смог даже заставить подключенные к «Интернету вещей» детские игрушки (например, куклу My Friend Cayla) сыпать ругательствами и что огни на новогодних елках тоже под ударом

 

На сцене LuxLive, проходившей на той же площадке, что и конференция the Strategies in Light Europe 2016, Мунро взломал код подключенного к «Интернету вещей» электрического чайника и без труда выяснил его IP-адрес (а электрические чайники используются на британских кухнях едва ли не чаще тостеров). Производитель чайника использовал старый, но по-прежнему распространенный протокол обмена данными под названием Telnet, который, по словам Мунро, не зашифрован.

«Это катастрофа», – предупредил Мунро. «Для таких устройств нельзя использовать Telnet. Это очень, очень плохая идея».

Стоило ему подключиться к порту Telnet, он выяснил пароль пользователя и получил доступ к встроенному серверу.

«Я могу получить ваш ключ беспроводной сети в виде простого текста», – сказал Мунро. «И это полная ерунда – я уже в вашей беспроводной сети и могу вклиниться между любыми устройствами и перехватить любую информацию, которая передается по Wi-Fi у вас дома. Каждый введенный пароль, вся банковская информация, весь трафик из соцсетей – все это теперь мое».

Хакеры могут даже найти базу данных со всеми «умными» чайниками в Лондоне, «так что я знаю, где найти ваш чайник, могу подойти к вашему дому, направить беспроводную антенну на кухню и украсть ваш ключ Wi-Fi», – объяснил он.

Мунро продемонстрировал такое же проникновение – Pen Test означает «испытание на возможность проникновения в систему» (penetration testing) – на кофемашинах и отметил, что с помощью нехитрых трюков в «Интернете вещей» можно приготовить слабый эспрессо – или вызвать переполнение системы. Он описал, как некоторые плохо спроектированные IoT-замки могут отреагировать на чьи угодно голосовые команды – достаточно прикрикнуть: «Открой дверь».

То же угрожает и IoT-светодиодам, заявил Мунро. Он тактично отказался назвать конкретных производителей, как в качестве хорошего, так и плохого примера. Мунро объяснил, что главная проблема безопасности «Интернета вещей» в индустрии освещения будет заключаться в том, как дать пользователям возможность подключить управляющее устройство, например, телефон, к конкретному светильнику (этот процесс называется сопряжением).

 

«На мой взгляд, самая большая сложность – процесс сопряжения», – сказал Мунро. «Нужно хорошо продумать, как перевести устройство в режим сопряжения. Может быть, повернуть выключатель 3 или 4 раза? Или найти какой-то другой способ, при котором я скажу себе: «Ладно, сейчас я ослаблю защиту на 60 секунд для сопряжения, но только сейчас и всего на 60 секунд». Но лучше проявить осторожность, ведь, приступая к сопряжению, вы жертвуете безопасностью своего устройства».

В качестве общих рекомендаций производителям IoT-устройств он назвал цифровую подпись для кода встроенного ПО, проверку подписи при загрузке и исключение из кода важной информации.

«Подключаясь к «Интернету вещей», вы передаете приборы в руки хакеру», – заявил Мунро. «Все, что есть в лампочках, во всех устройствах и элементах управления, все это «железо» и встроенное ПО, что есть у клиента, все это оказывается в руках у хакера. Так что, если встроенное ПО оставляет желать лучшего, хакер это быстро обнаружит.»

Заметив, что надежно защищенные IoT-устройства для дома встречаются «очень редко», он в качестве исключения похвалил «умный» термостат Nest от Google.

«Если бы мне нужно было выбрать хорошее IoT-устройство, я бы обратил взгляд на крупные бренды, которым уже доводилось сталкиваться с проблемами безопасности в прошлом и успешно их решать», – пояснил Мунро. «Мне нравится [производитель «умных» термостатов] Nest, потому что они пользуются поддержкой Google, который ставит на кон свою репутацию, если что-то пойдет не так. А еще в ранних версиях Nest было три-четыре серьезных уязвимости в защите, и все они были исправлены – это говорит о том, что ребята из Nest подходят к этому вопросу серьезно.»

Мунро совершенствовал хакерские навыки во время рабочей практики, когда трудился в сфере гостеприимства, больше 15 лет назад. Тогда ему удалось взломать кассовый аппарат и распечатать списки платежей.

Pen Test называют себя «этичными хакерами», чья миссия – находить уязвимости в защите и объяснять компаниям, как их избежать. Определенную известность им принес взлом говорящей куклы My Friend Cayla, которую они заставили ругаться. В настоящее время компания изучает IoT-игрушку Anki Cozmo на предмет уязвимостей, впрочем, пока ничего стоящего им обнаружить не удалось.