2018. október 22., hétfő

Gyorskeresés

Útvonal

Hírek » Biztonság rovat

Az okosotthonok szoftverei is igénylik a gondozást

  • (f)
  • (p)
Írta: | | Forrás: Makay.net

Ezek a rendszerek is olyanok, mint a többi: kiemelten kell ügyelni a biztonságos működésre.

Egy speciális vizsgálatot végeztek el a Makay.net kibervédelmi vállalkozás szakemberei: hálózati keresőkkel kutattak fel olyan okosotthon-rendszereket, melyek kényelmi szolgáltatásként webes kezelőfelületet is biztosítanak tulajdonosaik számára. A felmérés legfontosabb tanulsága, hogy a magyar okosotthonok túlnyomó többségén elavult, nem frissített, tehát számos sebből vérző vezérlőszoftver fut, a régi verziók nem védettek a jogosulatlan hozzáférés ellen, és titkosítás nélkül kommunikálnak a publikus interneten.(Megjegyzik, hogy a hasonló problémákkal küzdő routerek száma Magyarországon 10 ezres nagyságrendű.)

A szemügyre vett megoldásoknál első ránézésre is legalább öt problémát detektáltak:

  1. a vezérlőszoftverek elavultak, több ismert sebezhetőségben szenvednek, amiket a támadók kihasználhatnak
  2. az elavult szoftververziókból számos biztonsági funkció hiányzik (kétfaktoros hitelesítés, elrontott próbálkozások utáni IP-letiltás), amik csak későbbi verziókban kerültek megépítésre – ha egyáltalán bekerültek
  3. a felhasználók nem kapják meg automatikusan az új, javított szoftververziókat, a felhasználók pedig nem végzik el manuálisan a frissítést
  4. nincs gyártó által üzemeltetett és védett, központi szerverről elérhető kezelőfelület – a felületek a kitelepített okosotthon-rendszerekről érhetőek el egyenként
  5. a vezérlőszoftverek nyílt (nem titkosított), lehallgatható és manipulálható csatornán kommunikálnak a felhasználókkal

A beazonosított szoftververziók között a 2015-ös és 2016-os verziók mellett számottevő mennyiségben voltak 2017 végén kiadott verziók is – valószínűleg karácsonyi ajándékok voltak. Mivel a gyártók nem adnak ki verziószám-változást nem igénylő javítófoltokat, ez azt jelenti, hogy a verzió kiadása óta felfedezett sérülékenységekben jó eséllyel az adott verzió is érintett.

Viszont bármennyire tűnik a 2017-es karácsony közelmúltnak, azóta a termékek már jó néhány javításon és verziókiadáson estek át, tehát a felhasználóknál futó rendszerek szoftverei messze nem naprakészek frissítések szempontjából. Egyértelmű, hogy a felhasználók nem szívesen piszkálják a rendszereket, így ha a gyártó nem cselekszik, ezek a lakások és házak közvetlen veszélynek lesznek kitéve a távoli, akár más földrészen élő támadók által – ahogyan jelenleg is ki vannak téve:

  • kapcsolgathajták a világítást
  • szabályozhatják a fűtést
  • nyithatják a garázskaput
  • kikapcsolhatják a riasztót
  • kizárhatják a felhasználókat a rendszerből
  • mindent beállíthatnak, amire a rendszer képes

További probléma, hogy ezek a publikus hálózati interfésszel rendelkező rendszerek jellemzően titkosítatlan HTTP-csatornán kommunikálnak a webböngészővel és a mobilalkalmazással, így egy rosszindulatú támadó lehetőséget szerezhet úgynevezett man-in-the-middle közbeékelődéses támadásra, amely során nemcsak lehallgathatja a felhasználó és az okosotthon között folyó hálózati kommunikációt, de akár manipulálhatja is azt.

Számosságot tekintve a Makay.net 160 darab olyan okosotthont azonosított Magyarországon, aminek távoli menedzsmentfelülete publikusan kint lóg az interneten, és csak arra vár, hogy „feltörjék”. Persze ennél magasabb is lehet a szám, viszont ezek az otthonok tényleges veszélynek vannak kitéve azáltal, hogy a hálózati keresők is feltüntetik őket találatként.

A vizsgálat részletesebb leírása a Makay.net oldalán olvasható.

Copyright © 2000-2018 PROHARDVER Informatikai Kft.