Za 15 sekund se z inteligentního termostatu hnízda stane špion, který ukradne data

Mluvte o bezpečnostních důsledcích inteligentního termostatu Nest a většina lidí bude pravděpodobně jen pokrčit rameny. Předpokládají, že protože termostat nemůže získat přístup k vašim penězům nebo spálit váš dům, útočník by se tím neobtěžoval. Letos v Black Hat představili moderátoři Yier Jin, Grant Hernandez a Daniel Buentello, že termostat může dělat strašně mnoho.

Nest má jistotu jistoty a přednášející udělali to místo dát Nest Nest pro práci společnosti. "Je to velmi dobře navržené a měli bychom pochválit jejich práci, " řekl Jin. Rychle následoval s důrazem na práci jeho týmu: „Na základě naší analýzy jsme zjistili hardwarové backdoor a prostřednictvím tohoto backdoor můžeme získat dálkové ovládání celého zařízení.“

Prolomit hnízdo

Ve své demonstraci tým vstoupil do Nestu přes USB a zakořenil ho přibližně za 15 sekund. Jejich útok byl závislý na ladicím systému, který Nest záměrně nechal na zařízení. Přednášející poukázali na to, že toto je ve skutečnosti běžná praxe pro výrobce vestavěných zařízení.

Když je fyzické tlačítko Nest podrženo po dobu 10 sekund, zařízení se restartuje. Na zlomek vteřiny je však možné dostávat nové pokyny, jak zavést systém. Tým vytvořil vlastní nástroj, který při přímém připojení k Nestu přepracoval software Nestu a poskytl jim úplné, dálkové ovládání.

Zatímco jejich útok vyžaduje fyzický přístup, rychlost, s jakou byl proveden, byla pozoruhodná. Útočník by si myslel, že se zmocní hnízda, když jeho majitel na okamžik vystoupí z místnosti. Rovněž poukázali na to, že útočníci mohou jednoduše koupit zařízení Nest, infikovat je a poté je poslat zpět do obchodu, kde by se znovu prodali.

A nemyslete si, že by mohly pomoci aktualizace od Nest: vědci říkali, že vyvinuli způsob, jak infikovaná zařízení skrýt soubory před aktualizacemi firmwaru. V lehčí notě přednášející také demonstrovali, že by mohli nahradit nudný vzhled Nestu animovaným pozadím.

Co na tom záleží

Jednou z klíčových funkcí Nestu - vlastně jeho prodejního místa - je to, že se naučí vašim preferencím vytápění a chlazení. Díky těmto informacím optimalizuje teplotu vašeho domova, aby vyhovovala vašim potřebám a ušetřila vám peníze. Prezentující však poukazují na to, že útočníkovi to poskytne spoustu informací o vašich návycích. Například ohrožené hnízdo ví, kdy jste mimo dům nebo na dovolené. Tyto informace by mohly být použity pro budoucí digitální útoky, nebo jednoduše pro vloupání.

Hnízdo také zná vaše síťové údaje a přibližné umístění. Ale nejvíce zneklidňující použití poškozeného hnízda by bylo jako předmostí pro jiné útoky. Buentello řekl, že kdyby měl kontrolu nad infikovaným hnízdem u někoho doma, "prošel by jsem veškerým provozem tunel a čichal za všechno, co jsem mohl najít." To zahrnuje hesla, čísla kreditních karet a jakékoli další cenné informace.

Jak děsivé, jak byla jejich prezentace, stále vyžadovalo, aby útočník měl fyzický přístup k termostatu Nest. Vědci však ujistili publikum, že se těžce snaží prozkoumat softwarové protokoly zařízení, jako je Nest Weave, o nichž se domnívají, že mohou umožnit vzdálené využití.

Ale nejhorší ze všeho, přednášející řekli, neexistuje žádná možnost, aby oběť řekla, že byla nakažena. Koneckonců, nemůžete načíst antivirus na váš termostat.

Soukromí

Zatímco hackování hnízda bylo velmi zábavnou demonstrací, přednášející se většinou zajímali o soukromí. Poukázali na to, že uživatelé Nestu se nemohou odhlásit od shromažďování údajů. Je také možné, že zařízení Nest jsou až na víc, než si myslíme. „Proč k čertu potřebuje můj termostat 2 gigbytes, “ zeptal se Buentello. "Co to dělá?"

Zatímco vědci kritizovali rozhodnutí společnosti Nest o zahrnutí backdoorů USB, poukazují na to, že ji mohou skutečně používat soukromí jednotlivci, aby zabránili Nestu v shromažďování uživatelských dat. Čtvrtý člen jejich výzkumné skupiny se těžko pracuje na vlastní aktualizaci firmwaru, která využije zranitelnosti zjištěné týmem. Jejich vlastní oprava zabrání Nestu v shromažďování dat, ale stále umožní Nestu fungovat normálně - dokonce i při příjmu bezdrátových aktualizací.

Vzhledem k tomu, že Nest je dětem plakátu pro zařízení IOT, položil tým zajímavou otázku publiku: budou i nadále používat Nest doma? Vědci tvrdí, že kroky, které podnikneme, a rozhodnutí o tom, co považujeme za přípustné pro zabudovaná zařízení, by mohly stanovit standard pro následujících 30 let.

Volit moudře.