便捷≠安全：WeMo产品有漏洞 - 安防知识网

安全研究员称希望人们能停止使用Belkin的WeMo家庭自动化产品，因为上面存在的各种漏洞可能使家庭网络、恒温器或其他设备遭到恶意控制。

　　安全研究员称希望人们能停止使用Belkin的WeMo家庭自动化产品，因为上面存在的各种漏洞可能使家庭网络、恒温器或其他设备遭到恶意控制。

　　WeMo产品可以让人们通过智能手机和计算机远程控制电灯开关、网络摄像头、传感器和其他家用电器。根据安全公司IOActive人员的研究，通过设置密码和签名密匙来保证固件更新，确实行之有效。但是黑客会使用证书绕过WeMo的安全检查，或者伪装成Belkin的官方版本植入伪装固件。

　　当用户连接到Belkin服务器，WeMo设备是无法验证安全证书的正规性的，即使安装的是最新版本。另外，通过手机或者电脑接收的固件更新通知也没有使用加密通道。IOActive研究员Mike Davis说，他可以先利用这些漏洞给WeMo产品发送固件更新的假消息，然后在更新时偷偷地给产品装上恶意固件。

　　Davis说，这个恶意固件可以进入未加密的WeMo设备并且通过黑客发送的信息来感染其他的家电。更严重的是，攻击者也可以通过功能方面的漏洞来改变设备的使用状态。上个月发布的一个视频就展示了通过恶意攻击来反复打开和关闭一个台灯。黑客们也可以用这样的方法来控制家中的其他设备，从而破坏家庭安全系统。

　　为了防止这个问题，Belkin利用GDG加密来进行固件更新。然而不幸的是，Belkin本意可能是使用签名和公钥结合的对称加密方式，却误用了GPG非对称加密的功能，结果在他们的固件镜像里强行分发了一个固件签名秘钥。这导致黑客可以轻松利用固件镜像攻击现在的WeMo设备。

　　WeMo产品的另一个漏洞与他们联网的方式有关，一个监测了几个月的研究员表示，利用WeMo婴儿监视器上存在的漏洞，可以把它变成一个联网装置的监控设备。

　　IOActive把这些漏洞做成报告发给了US-CERT，鉴于Belkin没有对后者关于这些漏洞的通告作任何回应，US-CERT建议人们马上停止使用WeMo设备。

　　目前尚不清楚可以怎样应对IOActive所描述的这些概念性攻击。报告省略了很多技术性细节，可能是为了让读到的人难以去模仿这些恶意攻击。如果黑客真的可以利用这些漏洞而不需要去进行密码配对，那么不用IOActive提醒，大家也会尽快抛弃WeMo产品。但是如果Belkin先通过停止更新等方法来锁住产品，然后一一修复漏洞，可能会更好地解决这个问题——而不是就此丢弃。