a&s专业的自动化&安全生态服务平台
公众号
安全自动化

安全自动化

安防知识网

安防知识网

手机站
手机站

手机站

大安防供需平台
大安防供需平台

大安防供需平台

资讯频道横幅A1
首页 > 资讯 > 正文

摊上大事了 智能家居产品安全性不及格

随着物联网技术和相关设备逐步进入大众的视线当中,其存在的安全隐患也成为了外界热议的话题。最近,应用安全公司Veracode的研究者就对6款智能家居设备进行了安全测试,结果发现其中5款都存在严重安全问题。
资讯频道文章B

  随着物联网技术和相关设备逐步进入大众的视线当中,其存在的安全隐患也成为了外界热议的话题。最近,应用安全公司Veracode的研究者就对6款智能家居设备进行了安全测试,结果发现其中5款都存在严重安全问题。

  Veracode所测试的这6款设备包括Chamberlain MyQ Garage、Chamberlain MyQ Internet Gateway、SmartThings Hub、Ubi、Wink Hub和Wink Relay。在多种家庭自动化设备和传感器的帮助下——包括门锁、开关和电源插座——所有这些设备都可通过互联网实现远程控制和监控功能,它们中的大多数还可连接至基于云端的服务,用户则可通过网页端口或智能手机应用与之进行交互。

  Veracode并没有试图寻找这些设备固件当中的漏洞,而是对它们的工作方式及使用的通讯协议进行了分析。安全专家们查看了这些设备的前端(用户和云服务之间)和后端(设备和云服务之间)连接,在前端连接方面,他们发现只有SmartThings Hub执行了强密码,而Ubi甚至没有对用户连接进行任何加密,这无疑给中间人攻击创造了可能。

  而在后端连接这一块,这些设备的表现更加糟糕。Ubi和MyQ Garage没有执行加密,没有提供对抗中间人攻击的必要保护,对于重放攻击也毫无防御力。此外,Ubi也没有对敏感数据进行适当的保护。

  除了SmartThings Hub之外,这些设备都不具备中间人攻击保护,因为它们要么完全没有使用安全传输层协议(TLS)加密,或是没有使用适当的证书验证执行TLS加密。

  这种情况表明,厂商在产品设计阶段都是假定它们未来所运行的网络环境都是安全的,但事实显然并非如此。从过去几年里的安全研究中我们可以看出,如果说有什么东西的安全性比物联网设备还要差,那就是消费类路由器了。安全专家经常会在路由器当中发现严重的安全漏洞,它们中的大多数可让黑客执行中间人攻击,也导致了数以百万计的路由器被用于大规模的攻击。

  物联网厂商对于家庭网络安全的错误信任也反映在了旗下产品暴露于这些网络中的调试接口和其他服务。

  Veracode的研究者发现,Wink Hub会在80端口运行未认证的 HTTP服务,Wink Relay会运行可通过网络访问的ADB服务,Ubi运行ADB和VNC(远程桌面)服务时都不需要密码,SmartThings Hub所运行的Telnet服务器受到了密码保护,MyQ Garage所运行的HTTPS服务会暴露基本连接信息。

  在Wink Relay和Ubi这两款设备身上,暴露的ADB接口可向攻击者提供root权限,让他们得以在设备上执行任意代码和命令。

  在云端服务方面,Veracode的研究者虽然没有直接对这些服务的安全性进行分析,但他们还是考虑到了几种可能出现的情况,比如如果攻击者获取到了用户账户、截获了与之接近的连接、或是彻底冲破云服务会发生什么。他们得出的结论是,这些情况会导致严重程度不同的安全问题,轻则暴露敏感信息,重则致使设备彻底被控制。

  厂商并没有清楚地向用户解释这些设备对于云服务的依赖,但他们的确应该如此——因为并不是每一位用户都意识到,他们并不是直接和设备进行交互的。当使用配套的移动应用时,控制信号实际上需要通过由第三方运营的服务才会被传递到设备当中。这同时也意味着,需要获得安全措施保护的不仅仅是硬件设备本身,还包括网络服务。

  Veracode根据这些分析结果得出的结论是,这些测试设备的设计师“没有足够重视安全和隐私,从而把消费者置于网络攻击或物理入侵的风险当中”。

  举个例子,Ubi设备所收集的信息可让不法之徒了解到你家里是否有人(根据环境噪音或灯光)。此外,通过利用Ubi或Wink Relay所含的漏洞,攻击者可以使用设备的麦克风进行窃听。

  但所幸的是,不同于路由器这种设备,许多物联网设备都具备自动升级的能力。因此当发现问题时,厂商可以轻松地推送修复升级。

《爱情公寓》里的智能家居 你还记得吗?

智能家居三类产品最值得关注

 

参与评论
回复:
0/300
文明上网理性发言,评论区仅供其表达个人看法,并不表明a&s观点。
0
关于我们

a&s是国际知名展览公司——德国法兰克福展览集团旗下专业的自动化&安全生态服务平台,为智慧安防、智慧生活、智能交通、智能建筑、IT通讯&网络等从业者提供市场分析、技术资讯、方案评估、行业预测等,为读者搭建专业的行业交流平台。

免责声明:本站所使用的字体和图片文字等素材部分来源于互联网共享平台。如使用任何字体和图片文字有冒犯其版权所有方的,皆为无意。如您是字体厂商、图片文字厂商等版权方,且不允许本站使用您的字体和图片文字等素材,请联系我们,本站核实后将立即删除!任何版权方从未通知联系本站管理者停止使用,并索要赔偿或上诉法院的,均视为新型网络碰瓷及敲诈勒索,将不予任何的法律和经济赔偿!敬请谅解!
© 2020 Messe Frankfurt (Shenzhen) Co., Ltd, All rights reserved.
法兰克福展览(深圳)有限公司版权所有 粤ICP备12072668号 粤公网安备 44030402000264号
用户
反馈