Por que o iKettle Hack deve se preocupar com você (mesmo se você não possui um)

Propaganda

No que diz respeito à tecnologia Smart Home, não faltam produtos cuja razão de ser é questionável, para dizer o mínimo. Na verdade, eu escreveu um artigo inteiro Tweeting Geladeiras e Panelas de Arroz Controladas pela Web: 9 dos mais estúpidos eletrodomésticos inteligentesExistem muitos dispositivos domésticos inteligentes que valem seu tempo e dinheiro. mas também existem tipos que nunca devem ver a luz do dia. Aqui estão 9 dos piores. consulte Mais informação neles em abril deste ano. Um dos dispositivos que eu mencionei foi o iKettle, da Smarter Labs.

O iKettle é uma chaleira com WiFi. Sim, você leu certo. Aparentemente, a tarefa de aquecer a água até o ponto de ebulição é algo que só pode ser realizado com a integração WiFi.

Ah, e eu mencionei que veio com uma enorme falha de segurança que tinha o potencial de explodir redes Wi-Fi inteiras?

Como o ataque funcionou

Sim, o iKettle não está muito quente (desculpa) quando se trata de segurança. Com apenas algumas etapas, você pode convencê-lo a tossir a senha de WiFi do usuário. Então, como você abre uma chaleira?

Primeiro, o invasor precisaria identificar uma rede sem fio com um iKettle conectado. Em seguida, eles criariam sua própria rede sem fio usando o mesmo SSID.

Quando o iKettle muda para essa rede, o invasor pode se conectar a ele pela porta 23 usando Telnet O que é o Telnet e quais são os seus usos? [MakeUseOf explica]Telnet é um daqueles termos técnicos que você pode ouvir ocasionalmente, mas não em um anúncio ou lista de recursos de qualquer produto que você possa comprar. Isso é porque é um protocolo ou uma linguagem ... consulte Mais informação . Essa é uma ferramenta disponível gratuitamente, semelhante ao SSH, e permite que os usuários gerenciem computadores remotamente.

O iKettle solicitará ao invasor uma senha de seis dígitos. Isso pode ser forçado, mas se a chaleira foi configurada com um dispositivo Android, ela tem a senha padrão de 000000. Uma vez autenticado, o atacante diz à chaleira para listar suas configurações. Nesse momento, ele cuspirá toda a senha do WiFi em cache em texto sem formatação, permitindo que um invasor obtenha acesso a toda a rede.

O Problema da Administração

Um porta-voz do Smarter Labs estava ansioso para enfatizar que a solução para esse problema não está longe.

"Levamos a segurança muito a sério aqui na Smarter e trabalhamos com nossos engenheiros para garantir que nossos novos produtos não encontrem problemas de segurança. Atualizaremos o produto efetuado em novembro para erradicar esse problema. ”

Eles também enfatizaram que o próximo iKettle não será afetado:

“Nosso novo produto e aplicativo possuem recursos de segurança atualizados que não são relevantes para [a vulnerabilidade].”

Os usuários com uma chaleira afetada podem atualizá-la usando o aplicativo iKettle, disponível para iPhone e Android. Enquanto isso, pode ser sensato conectar um segundo roteador à sua rede doméstica com um SSID diferente e conectar sua chaleira a ele. Você pode encontrar um roteador perfeitamente adequado da Amazon por apenas US $ 10.

Este episódio nos lembra como os produtos domésticos inteligentes que usamos são essencialmente computadorese como eles enfrentam os mesmos problemas de segurança que os computadores tradicionais. É bizarro imaginar alguém usando o Telnet para conectar-se a uma chaleira, mas aparentemente isso é uma coisa.

À medida que o campo Smart Home amadurece inevitavelmente, os fabricantes estarão sob crescente pressão para considerar a segurança de seus dispositivos. E quando as coisas dão errado (como inevitavelmente o fazem), eles podem esperar ter os pés acima do carvão.

Os fabricantes terão que projetar seus produtos para serem fáceis de redefinir e atualizar. Eles precisam adotar uma abordagem proativa à segurança de seus dispositivos e trabalhar com pesquisadores de segurança. Eles terão que aprender como gerenciar a divulgação Divulgação total ou responsável: como são divulgadas as vulnerabilidades de segurançaAs vulnerabilidades de segurança em pacotes de software populares são descobertas o tempo todo, mas como elas são relatadas aos desenvolvedores e como os hackers aprendem sobre as vulnerabilidades que podem explorar? consulte Mais informação e seus relacionamentos com a comunidade de segurança Oracle quer que você pare de enviá-los erros - eis por que isso é loucuraA Oracle está na água quente por causa de um post equivocado da chefe de segurança, Mary Davidson. Esta demonstração de como a filosofia de segurança da Oracle se afasta do mainstream não foi bem recebida na comunidade de segurança ... consulte Mais informação , o que alguns acharam incrivelmente desafiador.

Os fabricantes terão que considerar como garantir a segurança de seus dispositivos, no caso de falirem. Mais importante, eles terão que estabelecer um consenso com seus clientes sobre quanto tempo eles deverão manter um determinado produto.

Obsolescência não planejada

Um amigo meu tem um microondas que é literalmente antigo. Parece hipérbole, mas não é. Ele a herdou de seus pais, que por sua vez a compraram de um hipermercado agora extinto nos anos 80. Deixe-me colocar isso em contexto: o microondas dele é mais velho que eu.

Mas aqui está a coisa; é um microondas perfeitamente adequado. Quase trinta anos depois, ele ainda pode transformar uma refeição pronta de lasanha congelada em uma piscina fumegante de queijo derretido e ainda pode descongelar facilmente carne congelada. Não há literalmente nenhuma razão para substituí-lo.

Esse é o problema dos produtos de linha tradicionais. Eles não estão sujeitos ao mesmo ciclo de obsolescência planejada Consumirás: A história da eletrônica de consumo [Recurso]Todos os anos, exposições em todo o mundo apresentam novos dispositivos de alta tecnologia; brinquedos caros que vêm com muitas promessas. Eles visam tornar nossas vidas mais fáceis, mais divertidas, super conectadas e, claro, são status ... consulte Mais informação que mais tecnologia é. Não existe um "ciclo de atualização da geladeira". Não existe um "upgrade de dois anos" no mundo dos produtos de linha branca.

Outra coisa: o microondas do meu amigo foi fabricado em um país que não existe mais (República Democrática Alemã, também conhecida como Alemanha Oriental), por uma empresa que de maneira semelhante deixou de existir. Mas isso não impediu que ele fizesse nachos de microondas de queijo, trinta anos depois.

É uma questão diferente para a tecnologia doméstica inteligente. É altamente provável que sua chaleira computadorizada, ou um guarda-chuva habilitado para WiFi, exija atualizações periódicas de desempenho e segurança.

O problema é que os programadores são caroe é fundamentalmente irreal esperar que as empresas de software mantenham seus produtos indefinidamente. Eventualmente, eles precisam deixar para lá, como a Microsoft fez com o Windows XP O que o Windows XPocalypse significa para vocêA Microsoft eliminará o suporte ao Windows XP em abril de 2014. Isso tem sérias conseqüências para empresas e consumidores. Aqui está o que você deve saber se você ainda está executando o Windows XP. consulte Mais informação no início de 2014.

Depois, há o pequeno problema de empresas de tecnologia tenderem a implodir como The Death Star, deixando uma montanha de adesivos promocionais para laptop e código agora não suportado. Para dar apenas três (de muitos) exemplos, há Silicon Graphics, Palm e Commodore.

Se você compra um produto que, inerentemente, precisa de muito gerenciamento, apenas para mantê-lo seguro e funcionando sem problemas, você aposta que a empresa continuará apoiando-o. Isso nem sempre é uma aposta segura.

Protegendo a Internet das Coisas

No momento, a Internet das Coisas é uma idéia nascente, ainda pela metade. Ainda é um experimento, com dezenas de perguntas ainda não respondidas.

Os fabricantes devem ser responsáveis ​​pela segurança dos produtos que vendem? Se assim for, em que medida?

Deve-se razoavelmente esperar que uma empresa ofereça suporte a um produto IoT ou Smart Home? Se sim, quanto tempo?

O que acontece se o fabricante falhar? Muitas startups se comprometeram a liberar seu código sob domínio público, caso falhem. Os fabricantes de residências inteligentes devem ser obrigados a fazer o mesmo?

Os consumidores podem fazer algo para garantir a segurança do hardware? Se sim, o que?

Essas perguntas serão respondidas a tempo. Mas até que sejam, suspeito que a maioria dos consumidores seja reticente em adotar o mundo da Internet das Coisas.

Mas o que você acha? Deixe-me um comentário abaixo e conversaremos.