Два исследователя изучили вопрос о том, как злоумышленники могут проникнуть в умный дом через плохо защищённые устройства. Эдвейт Надкарни и Дэнис Пошиваник из компании William & Mary проверили большое число продуктов из сферы умного дома и нашли в них множество серьёзных уязвимостей. По их словам, полученные результаты заслуживают того, чтобы, указывая на них, побудить производителей переосмыслить то, каким образом их продукты взаимодействуют между собой.

«Миллионы долларов вложены в то, чтобы исключить несанкционированное проникновение в камеры видеонаблюдения и дверные замки, — говорит Эдвейт Надкарни. — Но никто не обращает внимания в этом смысле на устройства с низкой степенью защиты, такие, как умные выключатели».

Исследователи оценили защищённость двух популярных платформ умного дома — Google NEST и Phillips Hue. Обе платформы, как и многие другие, используют централизованное хранилище данных. Оно работает как своего рода коммутационная панель, с помощью которой устройства и приложения взаимодействуют между собой через Интернет.

В такой системе хакер имеет возможность проникнуть сразу во все устройства в доме. Сначала злоумышленник получит контроль над слабозащищённым продуктом, например пожарным спринклером или «брендовой» осветительной системой. После этого он сможет в хранилище данных воздействовать на переменные, которые относятся к продукту, имеющему высокую степень защищённости.

Разработчику ПО очень удобно строить систему с централизованным хранилищем — именно поэтому она широко используется. А злоумышленнику, чтобы произвести атаку на эту систему, достаточно подключиться к той же публичной сети, в которой находится атакуемый пользователь.

В своей лаборатории Надкарни и Пошиваник успешно воспроизвели такую атаку на систему NEST. Они изменили настройки, сымитировав присутствие пользователя дома, и затем отключили камеру видеонаблюдения.

О найденной уязвимости исследователи немедленно оповестили производителей. Их упрёк не относится к кому-либо из них конкретно. Они обращаются ко всей индустрии. Большинство компаний гонится за тем, чтобы поскорее выпустить новый продукт, и это слишком часто делается в ущерб его безопасности.

Источник: http://www.secnews.ru/foreign/23944.htm#ixzz5dbweBxev
Security News