Ligzdas ligzdas viedais termostats 15 sekundēs pārvēršas par datu zagšanas spiegu

Runājiet par Nest viedā termostata ietekmi uz drošību, un lielākā daļa cilvēku, iespējams, vienkārši paraustīs plecus. Viņi pieņem, ka tāpēc, ka termostats nevar piekļūt jūsu naudai vai sadedzināt jūsu māju, uzbrucējs to neuztrauc. Melnajā cepurē šogad klātesošie Yier Jin, Grant Hernandez un Daniel Buentello parādīja, ka termostats var darīt ļoti daudz.

Nest patiešām ir iekļāvis dažus drošības pasākumus, un vadītāji lika norādīt, ka Nest piešķir atzinību uzņēmuma darbam. "Tas ir ļoti labi izstrādāts, un mums vajadzētu slavēt viņu darbu, " sacīja Džins. Viņš ātri sekoja savas komandas darba gaitai: "balstoties uz mūsu analīzi, mēs esam izdomājuši aparatūras aizmugures durvis un caur šo aizmugures palīdzību mēs varam iegūt visas ierīces tālvadību."

Lauž ligzdu

Demonstrējot, komanda piekļūst Nest, izmantojot USB, un sakņojas tajā aptuveni 15 sekundēs. Viņu uzbrukums bija atkarīgs no atkļūdošanas sistēmas, kuru Nest tīši atstāja ierīcē. Klātesošie norādīja, ka iegulto ierīču ražotājiem tā faktiski ir ierasta prakse.

Kad ligzdas fiziskā poga tiek turēta 10 sekundes, ierīce tiek atsāknēta. Bet uz sekundes daļu tas ir pieejams, lai saņemtu jaunus norādījumus par sāknēšanu. Komanda izveidoja pielāgotu rīku, kas, tieši pieslēdzoties Nest, pārstrādāja Nest programmatūru, nodrošinot viņiem pilnīgu tālvadību.

Lai gan viņu uzbrukumam ir nepieciešama fiziska pieeja, ātrums, ar kādu tas tika veikts, bija ievērojams. Uzbrucējs, iespējams, varētu izmantot kontroli pār Nest, kad tā īpašnieks uz brīdi izgāja no istabas. Viņi arī norādīja, ka uzbrucēji var vienkārši iegādāties Nest ierīces, inficēt tās un pēc tam nosūtīt atpakaļ uz veikalu, kur tās tiks pārdotas.

Un nedomājiet, ka Nest atjauninājumi varētu palīdzēt: pētnieki sacīja, ka viņi ir izstrādājuši veidu, kā inficētās ierīces paslēpt failus no programmaparatūras atjauninājumiem. Uz vieglākas nots klātesošie demonstrēja arī to, ka Nest garlaicīgo izskatu viņi var aizstāt ar animētu fonu.

Kas tas ir svarīgi

Viena no Nest galvenajām funkcijām - tā pārdošanas punkts - ir tā, ka tā uzzina jūsu sildīšanas un dzesēšanas vēlmes. Izmantojot šo informāciju, tā optimizē jūsu mājas temperatūru, lai tā atbilstu jūsu vajadzībām un ietaupītu naudu. Bet raidījuma vadītāji norāda, ka tas uzbrucējam sniedz daudz informācijas par jūsu ieradumiem. Kompromitēts Nest, piemēram, zina, kad atrodaties ārpus mājas vai esat atvaļinājumā. Šo informāciju varētu izmantot turpmākiem digitāliem uzbrukumiem vai vienkārši zādzībām.

Nest zina arī jūsu tīkla akreditācijas datus un tā aptuveno atrašanās vietu. Bet satraucošās ligzdas visbēdinošākā izmantošana būtu kā pludmales galva citiem uzbrukumiem. Buentello sacīja, ka, ja viņam būtu kontrole pār inficētu ligzdu kāda cilvēka mājās, "es tuneļotu visu jūsu satiksmi, šņaucoties uz jebko, ko varētu atrast." Tas ietver paroles, kredītkaršu numurus un visu citu vērtīgu informāciju.

Cik biedējoša bija viņu prezentācija, uzbrucējam joprojām bija nepieciešama fiziska pieeja Nest termostatam. Bet pētnieki pārliecināja auditoriju, ka viņi smagi strādā, lai izpētītu ierīces programmatūras protokolus, piemēram, Nest Weave, kas, viņuprāt, var atļaut attālinātu izmantošanu.

Bet vissliktākais, ko teica klātesošie, ka upuris nevar pateikt, ka ir inficējies. Galu galā jūs nevarat ielādēt pretvīrusu savā termostatā.

Privātums

Kaut arī Nest uzlaušana bija ļoti jautra demonstrācija, raidījuma vadītājus galvenokārt uztrauca privātums. Viņi norādīja, ka Nest lietotāji nevar atteikties no datu vākšanas. Iespējams, ka arī Nest ierīču ir vairāk nekā mēs domājam. "Kāpēc ellē manam termostatam nepieciešami 2 gigabaiti, " jautāja Buentello. "Ko tas dara?"

Kaut arī pētnieki kritizēja Nest lēmumu iekļaut USB backdoor, viņi norāda, ka to faktiski var izmantot privātums domājoši indivīdi, lai liegtu Nest vākt lietotāju datus. Ceturtais viņu pētniecības grupas loceklis smagi strādā pie pielāgota programmaparatūras atjauninājuma, kas izmantos komandas atklātās ievainojamības. Viņu pielāgotais ielāps neļaus Nest vākt datus, bet tomēr ļaus Nest normāli darboties - pat saņemot atjauninājumus ēterā.

Sakarā ar to, ka Nest ir IOT ierīču plakāta bērns, komanda auditorijai uzdeva interesantu jautājumu: vai viņi turpinās lietot Nest mājās? Pētnieki sacīja, ka mūsu veiktās darbības un lēmumi par to, kas mums ir pieļaujams iegultām ierīcēm, varētu noteikt standartu nākamajiem 30 gadiem.

Izvēlies prātīgi.