Los investigadores de seguridad de la Universidad de Michigan han descubierto una serie de fallas de diseño en la plataforma SmartThings de Samsung. Las fallas potencialmente socavan la seguridad de cualquier configuración de casa inteligente usando el ecosistema SmartThings. 3 maneras de proteger su familia y hogar con presencia de SmartThings. 3 maneras de proteger su familia y su hogar con presencia de SmartThings. ¿Desea usar la tecnología para proteger a sus seres queridos? Vea lo que SmartThings Presence puede hacer para vigilar su hogar. Lea más, permitiendo que las aplicaciones maliciosas desbloqueen puertas, activen falsamente las alarmas, configuren los códigos de acceso a la casa, los dispositivos de desconexión desde el modo de vacaciones y una serie de otros vectores de ataque.
Con una ligera reserva de ahorro, uno de los ataques depende de que el usuario descargue una aplicación maliciosa de la tienda SmartThings o de que siga un enlace malicioso. Una vez que se descarga la aplicación maliciosa, un atacante podría conducir efectivamente un ataque remoto desde cualquier parte del mundo.
Comprensiblemente, Samsung ha estado a la defensiva acerca de los problemas críticos de seguridad, afirmando que está operando con pleno conocimiento de los problemas y que están siendo activamente eliminados.
¿Es eso lo suficientemente bueno? ¿O debería Samsung, una compañía multinacional de tecnología, investigar activamente por qué sus productos aparentemente están enviándose con errores de seguridad? Vamos a ver.
Vulnerabilidades Múltiples
Los investigadores de seguridad de la Universidad de Michigan idearon varias hazañas de prueba de concepto centradas en exponer cualquier falla potencial en el ecosistema SmartThings de Samsung. Como uno de los mayores fabricantes de dispositivos IoT Ready (Internet de las cosas), incluidos frigoríficos, termostatos, hornos, puertas de seguridad, cerraduras, paneles, sensores y mucho más, no es de extrañar que sus credenciales de seguridad estén bajo escrutinio .
Los investigadores confirmaron que las fallas fueron causadas por dos defectos de diseño intrínsecos en el ecosistema SmartThings. Lo que es más, los dos defectos de diseño intrínsecos no son necesariamente fáciles de corregir.
Los problemas se relacionan con la forma en que las aplicaciones de control de hogares inteligentes de terceros implementan el protocolo de autorización OAuth . Los investigadores descubrieron una aplicación no conforme y pudieron construir un ataque completo basado en la falla, enviando un único enlace a la página de inicio de sesión de SmartThings real, pero robando el token de inicio de sesión del usuario al mismo tiempo. Con los tokens en mano, un atacante podría crear su propio PIN para un candado inteligente mientras el usuario permanecía al margen 4 Usos realmente geniales para SmartThings Open Closed Sensors 4 Realmente Cool Usos para SmartThings Open Closed Sensors El sensor Open / Closed está destinado a monitoree puertas y portones, pero con algo de creatividad puede hacer mucho más. Aquí hay ideas para usar el dispositivo para hacer su hogar un poco más inteligente. Lee mas .
Otro exploit incluía la explotación de una vulnerabilidad para desactivar el "modo de vacaciones", lo que demuestra el acceso a permisos de alto nivel. Una vez que se concede el acceso al "modo de vacaciones" a un atacante, pueden mitigar cualquier modo de defensa de vacaciones preprogramado, como encender luces al azar en toda la casa, o abrir y cerrar persianas para simular una residencia ocupada.
Esto lleva a la segunda faceta del problema de seguridad de SmartThings. La mayoría de las aplicaciones explotadas por los investigadores no deberían tener este nivel de privilegio operativo para empezar. Los investigadores de seguridad establecieron la tienda SmartThings contiene más de 500 aplicaciones individuales. Así es como la nueva aplicación SmartThings es un gran paso atrás. Así es como la nueva aplicación SmartThings es un gran paso atrás Una actualización reciente de la aplicación SmartThings demuestra que la compañía podría estar cambiando de rumbo. Este tipo de tecnología ciertamente está cambiando, pero aún está por verse si esto es para bien o para mal. Lea más ofreciendo algún grado de control o automatización de su hogar. Luego descubrieron que más del 40% de estas aplicaciones otorgan demasiados privilegios para el trabajo a veces simple para el que fueron diseñados.
Estas aplicaciones de "exceso de privilegios" crean un importante problema de seguridad, aunque a menudo no es enteramente culpa del diseñador. Atul Prakash, profesor de ciencias de la computación e ingeniería de la Universidad de Michigan lo explicó así:
"El acceso a las concesiones de SmartThings por defecto está en un nivel de dispositivo completo, en lugar de más estrecho. Como analogía, digamos que le das permiso a alguien para cambiar la bombilla de luz en tu oficina, pero la persona también termina teniendo acceso a toda tu oficina, incluido el contenido de tus archivadores ".
La respuesta de Samsung
Como era de esperar, Samsung ha protegido sus intereses de Internet of Things. La declaración de SmartThings es la siguiente:
"Proteger la privacidad y la seguridad de los datos de nuestros clientes es fundamental para todo lo que hacemos en SmartThings. Conocemos por completo el informe de la Universidad de Michigan / Microsoft Research y hemos estado trabajando con los autores del informe durante las últimas semanas sobre las formas en que podemos continuar para hacer que el hogar inteligente sea más seguro a medida que crece la industria.
Las posibles vulnerabilidades reveladas en el informe dependen principalmente de dos escenarios: la instalación de una SmartApp maliciosa o la falla de los desarrolladores de terceros en seguir las pautas de SmartThings sobre cómo mantener su código seguro.
En cuanto a las aplicaciones inteligentes descritas, estas no han impactado ni afectarán a nuestros clientes debido a los procesos de certificación y revisión de códigos que SmartThings ha implementado para garantizar que SmartApps malintencionadas no se aprueben para su publicación. Para mejorar aún más nuestros procesos de aprobación de SmartApp y garantizar que las posibles vulnerabilidades descritas continúen sin afectar a nuestros clientes, hemos agregado requisitos adicionales de revisión de seguridad para la publicación de cualquier SmartApp.
Como una plataforma abierta con una comunidad de desarrolladores activa y en crecimiento, SmartThings proporciona pautas detalladas sobre cómo mantener todo el código seguro y determinar qué es una fuente confiable. Si el código se descarga de una fuente que no es de confianza, esto puede presentar un riesgo potencial, al igual que cuando un usuario de PC instala software desde un sitio web de terceros desconocido, existe el riesgo de que el software pueda contener código malicioso. Después de este informe, hemos actualizado nuestras mejores prácticas documentadas para proporcionar una mejor orientación de seguridad a los desarrolladores ".
No es la primera vez que Samsung se encuentra con problemas de seguridad de IoT, ni es un problema aislado de ninguna compañía de tecnología. Los dispositivos de IoT han sido siempre la fuente de problemas de seguridad, y la mayoría de los usuarios que exploran nuevos dispositivos de red listos para Internet no comprenden por completo la gravedad de lo que están haciendo. Por qué Internet de las cosas es la mayor pesadilla de seguridad ¿Por qué Internet? Las cosas son la mayor pesadilla de la seguridad Un día, llegas a casa del trabajo y descubres que tu sistema de seguridad para el hogar habilitado en la nube ha sido violado. ¿Cómo pudo pasar esto? Con Internet of Things (IoT), podrías descubrirlo de la manera más difícil. Lee mas .
Pequeño estudio SmartApp
El equipo de investigación incluso completó un estudio extremadamente pequeño de personas que usan SmartApps, evaluando su atención a los permisos que estaban otorgando.
Sorprendentemente, 20 de las 22 personas entrevistadas dejaron que una aplicación de monitoreo de baterías verificara el estado de las cerraduras inteligentes instaladas en sus locales, con la premisa de que la aplicación enviará códigos de acceso a la puerta a un servidor remoto. Puede tratarse de un caso en el que los usuarios no comprometen su diligencia debida para la seguridad personal, más aún cuando implica la posibilidad de una pérdida grave o, en el peor de los casos, un peligro personal.
Pero igualmente, y aquí es donde compadezco a los usuarios, un problema importante es que las empresas que instalan e implementan sistemas inteligentes en residencias y empresas privadas no ofrecen suficiente apoyo educativo a los usuarios. 7 Razones por las que Internet de las cosas debería asustarlas 7 razones Por qué el Internet de las Cosas debería asustarlo Los beneficios potenciales del Internet de las Cosas se vuelven brillantes, mientras que los peligros se arrojan a las sombras silenciosas. Es hora de llamar la atención sobre estos peligros con siete aterradoras promesas del IoT. Lee mas .
Claro, el usuario puede entender de lo que está hablando el instalador, pero ¿han realmente digerido el hecho de que toda su casa está conectada a la red? ¿Entienden que su refrigerador está ahora en línea? 5 Dispositivos que NO QUIERES conectar al Internet de las cosas 5 Dispositivos que NO deseas conectar al Internet de las cosas El Internet de las cosas (IO) puede no ser todo lo que está hecho ser. De hecho, hay algunos dispositivos inteligentes que quizás no desee conectar a la web en absoluto. Lea más, y que su refrigerador ahora está abierto a las mismas vulnerabilidades que su tableta? Debido a que puede apostar su último dólar, el usuario estará mucho más actualizado con las vulnerabilidades de la tableta que con una amenaza algo intangible al contenido de la nevera Smart Frigorífico de Samsung recién adquirida. ¿Qué tal el resto de su casa inteligente? Smart Fridge de Samsung acaba de ser patentado. ¿Qué tal el resto de su casa inteligente? Una vulnerabilidad con el refrigerador inteligente de Samsung fue descubierta por la firma de informática Pen Test Parters, con sede en el Reino Unido. La implementación de Samsung de encriptación SSL no verifica la validez de los certificados. Lee mas .
O, como escribió el equipo de investigadores de la Universidad de Michigan:
"Los dispositivos domésticos inteligentes y sus plataformas de programación asociadas continuarán proliferando y seguirán siendo atractivos para los consumidores porque proporcionan una funcionalidad potente. Sin embargo, los hallazgos en este documento sugieren que también se requiere precaución, por parte de los primeros adoptantes y por parte de los diseñadores del marco. Los riesgos son importantes y es poco probable que se solucionen fácilmente mediante simples parches de seguridad ".
No hay necesidad de entrar en pánico. Samsung ya ha comenzado a abordar algunos de los principales aspectos destacados en el documento, aunque tomará algún tiempo garantizar que el marco SmartThings sea verdaderamente una plataforma de hogar inteligente verdaderamente segura. ¿Qué Smart Hub para Automatización del hogar es mejor para usted? ¿Qué Smart Hub para Home Automation es el mejor para usted? Por un tiempo, la gente pensó en la idea como nada más que un truco, pero los lanzamientos de productos recientes han demostrado que la domótica inteligente está empezando a cumplir sus promesas. Lee mas .
¿Usas SmartThings? ¿Considerarás cambiar a un marco diferente? Háganos saber a continuación!
Crédito de la imagen: Alexander Kirch a través de Shutterstock