卡巴斯基帮助消除智慧家庭控制器中的严重漏洞

  • 时间:
  • 浏览:1

  卡巴斯基研究人员调查了有1个活跃的聪慧家庭生态系统的控制设备,后后发现了多个严重漏洞。其中包括云基础设施中的漏洞和潜在的远程代码执行漏洞,可否让第三方获得控制器的“超级用户”访问权限,从而还可否任意操纵聪慧家庭基础设施。另一个人将调查结果分享给了哪些地方地方设备的供应商Fibaro,另一个人立即解决了哪些地方地方问题报告 ,并更新了安全协议。

  自从物联网(IoT)的安全性首次研究以来,可能性过去了多年,随着物联网领域的不断扩大和发展,之类于于研究的重要性依然占据 :可能性随着新产品和新的解决方案的经常出先,也会伴随着新的威胁层面的经常出先,危及用户的安全。卡巴斯基的一名员工向该公司的研究人员提出挑战,要求另一个人检查一下另一个人家中部署的聪慧系统。他允许研究人员访问他的聪慧家庭控制器。固然选着 控制器,是可能性它连接并监督整个聪慧家庭的整体运营,一旦成功入侵,就还可否让网络攻击者入侵整个家庭生态系统,实施从监控到数据盗窃到物理破坏等各种攻击。

  在最初的情报采集研究阶段,安全专家发现了多个潜在入侵途径:通过广泛应用于家庭自动化的Z-Wave无线通信协议;通过管理面板的web界面;以及通过云基础设施。结果,最后有1个途径是最有效的入侵路径:检查用于解决来自设备的请求的法律办法,发现授权过程中占据 漏洞,后后有可能性执行远程代码。

  这几种攻击途径结合起来,可否让第三方访问所有从Fibaro 家庭中心上传到云端的所有备份,还还可否将受感染的备份上传到云端,前一天将其下载到特定的控制器——尽管攻击者没有系统权限。

  为了完成实验,卡巴斯基专家针对控制器进行了测试攻击。为此,另一个人准备了专门的具有脚本的备份,后后使用密码对其进行保护。前一天,另一个人通过云端,向设备主人发送了电子邮件和短信,督促用户更新控制器的固件。根据要求,“受害者”同意并下载了受感染的备份。前一天做可否让研究人员获得对聪慧家庭控制器的超级用户权限,从而还可否操纵联网的生态系统。为了展示另一个人成功入侵了系统,研究人员更改了闹钟的铃声——第4天 ,你这个 卡巴斯基员工被一段响亮的鼓打贝斯音乐吵醒。

  卡巴斯基ICS CERT安全研究员Pavel Cheremushkin说:“与另一个人不同,有1个可否访问家庭中心的真正的攻击者不太可能性会将一点人局限于闹钟恶作剧。另一个人所研究的哪些地方地方设备的主要功能是整合所有的“聪慧设备”,前一天主人就还可否通过有1个家庭中心管理所有设备。有1个重要的细节是,另一个人的评估针对的是有1个主动部署的系统 ——而前一天,大多数研究全部是否在实验室条件下进行的。哪些地方地方研究表明,尽管另一个人对物联网安全性的认识有所增加,但仍然有一点问题报告 可否 解决。更重要的是,另一个人研究的设备是大规模生产的,并部署在功能齐全的聪慧家庭网络中。另一个人感谢Fibaro对哪些地方地方问题报告 的负责态度,可能性另一个人知道另一个人专注于网络安全,后后较这次研究前一天,使另一个人的同事的家变得更加安全”。

  “物联网基础设施可否 僵化 的系统在一点层面上流畅地工作。哪些地方地方基础设施涉及统统部署和架构工作。另一个人感谢卡巴斯基的研究和努力。哪些地方地方研究帮助另一个人增强了另一个人产品和服务的安全性。通过媒体相互合作,另一个人可否消除现在漏洞。另一个人强烈建议FIBARO用户安装最新的更新,后后一定要检查接收到的邮件是是否与FIBARO网站上的公告一致。哪些地方地方更新增强了系统功能,一块儿让黑客更难窃取私人数据,”FIBARO首席产品官Krzysztof Banasiak说。

  要确保设备安全,另一个人建议用户:

  · 在决定使用聪慧设备前一天,请考虑安全风险。

  · 在购买物联网设备前一天,请在互联网上搜索相关漏洞新闻。

  · 在购买新产品时,除了标准漏洞外,最新发布的产品可能性含高尚未被安全研究人员发现的安全问题报告 。考虑到你这个 点,最好的选着 是购买可能性经历太少次软件更新的产品,而全部是否最新上市的产品。

  · 确保您的所有设备都安装了最新的安全更新和固件更新。