هیچ سوالی وجود ندارد ، قفل های هوشمند درب فوق العاده راحت هستند. ویژگی هایی مانند باز کردن قفل درب ورودی با یک برنامه تلفن ، ثبت همه ورودی ها و قفل شدن خودکار هنگام ترک منطقه ، عالی هستند. اگر به کار اجاره کوتاه مدت مشغول هستید ، انتخاب قفل هوشمند مناسب به این معنی است که می توانید در طول اقامت ، بدون نیاز به تجارت نامرتب مبادله کلیدهای خانه ، به آنها اجازه دسترسی موقت دهید. حتی در این صورت ، ممکن است در ذهن خود کمی نگرانی داشته باشید. بالاخره هکرها وارد حساب کاربری توییت Kanye West شدند. شاید آنها بتوانند درب ورودی شما را باز کنند؟ اگر از August Smart Lock Pro + Connect استفاده می کنید ، این نیست. درب ورودی شما باید قفل بماند حتی اگر یک کل هکر کاملاً هکر عبور کند و شعار "کنجد را باز کنید!" همانطور که گفته شد ، وجود یک حفره امنیتی در این دستگاه به معنای دسترسی کامل آن هکرها به شبکه Wi-Fi شما است ، که این خود فاجعه ای است.

PCMag برای پاسخگویی با تیم امنیتی اینترنت اشیاf در Bitdefender همکاری کرده است. فقط این نوع سوال تیم هک Bitdefender دستگاه های معروف خانگی هوشمند را تحت آزمایش قرار می دهد و به دنبال حفره های امنیتی است که هکرها می توانند از آنها سو استفاده کنند. با کشف مشکلی ، تیم با سازنده تماس می گیرد تا قبل از افشای آسیب پذیری به آن زمان برای رفع مشکل بدهد. در گذشته ، Ring با یکی از زنگ های هوشمند خود یک مشکل امنیتی برطرف کرده بود که به هکر بیمار امکان دسترسی کامل به شبکه Wi-Fi را که دستگاه به آن متصل شده بود ، می داد. به همین ترتیب بلكین با پلاگین هوشمند WeMo مشكل مشابهی را برطرف كرد. هنگامی که مصرف کنندگان محصول ایمن تری دریافت می کنند ، همه برنده می شوند.

در تحقیقات ما درباره مانیتور iBaby ، اتفاقات کمی متفاوت بود. تیم Bitdefender راهی پیدا کردند که هر صاحب دوربین بتواند از هر چنین دستگاهی به تصاویر و فیلم ها دسترسی پیدا کند. این شرکت ، بدون پاسخ ، iBaby را مطلع کرد. اما پس از انتشار این خبر ، iBaby ظرف چند روز رفع مشکل کرد. این یک برد دیگر است ، البته یک تاخیر.

August Smart Lock چقدر باهوش است؟

برای آخرین دور آزمایش ، تیم Bitdefender با هدایت الکس "جی" بالان ، متخصص هک اخلاقی ، در اوت اسمارت فرو رفتند. Lock Pro + Connect. این یکی از موارد مورد علاقه ما در گذشته بوده است و وقتی آن را در سال 2017 بررسی کردیم ، نشان Editors ’Choice خود را بدست آوردیم. اوت اخیراً نسخه ای با Wi-Fi یکپارچه منتشر کرد که همچنین برنده جایزه Editors 'Choice شد. سه سال پیش ، نسخه Pro یک قفل قدیمی است ، اما مطمئن باشید تعداد زیادی از آنها روی درها در سراسر کشور نصب شده است.

شما با استفاده از یک برنامه تلفن هوشمند قفل را کنترل می کنید. اگر در محدوده محدوده هستید ، ارتباط از طریق بلوتوث کم انرژی (BLE) مدیریت می شود. در غیر این صورت ، این برنامه از طریق اینترنت به پل اتصال متصل می شود (از آنجا "+ Connect") که قفل را کنترل می کند. تیم امنیتی دریافت که تمام دستورات بین دستگاه ها رمزگذاری شده و "قابل رهگیری یا اصلاح نیستند". علاوه بر این ، پل ارتباطی با دستگاه اتصال فقط در صورتی کار می کند که کاربر قفل اوت در حساب ثبت کرده باشد.

دسترسی به حساب امن است و از احراز هویت دو عاملی استفاده می کند. فقط مالک کنترل کامل دارد. از جمله تواناییهای مالک ، امکان دسترسی کامل یا دسترسی محدود به دیگران است. بدون اجازه دسترسی ، هکرها نمی توانند درب ، دوره را باز کنند. فقط یک مشکل کوچک وجود دارد ، یکی بسیار شبیه به آنچه با Ring Video Doorbell مواجه شده ایم …

Ring's Solution

مانند Ring Video Doorbell ، آگوست به اتصال به شبکه Wi-Fi محلی شما احتیاج دارد. بدون صفحه کلید یا دستگاه ورودی دیگر ، نمی توانید فقط نام کاربری و رمز ورود را وارد کنید. هر دو دستگاه از یک روش مشترک برای مدیریت اتصال اولیه استفاده می کنند. شما دستگاه را در حالت نصب قرار می دهید ، که باعث می شود به عنوان نقطه دسترسی عمل کند. با استفاده از تلفن هوشمند خود به آن نقطه دسترسی متصل می شوید. و برنامه اعتبار ورود به سیستم Wi-Fi را به دستگاه منتقل می کند.

تیم Bitdefender مشکلی را در این سیستم کشف کردند. آن تبادل اعتبار به هیچ وجه محافظت نمی شود. متجاوز در حال گوش دادن به شبکه ، حتی بدون ورود به شبکه ، می تواند اعتبار Wi-Fi را ضبط کند و از این طریق دسترسی کامل پیدا کند. مسلماً ، متجاوز باید دقیقاً در لحظه انجام مبادله گوش فرا دهد ، اما محققان راهی پیدا کردند که مجبور شود اعتبارنامه ها را دوباره وارد کند.

اجرای این هک صبر زیادی می خواهد. هکر باید مکانی را پیدا کند که بتواند از طریق شبکه Wi-Fi ، شاید یک ماشین پارک شده ، به آن گوش دهد. حمله ای که زنگ در را آفلاین می کند ، زمان بر است. و دوباره دستگاه متصل نمی شود تا زمانی که صاحب آن متوجه شود که آفلاین است و مبادله را آغاز کند.

Ring با اضافه كردن رمزنگاري به اعتبارنامه دستي به سرعت مشكل را برطرف كرد.

لازم به ذكر است كه تعداد زيادي از دستگاه هاي IoT از روش مشابهي براي ارتباط با شبكه Wi-Fi شما استفاده مي كنند. هر وسیله ای که مبادله اعتبارنامه را رمزگذاری نکند ، در معرض این حمله قرار خواهد گرفت.

Security Through Obscurity Never Works

توسعه دهندگان در ماه اوت شروع بهتری در مدیریت بهتر امور داشتند. آنها از همان ابتدا رمزگذاری را انجام داده اند ، بنابراین یک اسنپ شبکه نمی تواند به راحتی رمز عبور Wi-Fi را بدست آورد ، اما کلید رمزگذاری را در سیستم عامل دستگاه به سختی رمزگذاری می کند.

آنها سعی کردند آن را پنهان کنند. به گفته Bitdefender ، کلید خود با استفاده از یک رمزنگاری فوق العاده ساده به نام ROT-13 برای چرخش 13 رمزگذاری شده است. دو دیسک با 26 حرف در لبه خود را تصویر کنید. یک به یک مکان 13 بچرخانید. حالا A تبدیل به N می شود ، B به O می شود و به همین ترتیب. دقیقاً علم موشک نیست. توسعه دهندگان به جای اینکه در واقع از کلید محافظت کنند ، به مبهم کردن کلید اعتماد کردند.

برای جزئیات دقیق آنچه که تیم پیدا کرده است و اینکه چگونه یک هکر می تواند اطلاعات ورود به سیستم شبکه های Wi-Fi شما را بدزدد ، می توانید نامه سفید Bitdefender یا پست وبلاگ را در این مورد بخوانید .

آیا رفع شده است؟ خب ، نه

Bitdefender در دسامبر گذشته این مشکل را به آگوست اعلام کرد. آگوست با پیشنهادی برای افشای متقابل در ژوئن سال 2020 پاسخ داد. پس از آن ، ارتباطات قطع شد. Bitdefender چند ماه دیگر به تلاش خود ادامه داد ، اما سرانجام تصمیم گرفت مشکل را فاش کند. طبق پروتکل های افشای مسئولانه ، محققانی که مشکلی را پیدا می کنند معمولاً 90 روز به شرکت فرصت می دهند تا یک راه حل درست کند. در این حالت ، Bitdefender تقریباً سه برابر بیشتر منتظر ماند.

هکرها چه کاری می توانند انجام دهند؟

بنابراین ، خبر بد این است که یک هکر بسیار صبور می تواند با استفاده از این سوراخ امنیتی به شبکه Wi-Fi شما دسترسی کامل پیدا کند. من با جی بالان از Bitdefender در مورد اینکه چقدر بد است فکر می کنم بالان خاطرنشان كرد: مردم معتقدند كه شبكه هاي خانگي آنها امن هستند. "همه ما از این تعصب رنج می بریم. همه ما احساس می کنیم که چیزی ایمن است زیرا در شبکه خصوصی ماست. به همین ترتیب ، تمام اقدامات امنیتی ما در شبکه های خانگی بسیار آرام هستند."

وی در ادامه به برخی موارد خاص اشاره کرد سناریوها چاپگرهای شبکه بدون رمزگذاری یا احراز هویت با یکدیگر ارتباط برقرار می کنند ، بنابراین یک مهاجم می تواند هر اسنادی را که چاپ می کنید ضبط و منفجر کند. اگر از یک دستگاه محلی Attached Storage (NAS) محلی برای تهیه نسخه پشتیبان استفاده می کنید ، احتمال اینکه فایل های محافظت نشده را برای تهیه پشتیبان دریافت کند ، یکبار دیگر به مهاجم دسترسی کامل می دهد. با نظارت بر ارتباطات بین دستگاه های اینترنت اشیا و سایر دستگاه های موجود در شبکه ، یک هکر می تواند کنترل این دستگاه ها را بدست آورد. بالان نتیجه گیری کرد ، "ترکیبی از آسایش و ایمنی که در شبکه خصوصی خانه خود با تکنیک های هک احساس می کنید ، هکرها با تلاش برای کاربران مهندس اجتماعی و سرقت اطلاعات آنلاین آنها ، حمله های فیشینگ و غیره ، راحت تر می شوند."

پاسخ آگوست

ما با برنامه آگوست تماس گرفتیم و خواستار ارائه نظر شدیم. پاسخ اولیه بر تعهد آگوست به امنیت تأکید کرد ، و اظهار داشت ، "حفظ حریم خصوصی و امنیت مشتریان از اولویت های اصلی ما هستند ، زیرا آنها در هسته اصلی ما به عنوان یک شرکت و چگونگی ایجاد محصولات ما هستند " اما در ادامه پاسخ این شرکت به یک مشکل کاملاً متفاوت ، آسیب پذیری مبتنی بر سخت افزار با نام Spectra توصیف شد. جالب اینجاست که در ارائه کلاه سیاه در Spectra اصلاً اشاره ای به ماه اوت نشده بود ، و این کار بر روی مکینتاش و تلفن های هوشمند آسیب پذیر بود.

وقتی درخواست خود را برای اظهار نظر روشن کردیم ، نماینده اوت اظهار داشت ، "تیم آگوست از این آسیب پذیری است و در حال حاضر برای حل این مشکل کار می کند. در حال حاضر ، ما از هیچ حساب کاربری مشتری آگاه نیستیم. " این موضوع دلگرم کننده است ، هرچند با تعامل شرکت با تیم Bitdefender اثبات نشده است. نماینده همچنین گفت ، "مهاجم باید دقیقاً بداند كه مشتری در حال راه اندازی دستگاه Connect است. هنگامی كه Connect كاملاً راه اندازی شد ، دیگر در برابر این حمله آسیب پذیر نیست."

آخرین با توجه به تکنیک مستند خدمه Bitdefender برای مجبور کردن نصب در صورت تقاضا ، این بخش در واقع درست نیست. در این بیانیه همچنین آمده است که فقط اتصال با دستگاههای Android تحت تأثیر قرار می گیرد ، نه iOS. Bitdefender تأیید کرد که افزایش امنیت اپل به این معنی است که حمله واقعاً با دستگاه iOS کار نمی کند. و لازم به ذکر است که این آسیب پذیری به هیچ وجه کنترل قفل را به مهاجم نمی دهد.

وقتی کانون توجه آزمایش نفوذ را به هر وسیله تبدیل می کنید ، احتمال خوبی وجود دارد که یک حفره امنیتی پیدا کنید. ما در ماه اوت فقط به دلیل بروز نقص مقصر نیستیم. اما ما همچنان نگران پاسخ این شرکت هستیم. پس از هشت ماه این نقص برطرف نشده است ، و بیانیه این شرکت بیانگر درک ناقص از اشتباه است.

برای اطلاعات بیشتر در مورد چگونگی ایمن نگه داشتن خانه هوشمند خود ، راهنمای ما را بخوانید.