As vulnerabilidades, que foram corrigidas entretanto, permitiam que um hacker pudesse abrir fechaduras inteligentes ao obter chaves SSH privadas.
Uma investigação publicada esta semana revelou a existência de uma série de vulnerabilidades críticas em dispositivos IoT da marca Zipato, utilizados como parte de um smart hub para controlar os dispositivos IoT de uso doméstico. No caso de serem explorados, permitiam que um hacker pudesse abrir a porta principal de uma casa que utilize uma fechadura inteligente.
Os problemas de segurança com dispositivos IoT não são novos. “Ainda estamos longe de poder contar com standards de segurança para IoT e a realidade indica que, apesar da usabilidade e facilidade que os dispositivos inteligentes oferecem ao utilizador, são muito valorizadas, também podem representar uma porta aberta para a entrada de ameaças”, explicou o responsável pelo Laboratório da ESET na América Latina, Camilo Gutiérrez.
Em sintonia com esta realidade, no início de 2018, investigadores da ESET, publicaram um white paper com os resultados de uma análise a doze dispositivos IoT disponíveis no mercado e cada um apresentou algum problema no que respeita à privacidade, para além de outras falhas de segurança.
A adoção de dispositivos inteligentes para uso doméstico continua a crescer, da mesma forma que as preocupações no que respeita à segurança, pelo que os utilizadores devem aprender a avaliar os aspetos de segurança de um equipamento antes de decidir comprá-lo.
Sobre a vulnerabilidade em Smart Hubs
A descoberta destas vulnerabilidades é obra dos investigadores Charles Dardman e Jason Wheeler. Duas das três vulnerabilidades descobertas estão relacionadas com o design e a implementação dos mecanismos de autenticação da API do smart hub , enquanto que a terceira tratava-se de uma vulnerabilidade na chave privada SSH para ROOT, que segundo explicam numa publicação realizada esta semana, é única e permite que possa ser extraída do cartão de memória localizado no dispositivo. Esta chave removível é nem mais nem menos que o acesso à conta do utilizador com o nível mais alto de acesso. Neste sentido, qualquer pessoa que tenha acesso à chave privada pode aceder ao dipositivo sem precisar crackar a password.
Mediante o uso da password, os investigadores descarregaram do dispositivo um arquivo .json que continha uma password encriptada, a qual utilizaram para aceder à API através da técnica pass the hash. Isto graças ao facto de terem descoberto que a central inteligente (smart hub) não precisava de saber a password em texto simples: bastava a password encriptada. Desta forma, os investigadores conseguiram enganar o dispositivo e fazer-lhe crer que eram os proprietários do equipamento, obtendo a password encriptada e introduzindo a mesma no smart hub.
Feito isto, demonstraram que mediante um comando, um hacker poderia enviar um pedido a um smart hub vulnerável para desbloquear e bloquear uma porta. Para além disso, elaboraram um script como parte de uma prova de conceito.
Um dos investigadores assegurou à TechCrunch que qualquer apartamento que registasse uma conta principal para os restantes apartamentos do edifício permitiria que abrissem todas as portas. Para além disso, Dardaman explicou ao meio que para explorar as falhas um hacker necessitaria estar ligado à mesma rede Wi-Fi que a central inteligente vulnerável. Como se não bastasse, o investigador assegurou que qualquer central inteligente diretamente ligada à Internet poderia ser explorada remotamente.
Mais tarde, os investigadores deram-se conta que as chaves SSH privadas estavam codificadas em cada um dos equipamentos utilizados para controlar os dispositivos IoT que os clientes têm nas suas casas, o que expunha os utilizadores dos mesmos a um risco.
Os resultados da investigação foram agora publicados, mas a descoberta data de fevereiro de 2019. Tornaram públicos os detalhes da investigação uma vez que a empresa Zipato corrigiu as falhas de segurança, em março deste ano.
De acordo com o chefe executivo da Zipato ao TechCrunch, o novo smart hub vem com uma chave privada SSH única, bem como outras melhorias de segurança que foram adicionadas. Além disso, a empresa comentou que desativou o smart hub ZipaMicro e substituiu-o por um produto mais recente.
