Hakowanie żarówek, czyli lepiej nie podłączaj lodówki do sieci

Żyjemy w świecie, w którym coraz więcej otaczających nas przedmiotów obsługiwanych jest przez różne komputery, a dzięki temu ma też luki bezpieczeństwa. Dzisiaj chcemy Wam opowiedzieć, jakie podatności może mieć inteligentna żarówka.

W ciągu ostatnich dni opisywaliśmy, jakie możliwości ma kontroler dysku twardego oraz karta SD z modułem WiFi. A czy wiecie, że istnieją już żarówki, których kolor świecenia może zależeć od tego, czy ktoś Was oznaczy na zdjęciu na Facebooku? Philips hue posiadają wiele funkcji, a jedną z nich jest integracja z Facebookiem i sterowanie ich kolorem lub włączaniem/wyłączaniem w zależności od sygnałów płynących z sieci – również społecznościowej.

System działa dosyć prosto. Sama żarówka skonstruowana jest z diod LED, umożliwiających wyświetlanie pełnej palety kolorów RGB. Jeśli nie dokupicie odpowiedniej stacji sterującej, zwanej mostkiem (i nie podłączycie jej do domowej sieci), to żarówka potrafi zapalić się i zgasnąć. Jeśli jednak zainwestujecie w mostek, komunikujący się z żarówkami przy użyciu protokołu ZigBee, to żarówka staje się co najmniej tak inteligentna jak jej sterownik. Korzystając z protokołu IFTTT (If This Than That) żarówki potrafią reagować na spełnienie zdefiniowanych warunków, jak np. otrzymanie wiadomości poczty elektronicznej czy pojawienie się opadów w prognozie pogody. System aż się prosi o analizę bezpieczeństwa – pierwsze podejście przeprowadził Nitesh Dhanjani. Poniżej zamieszczamy streszczenie najciekawszych wątków jego pracy.

Oryginalne podejście do tworzenia tokenów

Sterowanie żarówkami odbywa się przez interfejs http mostka. Można zarówno zalogować się do niego bezpośrednio, jak i skorzystać z wygodnych aplikacji na iOS czy Androida (potrafiących np. ustawiać kolor żarówek na podstawie zdjęcia z Instagramu…). Mostek przyjmuje polecenia jedynie od zarejestrowanych urządzeń. Weryfikuje je na podstawie specjalnych tokenów. Niestety zamiast tworzyć tokeny losowo, aplikacja oblicza hasz MD5 adresu MAC autoryzowanego urządzenia i używa tej wartości w celu weryfikacji kolejnych poleceń. Oznacza to, że atakujący, posiadając dostęp do lokalnej tablicy ARP, może odczytac z niej wszystkie znane adresy MAC, wygenerować ich hasze MD5 i następnie polecić mostkowi, by ten np. zgasił wszystkie inteligentne żarówki w całym domu. Co więcej, może robić to co sekundę, uniemożliwiając ponowne zapalenie światła. By było śmieszniej, autoryzacji urządzenia nie da się odwołać z interfejsu użytkownika, zatem raz uzyskany token będzie ważny w nieskończoność.

Przykład takiego ataku pokazano na poniższym filmie.

Co prawda scenariusz zakłada obecność atakującego w sieci wewnętrznej, co z reguły oznacza poważniejsze problemy niż dostęp do żarówki, ale brak światła w całym domu może być poważną uciążliwością.

Inne potencjalne problemy

System sterowania żarówkami jest także podatny na standardowe problemy, trapiące podobne rozwiązania. Dzięki możliwości sterowania oświetleniem z internetu bezpieczeństwo systemu staje się zależne od siły hasła, użytego przez administratora systemu (sam system wymusza jedynie długość od 6 znaków). Powiązanie z zewnętrznym serwisem IFTTT również zwiększa poziom potencjalnego ryzyka nieautoryzowanego dostępu do systemu, jak i zwyczajnie głupich żartów (np. użytkownika, który ustawi regułę „Zmień kolor żarówki na kolor zdjęcia, na którym zostałem oznaczony” wystarczy oznaczyć na czarnym kwadracie, by zgasić mu oświetlenie). Problemem zupełnie innej kategorii był fakt, że badaczowi nie udało się – mimo czynionych wysiłków – skontaktować z zespołem bezpieczeństwa Philipsa (czy taki w ogóle istnieje?).

Nie tylko dyski, karty i żarówki

Ostatnio prawie każdego dnia widzimy niepokojące wyniki badań nad urządzeniami, które jeszcze całkiem niedawno nie były podłączane do internetu. Na konferencji Black Hat 2013 badacze otwierali zamki korzystające z  popularnej technologii Z-Wave, a kilka dni później tajemniczy włamywacz zwyzywał przez głośniki elektronicznej niani dwuletnią dziewczynkę. Biorąc pod uwagę brak dojrzałości nowych technologii połączony z dynamicznym wzrostem ich popularności można się spodziewać wielu ciekawych odkryć w najbliższej przyszłości. Bez wątpienia nie rekomendujemy podłączania do sieci wszystkiego, co połączyć się z siecią potrafi.