卡巴斯基帮助消除智慧家庭控制器中的严重漏洞

  • 时间:
  • 浏览:0

  卡巴斯基研究人员调查了另一个活跃的智慧云家庭生态系统的控制设备,很久发现了多个严重漏洞。其中包括云基础设施中的漏洞和潜在的远程代码执行漏洞,不需要 让第三方获得控制器的“超级用户”访问权限,从而都必须任意操纵智慧云家庭基础设施。亲戚亲戚亲们将调查结果分享给了那些设备的供应商Fibaro,亲戚亲戚亲们立即处里了那些疑问,并更新了安全协议。

  自从物联网(IoT)的安全性首次研究以来,不可能 过去了多年,随着物联网领域的不断扩大和发展,累似 研究的重要性依然地处:不可能 随着新产品和新的处里方案的再次出现,也会伴随着新的威胁层面的再次出现,危及用户的安全。卡巴斯基的一名员工向该公司的研究人员提出挑战,要求亲戚亲戚亲们检查一下邻居家中部署的智慧云系统。他允许研究人员访问他的智慧云家庭控制器。未必选者 控制器,是不可能 它连接并监督整个智慧云家庭的整体运营,一旦成功入侵,就都必须让网络攻击者入侵整个家庭生态系统,实施从监控到数据盗窃到物理破坏等各种攻击。

  在最初的情报埋点研究阶段,安全专家发现了多个潜在入侵途径:通过广泛应用于家庭自动化的Z-Wave无线通信协议;通过管理面板的web界面;以及通过云基础设施。结果,最后另一个途径是最有效的入侵路径:检查用于处里来自设备的请求的土措施,发现授权过程中地处漏洞,很久有不可能 执行远程代码。

  这几种攻击途径结合起来,不需要 让第三方访问所有从Fibaro 家庭中心上传到云端的所有备份,还都必须将受感染的备份上传到云端,过后将其下载到特定的控制器——尽管攻击者这么系统权限。

  为了完成实验,卡巴斯基专家针对控制器进行了测试攻击。为此,亲戚亲戚亲们准备了专门的具有脚本的备份,很久使用密码对其进行保护。过后,亲戚亲戚亲们通过云端,向设备主人发送了电子邮件和短信,督促用户更新控制器的固件。根据要求,“受害者”同意并下载了受感染的备份。另另一个做不需要 让研究人员获得对智慧云家庭控制器的超级用户权限,从而都必须操纵联网的生态系统。为了展示亲戚亲戚亲们成功入侵了系统,研究人员更改了闹钟的铃声——第三天,某些卡巴斯基员工被一段响亮的鼓打贝斯音乐吵醒。

  卡巴斯基ICS CERT安全研究员Pavel Cheremushkin说:“与亲戚亲戚亲们不同,另一个不需要 访问家庭中心的真正的攻击者不太不可能 会将被委托人局限于闹钟恶作剧。亲戚亲戚亲们所研究的那些设备的主要功能是整合所有的“智慧云设备”,另另一个主人就都必须通过另一个家庭中心管理所有设备。另一个重要的细节是,亲戚亲戚亲们的评估针对的是另一个主动部署的系统 ——而过后,大多数研究有的是在实验室条件下进行的。那些研究表明,尽管亲戚亲戚亲们对物联网安全性的认识有所增加,但仍然有某些疑问必须处里。更重要的是,亲戚亲戚亲们研究的设备是大规模生产的,并部署在功能齐全的智慧云家庭网络中。亲戚亲戚亲们感谢Fibaro对那些疑问的负责态度,不可能 亲戚亲戚亲们知道亲戚亲戚亲们专注于网络安全,很久较这次研究过后,使亲戚亲戚亲们的同事的家变得更加安全”。

  “物联网基础设施必须冗杂的系统在某些层面上流畅地工作。那些基础设施涉及也不 部署和架构工作。亲戚亲戚亲们感谢卡巴斯基的研究和努力。那些研究帮助亲戚亲戚亲们增强了亲戚亲戚亲们产品和服务的安全性。通过合作协议协议,亲戚亲戚亲们不需要 消除现在漏洞。亲戚亲戚亲们强烈建议FIBARO用户安装最新的更新,很久一定要检查接收到的邮件不是与FIBARO网站上的公告一致。那些更新增强了系统功能,同时让黑客更难窃取私人数据,”FIBARO首席产品官Krzysztof Banasiak说。

  要确保设备安全,亲戚亲戚亲们建议用户:

  · 在决定使用智慧云设备过后,请考虑安全风险。

  · 在购买物联网设备过后,请在互联网上搜索相关漏洞新闻。

  · 在购买新产品时,除了标准漏洞外,最新发布的产品不可能 带有 尚未被安全研究人员发现的安全疑问。考虑到某些点,最好的选者 是购买不可能 经历不要 次软件更新的产品,而有的是最新上市的产品。

  · 确保您的所有设备都安装了最新的安全更新和固件更新。