卡巴斯基帮助消除智慧家庭控制器中的严重漏洞

  • 时间:
  • 浏览:1

  卡巴斯基研究人员调查了三个 活跃的智慧云家庭生态系统的控制设备,或者 发现了多个严重漏洞。其中包括云基础设施中的漏洞和潜在的远程代码执行漏洞,不不都都可以 让第三方获得控制器的“超级用户”访问权限,从而都都可以 任意操纵智慧云家庭基础设施。或者 人 将调查结果分享给了或者 设备的供应商Fibaro,或者 人 立即补救了或者 现象,并更新了安全协议。

  自从物联网(IoT)的安全性首次研究以来,可能过去了多年,随着物联网领域的不断扩大和发展,之类研究的重要性依然存在:可能随着新产品和新的补救方案的经常出现,也会伴随着新的威胁层面的经常出现,危及用户的安全。卡巴斯基的一名员工向该公司的研究人员提出挑战,要求或者 人 检查一下我家中部署的智慧云系统。他允许研究人员访问他的智慧云家庭控制器。固然选折 控制器,是可能它连接并监督整个智慧云家庭的整体运营,一旦成功入侵,就都都可以 让网络攻击者入侵整个家庭生态系统,实施从监控到数据盗窃到物理破坏等各种攻击。

  在最初的情报挂接研究阶段,安全专家发现了多个潜在入侵途径:通过广泛应用于家庭自动化的Z-Wave无线通信协议;通过管理面板的web界面;以及通过云基础设施。结果,最后三个 途径是最有效的入侵路径:检查用于补救来自设备的请求的法子,发现授权过程中存在漏洞,或者 有可能执行远程代码。

  这几种攻击途径结合起来,不不都都可以 让第三方访问所有从Fibaro 家庭中心上传到云端的所有备份,还都都可以 将受感染的备份上传到云端,完后 将其下载到特定的控制器——尽管攻击者没法 系统权限。

  为了完成实验,卡巴斯基专家针对控制器进行了测试攻击。为此,或者 人 准备了专门的具有脚本的备份,或者 使用密码对其进行保护。完后 ,或者 人 通过云端,向设备主人发送了电子邮件和短信,督促用户更新控制器的固件。根据要求,“受害者”同意并下载了受感染的备份。另三个 做不不都都可以 让研究人员获得对智慧云家庭控制器的超级用户权限,从而都都可以 操纵联网的生态系统。为了展示或者 人 成功入侵了系统,研究人员更改了闹钟的铃声——第两天,或者 卡巴斯基员工被一段响亮的鼓打贝斯音乐吵醒。

  卡巴斯基ICS CERT安全研究员Pavel Cheremushkin说:“与或者 人 不同,三个 不不都都可以 访问家庭中心的真正的攻击者不太可能会将个人局限于闹钟恶作剧。或者 人 所研究的或者 设备的主要功能是整合所有的“智慧云设备”,另三个 主人就都都可以 通过三个 家庭中心管理所有设备。三个 重要的细节是,或者 人 的评估针对的是三个 主动部署的系统 ——而完后 ,大多数研究都要在实验室条件下进行的。或者 研究表明,尽管或者 人 对物联网安全性的认识有所增加,但仍然有或者 现象都要补救。更重要的是,或者 人 研究的设备是大规模生产的,并部署在功能齐全的智慧云家庭网络中。或者 人 感谢Fibaro对或者 现象的负责态度,可能或者 人 知道或者 人 专注于网络安全,或者 较这次研究完后 ,使或者 人 的同事的家变得更加安全”。

  “物联网基础设施都要复杂的系统在或者 层面上流畅地工作。或者 基础设施涉及就说部署和架构工作。或者 人 感谢卡巴斯基的研究和努力。或者 研究帮助或者 人 增强了或者 人 产品和服务的安全性。通过公司媒体合作 ,或者 人 不不都都可以 消除现在漏洞。或者 人 强烈建议FIBARO用户安装最新的更新,或者 一定要检查接收到的邮件是与否与FIBARO网站上的公告一致。或者 更新增强了系统功能,同去让黑客更难窃取私人数据,”FIBARO首席产品官Krzysztof Banasiak说。

  要确保设备安全,或者 人 建议用户:

  · 在决定使用智慧云设备完后 ,请考虑安全风险。

  · 在购买物联网设备完后 ,请在互联网上搜索相关漏洞新闻。

  · 在购买新产品时,除了标准漏洞外,最新发布的产品可能饱含尚未被安全研究人员发现的安全现象。考虑到或者 点,最好的选折 是购买可能经历太久次软件更新的产品,而都要最新上市的产品。

  · 确保您的所有设备都安装了最新的安全更新和固件更新。