¿Por qué el Hack iKettle debería preocuparte (incluso si no tienes uno)

Anuncio

Cuando se trata de la tecnología Smart Home, no faltan productos cuya razón de ser es cuestionable, por decirlo suavemente. en efecto, yo escribió un artículo completo Tweeting Frigoríficos y ollas arroceras controladas por la web: 9 de los electrodomésticos inteligentes más estúpidosHay muchos dispositivos inteligentes para el hogar que merecen su tiempo y dinero. pero también hay tipos que nunca deberían ver la luz del día. Aquí hay 9 de los peores. Lee mas en ellos en abril de este año. Uno de los dispositivos que mencioné fue el iKettle, de Smarter Labs.

El iKettle es un hervidor habilitado para WiFi. Sí, lo leiste bien. Aparentemente, la tarea de calentar el agua hasta su punto de ebullición es algo que solo se puede lograr con la integración de WiFi.

Ah, y ¿mencioné que vino con una falla de seguridad enorme y enorme que tenía el potencial de reventar redes WiFi completas?

Cómo funcionó el ataque

Sí, resulta que iKettle no está demasiado caliente (lo siento) cuando se trata de seguridad. Con solo un par de pasos, puede convencerlo para que descubra la contraseña de WiFi del usuario. Entonces, ¿cómo hackear una tetera?

Primero, el atacante necesitaría identificar una red inalámbrica con un iKettle conectado. Luego, crearían su propia red inalámbrica utilizando el mismo SSID.

Cuando el iKettle cambia a esa red, el atacante puede conectarse a través del puerto 23 usando Telnet ¿Qué es Telnet y cuáles son sus usos? [MakeUseOf explica]Telnet es uno de esos términos técnicos que puede escuchar ocasionalmente, pero no en un anuncio o en una lista de características de cualquier producto que pueda comprar. Eso es porque es un protocolo, o un idioma ... Lee mas . Esta es una herramienta disponible gratuitamente que es similar a SSH y permite a los usuarios administrar computadoras de forma remota.

El iKettle le solicitará al atacante un código de acceso de seis dígitos. Esto puede ser forzado, pero si el hervidor se configuró con un dispositivo Android, tiene la contraseña predeterminada de 000000. Una vez autenticado, el atacante le dirá al hervidor que enumere sus configuraciones. En ese momento, escupirá toda la contraseña de WiFi en caché en texto plano, permitiendo que un atacante obtenga acceso a toda la red.

El problema de la gerencia

Un portavoz de Smarter Labs estaba ansioso por enfatizar que una solución para este problema no está muy lejos.

"Nos tomamos muy en serio la seguridad aquí en Smarter y hemos estado trabajando con nuestros ingenieros para garantizar que nuestros nuevos productos no tengan problemas de seguridad". Actualizaremos el producto afectado en noviembre para erradicar ese problema ”.

También destacaron que el próximo iKettle no se verá afectado:

"Nuestro nuevo producto y aplicación tienen características de seguridad actualizadas que no son relevantes para [la vulnerabilidad]".

Los usuarios con un hervidor afectado pueden actualizarlo usando la aplicación iKettle, disponible para iPhone y Android. Mientras tanto, puede ser conveniente conectar un segundo enrutador a su red doméstica con un SSID diferente y conectar su hervidor a eso. Puede encontrar un enrutador perfectamente adecuado de Amazon por tan solo $ 10.

Este episodio nos recuerda cómo son los productos para el hogar inteligente que utilizamos esencialmente computadorasy cómo enfrentan los mismos problemas de seguridad que enfrentan las computadoras tradicionales. Es extraño imaginar a alguien usando Telnet para conectarse a un hervidor de agua, pero aparentemente es una cosa.

A medida que el campo Smart Home madura inevitablemente, los fabricantes estarán bajo una presión cada vez mayor para considerar la seguridad de sus dispositivos. Y cuando las cosas van mal (como inevitablemente lo hacen) pueden esperar que sus pies se mantengan por encima de las brasas.

Los fabricantes tendrán que diseñar sus productos para que sean fáciles de restablecer y actualizar. Tendrán que adoptar un enfoque proactivo para la seguridad de sus dispositivos y trabajar con investigadores de seguridad. Tendrán que aprender cómo gestionar la divulgación Divulgación completa o responsable: cómo se divulgan las vulnerabilidades de seguridadLas vulnerabilidades de seguridad en los paquetes de software populares se descubren todo el tiempo, pero ¿cómo se informan a los desarrolladores y cómo los hackers se enteran de las vulnerabilidades que pueden explotar? Lee mas y ellos relaciones con la comunidad de seguridad Oracle quiere que dejes de enviarles errores: he aquí por qué es una locuraOracle está en apuros por una publicación de blog equivocada de la jefa de seguridad, Mary Davidson. Esta demostración de cómo la filosofía de seguridad de Oracle se aparta de la corriente principal no fue bien recibida en la comunidad de seguridad ... Lee mas , que algunos han encontrado increíblemente difícil de hacer.

Los fabricantes tendrán que considerar cómo garantizar la seguridad de sus dispositivos, en caso de quiebra. Más importante aún, tendrán que establecer un consenso con sus clientes sobre cuánto tiempo se espera que mantengan un producto en particular.

Obsolescencia no planificada

Un amigo mío tiene un microondas que es literalmente antiguo. Parece una hipérbole, pero no lo es. Lo heredó de sus padres, quienes a su vez lo compraron en un hipermercado ya desaparecido en la década de 1980. Déjame poner eso en contexto: su microondas es mayor que yo.

Pero aquí está la cosa; es un microondas perfectamente adecuado. Casi treinta años después, todavía puede convertir una comida preparada de lasaña congelada en una piscina humeante de queso fundido, y aún puede descongelar fácilmente la carne congelada. Literalmente no hay razón para reemplazarlo.

Eso es lo que pasa con los electrodomésticos tradicionales. No están sujetos a lo mismo ciclo de obsolescencia planificada Consumirás: La historia de la electrónica de consumo [Reportaje]Cada año, las exposiciones en todo el mundo presentan nuevos dispositivos de alta tecnología; Juguetes caros que vienen con muchas promesas. Su objetivo es hacer que nuestras vidas sean más fáciles, más divertidas, súper conectadas y, por supuesto, son estatus ... Lee mas que la mayoría de la tecnología es No existe el "ciclo de actualización del refrigerador". No existe una "actualización de dos años" en el mundo de los electrodomésticos.

Otra cosa: el horno de microondas de mi amigo fue fabricado en un país que ya no existe (la República Democrática Alemana, también conocida como Alemania Oriental), por una compañía que también ha dejado de existir. Pero eso no representa un impedimento para que haga nachos de microondas con queso, treinta años después.

Es una cuestión diferente para la tecnología doméstica inteligente. Es muy probable que su hervidor computarizado, o paraguas habilitado para WiFi, requiera actualizaciones periódicas de rendimiento y seguridad.

El problema es que los programadores son costoso, y es fundamentalmente poco realista esperar que las compañías de software mantengan sus productos indefinidamente. Eventualmente, tienen que dejarlo ir, como lo hizo Microsoft con Windows XP Qué significa Windows XPocalypse para ustedMicrosoft eliminará la compatibilidad con Windows XP en abril de 2014. Esto tiene graves consecuencias tanto para las empresas como para los consumidores. Esto es lo que debe saber si todavía está ejecutando Windows XP. Lee mas a principios de 2014.

Luego, está el pequeño problema de que las compañías tecnológicas tienen una tendencia a eventualmente explotar como The Death Star, dejando una montaña de calcomanías promocionales para computadoras portátiles y un código ahora no compatible a su paso. Para darle solo tres (de muchos) ejemplos, están Silicon Graphics, Palm y Commodore.

Si compra un producto que inherentemente necesita mucha administración solo para mantenerlo seguro y que funcione sin problemas, corre el riesgo de que la compañía se quede para respaldarlo. Esa no siempre es una apuesta segura.

Protegiendo el Internet de las cosas

En este momento, Internet de las cosas es una idea naciente, todavía a medio formar. Todavía es un gran experimento, con docenas de preguntas aún sin responder.

¿Deberían los fabricantes ser responsables de la seguridad de los productos que venden? Si es así, ¿en qué medida?

¿Debería esperarse razonablemente que una empresa respalde un producto IoT o Smart Home? Si es así, ¿cuánto tiempo?

¿Qué pasa si falla el fabricante? Muchas startups se han comprometido a liberar su código bajo el dominio público, en caso de que fallen. ¿Deberían los fabricantes de casas inteligentes verse obligados a hacer lo mismo?

¿Hay algo que los consumidores puedan hacer para garantizar que su hardware sea seguro? ¿Entonces qué?

Estas preguntas serán respondidas a tiempo. Pero hasta que lo estén, sospecho que la mayoría de los consumidores serán reticentes a adoptar el mundo de Internet de las cosas.

Pero ¿qué piensas? Déjame un comentario a continuación y chatearemos.