Video: Ga je besparen met een slimme thermostaat? (November 2024)
Praat over de beveiligingsimplicaties van de slimme thermostaat van Nest, en de meeste mensen halen waarschijnlijk alleen hun schouders op. Ze nemen aan dat, omdat een thermostaat geen toegang heeft tot je geld of je huis kan afbranden, dat een aanvaller er geen moeite mee zou hebben. Presentatoren Yier Jin, Grant Hernandez en Daniel Buentello hebben dit jaar op Black Hat laten zien dat een thermostaat ontzettend veel kan.
Nest heeft wel wat beveiliging ingebouwd en de presentatoren hebben er een punt van gemaakt om Nest krediet te geven voor het werk van het bedrijf. "Het is heel goed ontworpen en we moeten hun werk prijzen, " zei Jin. Hij volgde snel het werk van zijn team: "op basis van onze analyse hebben we een hardware-achterdeur gevonden en via deze achterdeur kunnen we het hele apparaat op afstand bedienen."
Het nest breken
In hun demonstratie heeft het team via USB toegang tot het Nest gekregen en het in ongeveer 15 seconden geroot. Hun aanval was afhankelijk van een foutopsporingssysteem dat Nest opzettelijk op het apparaat had achtergelaten. De presentatoren wezen erop dat dit eigenlijk een gangbare praktijk is voor fabrikanten van ingebedde apparaten.
Wanneer de fysieke knop van de Nest 10 seconden wordt ingedrukt, start het apparaat opnieuw op. Maar voor een fractie van een seconde is het beschikbaar om nieuwe instructies te ontvangen over het opstarten. Het team creëerde een aangepaste tool die, wanneer rechtstreeks verbonden met het Nest, de software van het Nest herwerkte en hen totale, afstandsbediening gaf.
Hoewel hun aanval fysieke toegang vereist, was de snelheid waarmee het werd uitgevoerd opmerkelijk. Een aanvaller zou, denkbaar, de controle over een Nest kunnen grijpen wanneer de eigenaar even de kamer uit kwam. Ze wezen er ook op dat aanvallers gewoon Nest-apparaten konden kopen, infecteren en vervolgens terugsturen naar de winkel waar ze zouden worden doorverkocht.
En denk niet dat updates van Nest kunnen helpen: de onderzoekers zeiden dat ze een manier hebben ontwikkeld voor geïnfecteerde apparaten om bestanden te verbergen voor firmware-updates. Op een lichtere toon hebben de presentatoren ook aangetoond dat ze het saaie uiterlijk van het Nest konden vervangen door geanimeerde achtergronden.
Wat maakt het uit
Een van de belangrijkste functies van het Nest - inderdaad, zijn verkoopargument - is dat het je voorkeuren voor verwarming en koeling leert. Met deze informatie optimaliseert het de temperatuur van uw huis om aan uw behoeften te voldoen en u geld te besparen. Maar de presentatoren wijzen erop dat dit een aanvaller veel informatie geeft over uw gewoonten. Een gecompromitteerd Nest weet bijvoorbeeld wanneer u het huis uit bent of op vakantie bent. Deze informatie kan worden gebruikt voor toekomstige digitale aanvallen, of gewoon voor inbraak.
Een Nest kent ook uw netwerkreferenties en de geschatte locatie. Maar het meest schrijnende gebruik van een beschadigd Nest zou een strandhoofd zijn voor andere aanvallen. Buentello zei dat als hij de controle had over een geïnfecteerd Nest in iemands huis, "ik al je verkeer door zou tunnelen, snuiven naar alles wat ik kon vinden." Dit omvat wachtwoorden, creditcardnummers en andere waardevolle informatie.
Hoe eng hun presentatie ook was, het vereiste nog steeds dat een aanvaller fysieke toegang had tot een Nest-thermostaat. Maar de onderzoekers verzekerden het publiek dat ze hard aan het werk zijn om de softwareprotocollen van het apparaat, zoals Nest Weave, te onderzoeken, waarvan ze denken dat ze op afstand kunnen worden geëxploiteerd.
Maar het ergste van alles, zeiden de presentatoren, is dat een slachtoffer op geen enkele manier kan vertellen dat hij besmet is. Je kunt tenslotte geen antivirus op je thermostaat laden.
Privacy
Hoewel het hacken van het Nest een erg leuke demonstratie was, waren de presentatoren vooral bezorgd over privacy. Ze wezen erop dat gebruikers van Nest zich niet kunnen afmelden voor gegevensverzameling. Het is ook mogelijk dat Nest-apparaten meer doen dan we denken. "Waarom heeft mijn thermostaat in vredesnaam 2 gigbytes nodig", vroeg Buentello. "Wat doet het?"
Hoewel de onderzoekers kritisch waren over de beslissing van Nest om de USB-achterdeur op te nemen, wijzen ze erop dat deze door privacybewuste personen kan worden gebruikt om te voorkomen dat het Nest gebruikersgegevens verzamelt. Een vierde lid van hun onderzoeksgroep is druk bezig met een aangepaste firmware-update die zal profiteren van de kwetsbaarheden die het team heeft ontdekt. Hun aangepaste patch zorgt ervoor dat het Nest geen gegevens verzamelt, maar zorgt er nog steeds voor dat het Nest normaal kan functioneren - zelfs bij het ontvangen van updates via de ether.
Vanwege de status van Nest als het affichekind voor IOT-apparaten, stelde het team een interessante vraag aan het publiek: zouden ze Nest thuis blijven gebruiken? De acties die we ondernemen, en de beslissingen over wat we toelaatbaar vinden voor ingebedde apparaten, kunnen de onderzoekers de norm bepalen voor de komende 30 jaar.
Kies verstandig.
