internet delle cose
Le smart home stanno diventando sempre più comuni ormai; se qualche tempo fa solo gli appassionati di tecnologie richiedevano il meglio della domotica, al giorno d’oggi si tratta di sistemi sempre più popolari e alla portata di quasi tutte le tasche.
Un nostro collega è entrato a far parte di questo mondo, aggiungendo alcuni accessori tecnologici alla sua nuova casa. Dopo aver installato il tutto, ha pensato che i ricercatori dell’ICS CERT di Kaspersky si sarebbero potuti divertire un po’ con questo nuovo “giocattolo”; ovviamente, i nostri ricercatori hanno accettato la sfida di buon grado e sono riusciti ad hackerare il suo sistema di domotica. In questo post vi racconteremo come è andata e cosa hanno fatto i nostri ricercatori dopo essere penetrati nel sistema.
Che la sfida abbia inizio!
La configurazione della smart home avviene in questo modo: la casa dispone di uno smart hub chiamato Fibaro Home Center per il controllo da remoto e che si occupa della gestione di tutti i dispositivi smart connessi a questo sistema.
Tra i dispositivi “intelligenti” ci sono le luci dotate di sensore di movimento che si accendono e spengono automaticamente, un frigorifero, un impianto stereo, una sauna che può essere impostata, accesa e spenta da remoto. E poi numerosi rivelatori antincendio e antiallagamento e anche un paio di telecamere a circuito chiuso per il controllo della casa, anch’esse collegate allo stesso hub. Ovviamente, vanno inclusi anche il sistema di riscaldamento e della porta d’ingresso con citofono intelligente, gestito anch’esso dall’hub.
Il tutto è collegato alla rete wireless di casa; i ricercatori sono a conoscenza del modello di hub del sistema smart home e il suo indirizzo IP.
Come funziona: restringere la superficie d’attacco
E allora come attaccare una smart home? Di solita funziona così: il team dei ricercatori di sicurezza provano a identificare tutti i possibili vettori d’attacco per organizzare la cosiddetta superficie d’attacco. Successivamente impiegano i metodi di attacco più promettenti in modo incrociato fino a quando scoprono il tipo di attacco che funziona e che serve per penetrare nella rete.
Alcuni vettori d’attacco sono più difficili da sfruttare rispetto ad altri e quelli più complessi spesso vengono messi da parte nella fase di identificazione della superficie d’attacco: i cybercriminali non vogliono perdere tempo e denaro con metodi troppo elaborati e, ovviamente, neanche il nostro team di ricercatori di sicurezza. Alcuni vettori d’attacco hanno dei limiti: ad esempio, il cybercriminale deve trovarsi fisicamente vicino all’obiettivo e, nel nostro caso, questi vettori non sono di grande interesse.
Ecco perché il team ICS CERT di Kaspersky non ha considerato l’idea di attaccare il protocollo Z-Wave (che l’hub del sistema di smart home utilizza per “parlare” con i dispositivi) in quanto richiede che il cybercriminale si trovi nelle vicinanze della casa. Il team ha anche scartato l’idea di sfruttare l’interprete del linguaggio di programmazione, in quanto l’hub Fibaro utilizza la versione con patch.
Alla fine, i ricercatori sono riusciti a trovare da remoto una vulnerabilità via SQL injection (nonostante i grandi sforzi di Fibaro per evitarlo) e un paio di vulnerabilità nell’esecuzione del codice PHP da remoto (per maggiori dettagli, potete leggere il report su Securelist).
Se si sfruttano queste vulnerabilità, i cybercriminali possono ottenere i permessi di root sullo smart hub, il che vuol dire praticamente prenderne il controllo. Va sottolineato che nemmeno il proprietario dell’hub è in possesso di tali autorizzazioni d’accesso e quindi non potrebbe sovvertire le azioni dei cybercriminali. Tuttavia, prima di tutto ciò, i cybercriminali devono essere in grado di inviare comandi al dispositivo.
Smart home: il rovescio della medaglia
La caratteristica più importante del sistema di smart home di Fibaro è che può essere gestito ovunque da remoto grazie al cloud. Ciò vuol dire che le vulnerabilità potrebbero esistere non solo all’interno del dispositivo ma anche sul cloud in uso e nei protocolli che utilizza. È emersa la presenza di una importante vulnerabilità sul cloud di Fibaro che consentiva ai cybercriminali di accedere a tutti i backup degli hub Fibaro di tutto il mondo.
Ed è così che il team dei ricercatori di sicurezza ha acquisito i dati di backup custoditi dal Fibaro Home Center installato in una casa nello specifico. Il backup, tra le altre cose, conteneva un file database con molte informazioni personali (ubicazione della casa, dati di geolocalizzazione dello smartphone del proprietario, indirizzo e-mail utilizzato per registrarsi a Fibaro, informazioni sui dispositivi smart – Fibaro e non – presenti nella casa del proprietario e persino la password scelta).
La password è stata preservata correttamente (sale e hash); non potrebbe essere decifrata facilmente e ai nostri ricercatori di sicurezza comunque non serviva. Tuttavia, se uno degli altri dispositivi smart richiedeva delle password, queste ultime erano custodite tutte nello stesso database.
Il team dei ricercatori di sicurezza ha poi creato una versione speciale del backup inserendo un payload come script PHP che può eseguire comandi arbitrari inviati da remoto. Successivamente, hanno sfruttato una funzionalità su cloud che permetteva loro di inviare e-mail ed SMS al proprietario, indicando che qualcosa è andato storto nel sistema di smart home e che bisogna installare un aggiornamento per riportare il tutto alla normalità.
Naturalmente, una persona accorta e che sa qualcosa di sicurezza informatica si renderebbe conto subito che si tratta di un’esca, ma un utente medio e ingenuo probabilmente non vedrebbe nulla di sospetto. Ed è in questo modo che i cybercriminali hanno ottenuto l’accesso allo smart hub e a tutti i dispositivi che esso gestiva. E, ancora più importante, hanno ottenuto accesso alla rete domestica.
Cosa succede se viene hackerata una smart home?
Dopo essere entrati virtualmente nel sistema di smart home, i cybercriminali possono prendere il controllo dei dispositivi intelligenti collegati alla rete domestica. Nel caso in concreto, possono controllare la temperatura in casa, accendere la sauna, mettere musica a tutto volume (cosa che i ricercatori hanno fatto per davvero, cambiando l’allarme con una canzone a ritmo di basso e batteria), stampare qualsiasi cosa con la stampante collegata alla rete etc.
Ma soprattutto, sono riusciti ad aprire in remoto la porta principale, a disattivare le telecamere di sicurezza e i sensori di movimento, lasciando campo libero ai ladri. E siccome erano a conoscenza delle coordinate del telefono del proprietario, avrebbero potuto organizzare un colpo mentre il padrone di casa si trovava fuori.
Insomma, l’hackeraggio di una smart home può essere pericoloso se i cybercriminali stanno programmando un furto e vogliono disattivare il sistema di sicurezza. Morale della favola? Quando organizzate un sistema di smart home, non affidatevi troppo alle funzionalità di sicurezza perché possono essere disattivate.
Dobbiamo riconoscere comunque il merito a Fibaro Group, che ha creato un prodotto in generale sicuro e che ha collaborato con i ricercatori di ICS Cert per risolvere velocemente le vulnerabilità individuate. Gli Smart Home Center di Fibaro ora sono più sicuri grazie al nostro piccolo esperimenti e possono essere utilizzati in sicurezza.
