{"id":17694,"date":"2019-07-25T15:48:40","date_gmt":"2019-07-25T13:48:40","guid":{"rendered":"https:\/\/www.kaspersky.it\/blog\/?p=17694"},"modified":"2020-05-19T19:27:39","modified_gmt":"2020-05-19T17:27:39","slug":"vulnerable-smart-home","status":"publish","type":"post","link":"https:\/\/www.kaspersky.it\/blog\/vulnerable-smart-home\/17694\/","title":{"rendered":"Come hackerare una casa intelligente"},"content":{"rendered":"

Le tecnologie per la domotica sono progettate per renderci la vita pi\u00f9 facile e comoda. Tuttavia, a volte una maggiore comodit\u00e0 pu\u00f2 portare a maggiori problemi. In questo blog parliamo spesso dei pericoli di automatizzare praticamente di tutto<\/a>; per cominciare, collegare gli apparati domestici a Internet ci rende dipendenti dalla qualit\u00e0 della connessione e dall\u2019operativit\u00e0 dei server<\/a>. Allo stesso tempo, i cybercriminali possono sfruttare questi punti di entrata per prendere il controllo di dispositivi vulnerabili e utilizzarli a proprio vantaggio.<\/p>\n

Un recente studio ha dimostrato che esistono diversi metodi per prendere il controllo di una \u201ccasa intelligente\u201d. Un punto debole, ad esempio, potrebbe essere una vulnerabilit\u00e0 nel server su cloud, attraverso il quale il proprietario controlla la casa da remoto o, strano ma vero, anche un componente apparentemente innocuo come un interruttore intelligente.<\/p>\n

Fibaro: minaccia su cloud<\/h2>\n

Come gi\u00e0 abbiamo dimostrato<\/a>, il sistema di domotica Fibaro consentiva a chiunque di caricare e scaricare i dati di backup dello smart hub, da e verso il server cloud. Lo smart hub \u00e8 il dispositivo pi\u00f9 importante in una casa intelligente dal momento che si occupa di gestire tutto: dai termostati alla caffettiera, passando per i sistemi di sicurezza etc.<\/p>\n

I dati di backup dello smart hub contengono informazioni molto interessanti sulla casa e sul proprietario, tra cui l\u2019ubicazione dell\u2019appartamento e dello smartphone del proprietario, l\u2019indirizzo e-mail con il quale \u00e8 stato registrato l\u2019account del padrone di casa sul sistema Fibaro e l\u2019elenco dei dispositivi connessi e le password di ognuno di essi (tutti dati non cifrati e in plain text).<\/p>\n

Nel backup si trovava anche la password del pannello dell\u2019amministratore per il controllo da remoto della casa. A differenza delle altre, almeno questa password era protetta o, per essere pi\u00f9 precisi, era protetta da hash<\/a>. In ogni caso, se il cybercriminale avesse scaricato tutte le copie di backup custodite sul cloud di Fibaro, avrebbe potuto risalire facilmente alle password pi\u00f9 semplici e utilizzate pi\u00f9 di frequente (tipo \u201cpassword1\u201d) e gli hash sarebbero stati gli stessi.<\/p>\n

Una volta entrato nel pannello dell\u2019amministratore, un cybercriminale probabilmente sfrutterebbe una delle vulnerabilit\u00e0 per eseguire il codice da remoto e ottenere i permessi di root<\/a> per fare qualsiasi cosa all\u2019interno della casa. Ironia della sorte, il proprietario della casa non detiene i permessi di root, la casa produttrice ha deciso che sarebbe stato pi\u00f9 sicuro in questo modo (e sotto certi punti di vista \u00e8 vero).<\/p>\n\n

Fibaro: aggiornamento dannoso<\/h3>\n

Un altro scenario di attacco scoperto dai ricercatori di Kaspersky non richiede di craccare nessuna password. Come gi\u00e0 menzionato, le copie di backup non potevano essere scaricate dal server Fibaro senza un\u2019autorizzazione, anche se s\u00ec che poteva essere caricata. Inoltre, il cloud consentiva l\u2019invio di messaggi di testo ed e-mail al proprietario.<\/p>\n

In altre parole, i cybercriminali non dovevano fare altro che creare una copia di backup dannosa, caricarla sul server e convincere la vittima a installare l'\u201daggiornamento\u201d. Per fare ci\u00f2, creavano un messaggio che sembrava provenire da Fibaro (il classico phishing). Anche se il cybercriminale avesse trascurato qualche dettaglio, c\u2019era la buona probabilit\u00e0 che la vittima ignara scaricasse comunque il backup dannoso (concedendo al cybercriminale, come nel primo caso, i permessi di root). Dopotutto, il messaggio proveniva da ******@fibaro.com, che non desta sospetti.<\/p>\n

Abbiamo informato Fibaro delle vulnerabilit\u00e0, che sono state prontamente risolte, per cui si tratta di attacchi che non possono pi\u00f9 essere realizzati. Speriamo che altre case produttrici di sistemi di domotica decidano di evitare situazioni simili, prendendo in considerazione questi errori durante la fase di sviluppo dei loro sistemi.<\/p>\n

Nest: l\u2019interruttore e la telecamera intelligente<\/h2>\n

Un altro studio condotto da ricercatori statunitensi pressi il College of William & Mary, ha analizzato la sicurezza<\/a> di due piattaforme per smart home: Nest (di Nest Labs, di propriet\u00e0 di Google) e Hue (prodotta dalla Philips). Entrambe le piattaforme erano vulnerabili, ognuna in un modo diverso.<\/p>\n

Gli sviluppatori di Nest Labs si sono preoccupati molto della protezione dei sistemi di sicurezza: app e dispositivi di terze parti non possono modificare le impostazioni delle telecamere di sicurezza e di altre componenti responsabili della sicurezza della casa, n\u00e9 attivarli o disattivarli. In realt\u00e0, per meglio dire, non \u00e8 possibile farlo in modo diretto<\/em>.<\/p>\n

In ogni caso, il sistema utilizza alcuni status (attributi) comuni a sistemi e dispositivi di sicurezza molto poco protetti. I valori di tali attributi sono custoditi in un unico spazio accessibile da tutti i dispositivi che ne hanno bisogno per funzionare. Inoltre, altri dispositivi di minore importanza come gli interruttori delle luci e i termostati in molti casi non solo sono in grado di leggere i valori richiesti ma anche di modificarli.<\/p>\n

Da un lato, ci\u00f2 aiuta ad automatizzare e a semplificare le operazioni di routine. Ad esempio, quando si va via di casa la mattina non c\u2019\u00e8 bisogno di impartire i comandi separatamente su ogni dispositivo. Ad esempio, l\u2019app che controlla gli interruttori della luce sfrutta la geolocalizzazione per capire che il proprietario gi\u00e0 si trova lontano da casa e trasmette l\u2019informazione e assegna il valore A casa<\/em>, che specifica se il padrone di casa si trova o meno nell\u2019appartamento.<\/p>\n

Questo valore viene letto non solo dall\u2019interruttore (in questo modo, pu\u00f2 spegnere le luci) ma anche dagli altri dispositivi, i quali compiono le operazioni programmate: l\u2019aria condizionata diminuisce di intensit\u00e0, il sistema di filodiffusione si spegne e le telecamere di sorveglianza iniziano a registrare. Se il sistema determina che il proprietario di casa \u00e8 rientrato, le telecamere si spengono e diminuisce il livello di protezione della casa.<\/p>\n

Esistono vari dispositivi compatibili con Nest e che hanno il permesso di gestire le modalit\u00e0 A casa\/Fuori casa<\/em>. I ricercatori hanno deciso di testare la sicurezza dell\u2019interruttore Kasa di TP-Link. Oltre alla capacit\u00e0 di leggere e gestire le impostazioni A casa\/fuori casa<\/em> di cui abbiamo parlato, la scelta \u00e8 stata influenzata dalla popolarit\u00e0 della app Kasa Smart per controllare il dispositivo da remoto (oltre un milione di download su Google Play). A uno sguardo pi\u00f9 attento \u00e8 emerso che il programma consente ai cybercriminali di hackerare la connessione con il server e inviargli comandi.<\/p>\n

Il problema \u00e8 stato individuato nella procedura di autorizzazione, soprattutto nell\u2019approccio alla sicurezza degli sviluppatori della app. Per evitare che le informazioni dell\u2019account del proprietario vadano a finire nelle mani sbagliate, l\u2019app e il server stabiliscono una connessione cifrata. Per fare ci\u00f2, la app invia una richiesta al server che mostra un certificato SSL<\/a> che conferma l\u2019affidabilit\u00e0 del server.<\/p>\n

La app verifica l\u2019autenticit\u00e0 del certificato e, se \u00e8 tutto a posto, invia in segreto un token al server (i dati che servono per identificare il proprietario). Ma se c\u2019\u00e8 qualche errore in questa verifica, la app Kasa d\u00e0 il consenso a qualsiasi certificato.<\/p>\n

I ricercatori hanno descritto un possibile scenario di attacco:<\/p>\n

    \n
  1. I cybercriminali rintracciano il proprietario della casa e attendono che si colleghi a una rete Wi-Fi pubblica (in un bar, ad esempio);<\/li>\n
  2. La app Kasa prova a collegarsi al server;<\/li>\n
  3. I cybercriminali entrano nella stessa rete pubblica per intercettare la connessione e mostrare alla app il proprio certificato SSL;<\/li>\n
  4. La app, pensando che si tratti del server, invia il token richiesto per l\u2019autenticazione;<\/li>\n
  5. I cybercriminali mostrano il token al server reale, che crede di comunicare con la app;<\/li>\n
  6. L\u2019hacker manda il segnale all\u2019interruttore, direttamente dal bar, che il proprietario \u00e8 rientrato in casa;<\/li>\n
  7. Viene cambiato lo status da Fuori casa<\/em> a A casa<\/em>;<\/li>\n
  8. Obiettivo raggiunto: la telecamera riceve i comandi dovuti e smette di registrare. I cybercriminali o i loro complici possono entrare in casa senza essere vigilati.<\/li>\n<\/ol>\n

    Secondo i ricercatori, l\u2019aspetto pi\u00f9 preoccupante \u00e8 che un attacco di questo tipo non richiederebbe abilit\u00e0 particolari. La buona notizia \u00e8 che gli sviluppatori di Kasa, come i creatori del sistema Fibaro, hanno risolto prontamente il bug dopo essere stati informati dal team di ricerca.<\/p>\n

    Nest: quando ci si preoccupa di pi\u00f9 della maggioranza<\/h3>\n

    In teoria, il sistema Nest dovrebbe essere protetto da attacchi di questo tipo grazie all\u2019analisi integrata di app e dispositivi di terze parti. Il sito degli sviluppatori offre un elenco esaustivo di requisiti che i prodotti che interagiscono con la piattaforma devono rispettare. Questi requisiti specificano, tra le altre cose, che l\u2019app o il dispositivo deve possedere un sistema di autorizzazione sicuro e funzionante, per evitare che qualcuno possa spacciarsi per il padrone di casa.<\/p>\n

    Di fatto, per\u00f2, la verifica di app e dispositivi di terze parti pu\u00f2 essere bypassata. Il sistema Nest verifica solo app e dispositivi con pi\u00f9 di 50 utenti; ci\u00f2 vuol dire che, se i cybercriminali creano un programma ad hoc per colpire un sistema di domotica in particolare, possono aggirare i controlli di sicurezza. I cybercriminali devono soltanto convincere la vittima a scaricare l\u2019app creata da loro per ottenere le autorizzazioni necessarie.<\/p>\n

    Inoltre, anche le app pi\u00f9 popolari che non soddisfano i requisiti di Nest riescono comunque a superare l\u2019analisi. Un esempio tra tutti \u00e8 Kasa Smart, che consente ai cybercriminali di collegarsi al server.<\/p>\n

    Inoltre, sembra che molte app per i dispositivi Nest diano informazioni non accurate in merito alle autorizzazioni di accesso richieste per la loro operativit\u00e0. Ad esempio, la descrizione di una app di controllo del termostato specifica che lo status A casa\/fuori casa <\/em>serve solo per controllare il termostato in questione, mentre sappiamo bene che si tratta di modalit\u00e0 comuni all\u2019intero sistema e, se avviene un cambio di status, anche gli altri dispositivi si comporteranno di conseguenza. Insomma, si tratta di una descrizione fuorviante.<\/p>\n

    Hue: benvenute le app di terze parti<\/h2>\n

    Il problema delle autorizzazioni concesse ad app di terze parti riguarda anche il sistema di illuminazione intelligente Philips Hue, sviluppato in modo tale che ogni programma richieda al proprietario l\u2019autorizzazione a collegarsi al sistema di domotica.<\/p>\n

    Tale autorizzazione viene concessa pulsando un tasto dell\u2019unit\u00e0 di controllo con cui interagiscono i dispositivi Hue. Affinch\u00e9 ci\u00f2 avvenga, la app e l\u2019unit\u00e0 di controllo devono essere collegati alla stessa rete locale, in questo modo vicini e passanti non potranno collegarsi al sistema di domotica cogliendo il momento giusto e inviando una richiesta. In generale, una buona idea dal punto di vista della sicurezza, ma \u00e8 la sua implementazione ad avere qualche difetto.<\/p>\n

    Come scoperto dai ricercatori, il tasto in questione deve essere \u201cazionato\u201d non solo dall\u2019utente ma anche dai programmi gi\u00e0 connessi a Hue. in questo modo, il \u201ccervello\u201d del sistema determina se il tasto \u00e8 stato attivato seguendo il valore di una delle impostazioni di controllo dell\u2019unit\u00e0. Questo valore pu\u00f2 essere modificato da un\u2019app con accesso alla piattaforma, che pu\u00f2 garantire accesso ad altre. Non solo: utilizzando le stesse impostazioni, si pu\u00f2 negare l\u2019accesso a dispositivi legittimi collegati dal padrone di casa.<\/p>\n

    Di per s\u00e9 il bug della piattaforma Hue, se utilizzata solo per la gestione dell\u2019illuminazione, non dovrebbe essere cos\u00ec pericoloso come quello della piattaforma Nest. Tuttavia, i dispositivi Hue possono collegarsi anche a Nest che, ovviamente, non solo ha accesso a serrature e telecamere ma che, in alcuni casi, consente ad app di terze parti di disattivarle.<\/p>\n\n

    Smart home: come proteggerle<\/h2>\n

    Sembra che le falle di sicurezza siano presenti praticamente in tutti i dispositivi di domotica. Dovremmo preoccuparci? Una luce che balla o un sistema di riscaldamento fuori controllo possono creare disagi ma non sono pericolosi e non sono di grande interesse per i cybercriminali. Se viene hackerata una serratura intelligente o una telecamera di sicurezza, invece, la situazione potrebbe essere molto pi\u00f9 spiacevole. Va comunque detto che, con tutta probabilit\u00e0, la maggioranza dei ladri utilizzer\u00e0 i vecchi strumenti del mestiere e non si dedicher\u00e0 a sfruttare exploit.<\/p>\n

    In ogni, spetta a voi decidere se rendere pi\u00f9 futuristica la vostra casa o meno. Se sentite il bisogno di rendere pi\u00f9 intelligente la vostra casa, sarebbe il caso di ridurre al minimo il rischio di hackeraggio. Ecco come fare:<\/p>\n