Business

Hakkeri huomasi älykkään porealtaan tietoturvassa aukon – Olisi voinut säätää muiden käyttäjien kylpylämpöjä



Iot-laitteiden heikosta tietoturvasta on varoiteltu useaan otteeseen. Nyt siitä on saatu jälleen uusi esimerkki.

Iot-laitteiden heikosta tietoturvasta on varoiteltu useaan otteeseen. Nyt siitä on saatu jälleen uusi esimerkki.

Esineiden internetin eli iot:n yleistyessä tietotekniikkaa on alkanut ilmaantua moniin sellaisiin koneisiin ja laitteisiin, joissa sitä ei aiemmin ollut. Ilmiön myötä useat kodinkoneet on liitetty nettiin ja esimerkiksi liesillä sekä astianpesukoneilla on nykyään omia sovelluksia.

Siksi ei tule yllätyksenä, että markkinoilla on nykyään myös nettiyhteydellä varustettuja porealtaita, joita voi ohjata etänä mobiilisovelluksella. Tällaisia valmistaa muun muassa porealtaiden pioneeri Jacuzzi, josta on tullut monella kielellä jopa porealtaan synonyymi.

Tietoturvatutkijoiden keskuudessa iot-laitteet ovat saaneet kyseenalaisen maineen, sillä ne luovat hakkereille lisää hyökkäyspinta-alaa. Lisäksi tietoturvaa ei useinkaan ole otettu kovin vakavasti laitteiden suunnittelussa.

EatonWorks -tietoturvayhtiön tutkija löysikin helposti hyödynnettävän tietoturva-aukon Jacuzzi-altaita ohjaavasta SmartTub-sovelluksesta. Vicen mukaan aukko paljastui tutkijan tehdessä käyttöönottoa uudelle porealtaalleen ja sen ohjaussovellukselle.

Nimettömänä pysyttelevä tutkija oli tallentamassa uusia käyttäjätunnuksiaan salasanamanageriin, johon täytyy tunnusten lisäksi syöttää myös verkko-osoite, johon tunnukset yhdistetään. Hän yritti kirjautua tunnuksillaan sovelluksen verkkosivulle, mutta sai vain ilmoituksen käyttöluvan puuttumisesta. Ennen ilmoitusta näytöllä ehti kuitenkin vilahtaa taulukko, jonka hän onnistui tallentamaan käyttämällä näytöntallennusohjelmaa.

Tallennetulta videolta kävi ilmi, että kyseessä oli järjestelmänvalvojan paneeli, joka oli täynnä sovelluksen käyttäjätietoja ympäri maailman.

Tämän jälkeen tutkija latasi sivuston lähdekoodin ja onnistui muokkaamaan sitä niin, että sivusto luuli häntä peruskäyttäjän sijaan järjestelmänvalvojaksi. Päästyään sisään järjestelmään hän pystyi tarkastelemaan kaikkia sovellukseen yhdistettyjä porealtaita ja niiden käyttäjätietoja. Hän ei kuitenkaan muuttanut mitään, vaikka se vaikutti olevan mahdollista.

Hakkeri kuvailee tempun olleen todella helppo verrattuna muihin tekemiinsä projekteihin.

Myöhemmin hakkeri työkavereineen löysi sovelluksen Android-kehityspaketista linkin, jonka kautta heidän onnistui murtautua Jacuzzin taustajärjestelmään. Sieltä käsin he olisivat voineet luoda omia tarjouskampanjoita ja tuotteita, muuttaa altaiden sarjanumeroita ja näkivät listan jälleenmyyjistä, heidän puhelinnumeronsa sekä tuotantolokin.

Tutkijoiden mukaan pahinta oli henkilötietojen paljastuminen. Mukana oli käyttäjien etu- ja sukunimet sekä sähköpostiosoitteet. Puhelinnumerokentän suurin osa oli jättänyt tyhjäksi. Koko taulukon sisällön lataaminen olisi käynyt tottuneelta hakkerilta vaivattomasti.

Altaiden etähallinnalla sen sijaan pystyisi ainoastaan säätämään veden lämpötilaa ja ajastetun vedenpuhdistuksen aikaväliä.

Eettisenä hakkerina aukon löytänyt tutkija lähestyi Jacuzzia sähköpostitse muutamaa tuntia joulukuun alussa tekemän löytönsä jälkeen. Yhtiö kertoi tietoturva-aukosta julkisuuteen tällä viikolla, yli puoli vuotta tapauksen jälkeen.



Source link

Leave a Reply

Your email address will not be published.