Kaspersky akıllı ev kontrol cihazında çok sayıda açık keşfetti

Etkin olarak kullanılan bir akıllı ev ekosistemi için geliştirilen kontrol cihazını inceleyen Kaspersky araştırmacıları,  arasında bulut altyapısındaki hatalar ve uzaktan kod çalıştırma gibi çok sayıda kritik açık keşfettilerAraştırmada elde edilen bulgular üretici firma Fibaro ile paylaşıldı ve hemen ardından güvenlik güncellemeleri yayınlandı.

Bir Kaspersky çalışanı evine kurduğu akıllı sistemin incelenmesi için şirketin araştırmacılarından yardım istedi. Araştırmanın ilk bilgi toplama evresinde araştırmacılar birçok potansiyel saldırı vektörü keşfettiler. Ev otomasyon sistemlerinde kullanılan Z-Wave kablosuz iletişim protokolü, yönetim panelinin web arayüzü ve bulut altyapısı üzerinden saldırı gerçekleştirilebiliyordu. Araştırmacılar saldırı için en etkili yöntemin bulut altyapısını kullanmak olduğunu gördüler. Cihaza işlem talebi göndermekte kullanılan yöntemler incelendiğinde, yetki verme sürecinde açıklar olduğu ve bunun da uzaktan kod çalıştırma ihtimali verdiği sonucuna varıldı.

Kaspersky ICS CERT Güvenlik Araştırmacısı Pavel Cheremushkin, "Akıllı ev kontrol cihazına erişen gerçek saldırganlar bizim gibi yalnızca alarm sesini değiştirerek şaka yapmakla kalmazlar. İncelediğimiz cihazın ana görevlerinden biri tüm 'akıllı cihazları' entegre etmek ve ev sahibinin bunların tümünü tek bir merkezden yönetmesini sağlamaktı. Yaptığımız değerlendirmenin en önemli ayrıntısı ise aktif olarak kullanılan bir sistemin hedef alınması oldu. Önceden, araştırmaların çoğu laboratuvar ortamlarında gerçekleşiyordu. Bu araştırma, Nesnelerin İnterneti (IoT) güvenliği konusunda farkındalık artsa da çözülmesi gereken sorunlar olduğunu gösteriyor" dedi.

FIBARO CPO'su Krzysztof Banasiak da, "IoT altyapısı birbiriyle uyumlu çalışan çok katmanlı ve karmaşık bir sistem gerektiriyor. Çok fazla uygulama ve altyapı çalışması yapılıyor. Kaspersky'e yaptığı araştırma ve çabası için teşekkür ediyoruz. Bu araştırma, ürünlerimizin ve hizmetlerimizin güvenliği üzerinde çalışmamıza yardımcı oldu. Birlikte potansiyel açıkları kapattık. FIBARO kullanıcılarına güncellemeleri kurmalarını ve e-postalarının FIBARO web sitesindeki duyurularla uyumlu olup olmadığını kontrol etmelerini önemle tavsiye ediyoruz. Yeni güncelleme sisteme yeni işlevler eklemesinin yanı sıra siber suçluların özel verileri çalmasını da zorlaştırıyor" dedi.

Kaspersky Haberler