Een beveiligingsonderzoeker heeft tal van lekken in de slimme wifi-thermostaat van fabrikant Heatmiser ontdekt waardoor het mogelijk is om het apparaat via het web over te nemen. De wifi-thermostaat laat gebruikers op afstand via een app en een webinterface de thermostaat instellen en regelen.

Onderzoeker Andrew Tierney ontdekte als eerste dat het apparaat een standaard gebruikersnaam en pincode gebruikt en gebruikers niet verplicht die te wijzigen als ze het toestel voor het eerst instellen, ook al is de Heatmiser toegankelijk via het internet. Verder is het mogelijk zodra een gebruiker op de thermostaat is ingelogd om alle wifi-gegevens, zoals gebruikersnaam, wachtwoord, SSID en wifi-wachtwoord in platte tekst te bekijken.

Verder blijkt dat het apparaat geen controle uitvoert zodra de invoer van gebruikers is ingevoerd. Daardoor is het mogelijk om al dan niet gevaarlijke acties uit te voeren zonder dat die worden gevalideerd door de thermostaat. Een ander probleem is dat er geen bescherming tegen brute force-aanvallen aanwezig is. Wat het mogelijk maakt om de viercijferige pincode te achterhalen.

Met een snelheid van 2 pincodes per seconde is het mogelijk om in anderhalf uur via het internet alle 10.000 mogelijke combinaties te proberen. Daarnaast is het niet mogelijk om de firmware in het apparaat zelf te updaten, maar moet dit fysiek door een programmeur worden gedaan.

Ook is het mogelijk om pagina's en menuonderdelen zonder authenticatie te bereiken en zo zijn er nog verschillende andere problemen die Tierney ontdekte. Uiteindelijk besloot hij niet verder te kijken, maar hij stelt dat er waarschijnlijk nog genoeg andere zwakke plekken zijn. Via een scan op internet op poort 8086 ontdekte hij zo'n 7.000 thermostaten, voornamelijk in de Verenigde Staten, gevolgd door Frankrijk en Italië.

Reactie

De onderzoeker waarschuwde Heatmiser en ontving een reactie dat er aan een update voor de gevonden problemen wordt gewerkt. In de tussentijd zou het bedrijf klanten adviseren om poort 80 op hun wifi-thermostaat te sluiten. Volgens een reactie op Reddit moet er een internationale standaard komen voor de "Internet of Things". Teveel bedrijven zouden namelijk niet naar de veiligheid van hun apparatuur omkijken.

In een andere reactie wordt gepleit voor de introductie van een grafisch beoordelings- of scoresysteem, zodat mensen snel kunnen kijken wat een apparaat op het gebied van veiligheid scoort. Het gaat dan bijvoorbeeld om zaken als de mogelijkheid om zichzelf te updaten, het afdwingen van veilige inloggegevens en versleutelde communicatie.