Inbraakalarm door ernstig lek op afstand uit te schakelen
Een beveiligingsonderzoeker heeft een kritieke kwetsbaarheid in een draadloos inbraakalarm ontdekt (pdf), waardoor het mogelijk is om het systeem op afstand uit te schakelen. Het gaat om het inbraakalarm van fabrikant SimpliSafe. Het systeem bestaat uit allerlei sensoren, zoals rook- en bewegingsmelders, en is via een smartphone-app te bedienen. Om het SimpliSafe-systeem in of uit te schakelen moet er een pincode worden ingevoerd.
De pincode wordt draadloos en onversleuteld via de keypad naar het basisstation verstuurd, zo ontdekte onderzoeker Andrew Zonenberg van beveiligingsbedrijf IOActive. Hij slaagde erin om met apparatuur van zo'n 250 dollar de verstuurde data met de pincode op te slaan en op een later moment af te spelen. Zo is het mogelijk om het alarm op afstand uit te schakelen.
Geen oplossing
Volgens Zonenberg is er geen eenvoudige oplossing voor het probleem, aangezien de keypad de pincode onversleuteld verstuurt naar iedereen die luistert. Een firmware-update om encryptie toe te voegen is ook geen oplossing, aangezien de microcontrollers die SimpliSafe gebruikt maar één keer geprogrammeerd kunnen worden. Dit houdt in dat het upgraden van bestaande systemen niet mogelijk is. Zowel de keypads als basisstations zullen dan ook vervangen moeten worden. IOActive waarschuwde de fabrikant op 3 september vorig jaar voor de eerste keer, gevolgd door nog twee pogingen, maar in alle gevallen gaf SimpliSafe geen reactie.
Volgens SimpliSafe zouden meer dan een miljoen huizen in Noord-Amerika van het systeem gebruikmaken. "Deze eenvoudige kwetsbaarheid is met name alarmerend omdat het in een "beveiligingsproduct" aanwezig is dat met het beveiligen van meer dan een miljoen huizen wordt toevertrouwd", stelt Zonenberg. Daarnaast geeft het aanvallers de mogelijkheid om het systeem volledig over te nemen, uit te schakelen en pincodes te veranderen. Als laatste laten veel consumenten weten dat ze het systeem gebruiken, om zo inbrekers af te schrikken, maar in werkelijkheid worden ze op deze manier een doelwit, zo waarschuwt de onderzoeker.
Natuurlijk is zo iets te kraken. Maar het houdt wel de gelegenheidsinbreker tegen en dat is bij het beveiligen van
een huis het belangrijkste. Als er een bende een plan heeft om juist bij jouw huis in te breken en het er daarvoor
voor over heeft om eerst jouw code af te luisteren en later toe te slaan dan houd je die toch niet tegen.
Dit is net zo iets als schrijven over klopsleutels of vertellen dat veel inbraken tegenwoordig gepleegd worden door
een tegel door de ruit te gooien: je brengt er hooguit mensen mee op een idee, en anderen maak je er bang mee.
Maar het inbraak probleem, wat veel beter bij de wortel kan worden aangepakt, los je er niet mee op.
Mwja. Ook. Iets botter, de werkgever is weer genoemd, diens blog heeft aandacht, en wellicht heet de researcher een praatslot verdient op de een of andere conferentie . Bij de duurdere is dat inclusief betaald reis & verblijf, en staat het werkgeverslogo weer op het scherm en in de presentatielijst .
Of de researcher inderdaad denkt dat dit een echt risico is voor huis-tuin-keuken inbraak weet ik niet. Maar zakelijk gezien is het genereren van aandacht en het showen van reverse engineering skills ook al de moeite waard.
De relatie met real-life risico is secundair.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.