Bluetooth-slot binnen twee seconden via smartphone te openen
Onderzoekers hebben ernstige kwetsbaarheden in een smart bluetooth-slot ontdekt waardoor die binnen twee seconden via een smartphone is te openen. Het gaat om de 100 dollar kostende Tapplock One. De makers omschrijven het als het eerste "smart fingerprint" slot ter wereld.
Het slot is zowel via vingerafdrukken als een smartphone-app te bedienen. De beveiliging van het slot laat echter ernstig te wensen over. Het eerste dat onderzoekers van securitybedrijf Pen Test Partners ontdekten is dat de smartphone-app om het slot te bedienen via het onversleutelde http communiceert. Daarnaast blijkt de data die de app en het slot uitwisselen niet te veranderen. Door eerder verstuurde data te onderscheppen en opnieuw af te spelen is het zo mogelijk om het slot te openen.
Een paar minuten later vonden de onderzoekers de manier om met het slot via Bluetooth te pairen en vervolgens te openen. Alleen het kennen van Bluetooth MAC-adres van het slot, dat door het slot wordt uitgezonden, blijkt voldoende te zijn. Via een eenvoudig script is het zo mogelijk om elke willekeurige Tapplock binnen twee seconden te openen, zegt onderzoeker Andrew Tierney. Het script wordt nu naar een Android-app omgezet, zodat het nog toegankelijker wordt, zo laat hij weten. De kwetsbaarheden om het slot mee te kraken werden in minder dan 45 minuten gevonden.
Aangezien het hier om een beveiligingsproduct gaat en de gevonden kwetsbaarheden zo ernstig van aard zijn besloot Tierney het bedrijf zeven dagen te geven om de problemen te verhelpen. Nadat hij Tapplock had geïnformeerd ontving hij echter een bericht terug dat de fabrikant al van de kwetsbaarheden wist. "Tapplock wist van deze problemen maar bleef het slot op Amazon verkopen en heeft klanten niet gewaarschuwd. Ik kan dit niet anders omschrijven dan immoreel", zo laat de onderzoeker weten. "Dit niveau van beveiliging is compleet onacceptabel. Consumenten verdienen beter en je klanten op deze manier behandelen is enorm respectloos."
Inmiddels heeft Tapplock een firmware-update uitgebracht. Volgens Tierney is dit niet voldoende, omdat er in de waarschuwing niet duidelijk wordt vermeld dat iedereen het slot kan openen en er een ander slot moet worden gebruikt totdat de firmware is geïnstalleerd. In onderstaande video wordt de hack gedemonstreerd.
Met een GoPro magneet kun je zo de achterkant opendraaien. Geen sleutels nodig...
TheYOSH
Laten we hopen dat de GDPR geen papieren tijger is maar daadwerkelijk zijn tanden laat zien. Laat maar eens een rits bedrijven failliet gaan of stop de bestuurders achter tralies voor het lekken van data. Hierna graag een wet optuigen waar fabriekanten aan moeten voldoen met dezelfde soort sancties. Misschien ontwaakt men dan eindelijk en komen we een stapje verder.
Een beetje ondernemer die huurt een goeie fietsendief en een pentester alvorens het product op de markt te brengen.
Zover ik kan zien is dat slot gestart via een kickstart project op "www.indiegogo.com". Blijkbaar mensen met een leuk idee, en inderdaad geen enkele ervaring.
Een kind had kunnen weten dat dit zo te openen is. Zoals andere reacties aanhalen is de grootste faal dat de achterkant gewoon los zit. De enige 'beveiliging' tegen open draaien is dat je weinig grip hebt op het achterdeksel. Met een tang vind je geen houvast. Maar met een sterke magneet en waarschijnlijk ook met een goed stuk ducktape, krijg je wel grip op het achterdeksel om het open te draaien.
Klopt. Standaard sloten zijn redelijk makkelijk, maar de betere sloten zijn niet zo simpel hoor.
Verder is het ook belangrijk om naar de nodige vaardigheden te kijken.
Alhoewel lockpicking een mogelijkheid is, is niet idereen in staat om het ook daadwerkelijk in de praktijk te brengen. Een app uitvoeren op een smarphone kan zelfs de meest onhandige persoon.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.