image

Onderzoeker wil 2 miljoen onveilige IoT-apparaten weggooien

woensdag 19 juni 2019, 13:18 door Redactie, 6 reacties

Een beveiligingsonderzoeker die een kwetsbaarheid in 2 miljoen Internet of Things-apparaten ontdekte adviseert gebruikers om de apparaten weg te gooien, aangezien de fabrikant nog steeds niet heeft gereageerd en er waarschijnlijk ook geen beveiligingsupdate komt.

Via de kwetsbaarheid kunnen kwaadwillenden toegang tot de apparaten krijgen. Het gaat onder andere om beveiligingscamera's, webcams, babymonitors en smart deurbellen. De apparatuur wordt geleverd met software genaamd "iLnkP2P". Via deze software is het mogelijk om de apparaten van over de gehele wereld te benaderen, zonder dat er aanpassingen aan de router of firewall moeten worden gemaakt.

Gebruikers installeren een mobiele app en scannen de barcode op het apparaat of voeren een zescijferige code (UID) in. De p2p-software regelt de rest. De iLnkP2P-apparaten bieden geen authenticatie of versleuteling en zijn eenvoudig te enumereren. Een aanvaller kan zo op afstand verbinding met de apparaten maken. Om de mogelijkheid te bewijzen ontwikkelde onderzoeker Paul Marrapese een script waarmee hij meer dan twee miljoen kwetsbare IoT-apparaten identificeerde. Negentien procent hiervan bevindt zich in Europa.

Marrapese waarschuwde de ontwikkelaar van de software, maar kreeg geen reactie. Inmiddels zijn er twee maanden sinds de openbaring van de kwetsbaarheid verstreken. De fabrikant heeft echter nog altijd niet gereageerd en ook zijn er geen updates verschenen. Marrapese adviseert eigenaren van de apparatuur dan ook om die weg te doen. "Ik suggereer honderd procent dat mensen ze weggooien. Ik denk niet dat er een patch zal verschijnen", aldus de onderzoeker tegenover Threatpost.

Marrapese merkt op dat de problemen lastig zijn te verhelpen, mede doordat het niet mogelijk is om het serienummer van al verscheepte apparaten te veranderen. Zelfs als eigenaren de kwetsbare IoT-apparaten in een apart netwerk plaatsen, is het vanwege de aard van de kwetsbaarheden nog steeds mogelijk voor een aanvaller om de wachtwoorden te kapen. "Dus ik zeg doe ze weg, het is niet de 20 dollar waard die ze kostten. Probeer gewoon iets van een gerenommeerde leverancier te kopen", zo stelt de onderzoeker.

Reacties (6)
19-06-2019, 13:46 door Anoniem
Typisch hackware van chinese makelij.
Terug naar de winkel en geld terugvragen.
19-06-2019, 13:58 door johanw
Probeer gewoon iets van een gerenommeerde leverancier te kopen", zo stelt de onderzoeker.
Zo een die wel de moeite neemt een mail terug te sturen dat het apparaat helaas end of life is en daarom geen updates meer krijgt?
19-06-2019, 14:00 door Anoniem
Weggooien? En dan? Lijkt me dat daar nog veel te verbeteren is.
19-06-2019, 15:16 door [Account Verwijderd]
Tja, dat is niet best voor het milieu. Op z'n minst netjes naar het daarvoor bedoelde inzamelpunt bij de milieustraat brengen.
20-06-2019, 12:20 door Anoniem
Een beveiligingsonderzoeker die een kwetsbaarheid in 2 miljoen Internet of Things-apparaten ontdekte adviseert gebruikers om de apparaten weg te gooien, aangezien de fabrikant nog steeds niet heeft gereageerd en er waarschijnlijk ook geen beveiligingsupdate komt.

Deze onderzoeker heeft zeker nog nooit gehoord van access control. Zodat je het kwetsbare device verder kan afschermen, voor andere dan toegestane IP adressen. Kwestie van risk mitigation.
20-06-2019, 14:23 door Anoniem
Door Anoniem:
Een beveiligingsonderzoeker die een kwetsbaarheid in 2 miljoen Internet of Things-apparaten ontdekte adviseert gebruikers om de apparaten weg te gooien, aangezien de fabrikant nog steeds niet heeft gereageerd en er waarschijnlijk ook geen beveiligingsupdate komt.

Deze onderzoeker heeft zeker nog nooit gehoord van access control. Zodat je het kwetsbare device verder kan afschermen, voor andere dan toegestane IP adressen. Kwestie van risk mitigation.

Die access control zit niet op die aparaten zelf, die connecten naar een cloud omgeving en zetten daar alles online en is via de uid te bereiken...
Veel camera's zijn zo te gebruiken via die cloud omgeving
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.