सुरक्षा सप्ताह 22: दो दूसरे स्मार्ट ताले

पिछले हफ्ते इंटरनेट की चीजों की असुरक्षित दुनिया से कुछ दिलचस्प समाचारों द्वारा चिह्नित किया गया था, और मुख्य घटना, निश्चित रूप से टैप्लॉक स्मार्ट लॉक ( समाचार , मूल रिपोर्ट ) का अध्ययन था। पेन टेस्ट पार्टनर्स के एक शोधकर्ता एंड्रयू टियरनी ने न केवल एक इलेक्ट्रॉनिक लॉक की सुरक्षा को दरकिनार किया, बल्कि डिवाइस के "डिजिटल" भाग में किसी भी सुरक्षा प्रणाली की पूर्ण अनुपस्थिति की खोज की।

टैप्लाक महल को पहली बार 2016 में एक अवधारणा के रूप में दिखाया गया था, उसी समय डिवाइस के रचनाकारों ने इंडीगोगो पर एक अभियान शुरू किया, तैयार प्रोटोटाइप को ध्यान में लाने और उपकरणों के पहले बैच को जारी करने के लिए $ 40,000 जुटाने की योजना बनाई। “फिंगरप्रिंट स्कैनर के साथ दुनिया का पहला स्मार्ट लॉक” जेब में भारी किचेन की अनुपस्थिति, स्मार्टफोन से कनेक्टिविटी और दोस्तों के साथ साझा करने की क्षमता, ब्लूटूथ और रिमोट अनलॉकिंग के माध्यम से पहुंच साझा करने की क्षमता में अविश्वसनीय आसानी का वादा किया। हालांकि: सैन्य ग्रेड एईएस -128 एन्क्रिप्शन सहित अविश्वसनीय सुरक्षा। और इस लॉक को चार्ज करने की आवश्यकता है।


बेशक, हम जानते हैं कि एन्क्रिप्शन मानक निर्दिष्ट करके विश्वसनीयता साबित करना बहुत ही व्यर्थ है, लेकिन आइए अभी कंप्यूटर भाग पर चर्चा न करें, लेकिन हमारे पास भौतिक सुरक्षा सुनिश्चित करने का एक साधन है। इस विफलता की कहानी वास्तव में YouTube पर एक वीडियो के साथ शुरू हुई, जो लोकप्रिय जेरीगैरवरी चैनल पर है, जो इंटरनेट और सुरक्षा के बारे में नहीं है, बल्कि उन उपकरणों के विश्लेषण के बारे में है जो हाथ में आए थे। वीडियो का लेखक दर्शाता है कि एक पेचकश के साथ सेना द्वारा अनुमोदित एन्क्रिप्शन को कैसे बायपास किया जाए।


इधर, एंड्रयू टिएरनी को इस वीडियो में दिलचस्पी हो गई, एक ताला खरीदा ( आधिकारिक वेबसाइट पर $ 84) और, शुरुआत के लिए, पता चला कि YouTube का पेचकश सितारा गलत लग रहा था। गोप्रो और कवर के अंदर पर अन्य तात्कालिक उपकरणों के लिए धारक से कसकर चिपके लीवर के उपयोग के बावजूद, एंड्रयू ने लॉक को डिसाइड करने में सफल नहीं हुआ, क्योंकि यह पिछले क्रैकर के साथ निकला था। जाहिर है, एक दोषपूर्ण नमूना था, और टैपलॉक की प्रतिष्ठा पूरी तरह से बहाल हो गई थी। हाँ?


नहीं! क्या अफ़सोस, इतने अच्छे चुटकुले बर्बाद हो गए। ठीक है, सुरक्षा के उच्चतम स्तर के बारे में महल के डेवलपर्स द्वारा प्रारंभिक बयान आम तौर पर संदिग्ध है: यह एक साधारण छोटा ताला है, जो बैटरी के साथ होता है। एईएस को हैक करने की आवश्यकता नहीं है, एक मध्यम आकार के बोल्ट कटर ऐसा करेंगे। शोधकर्ता एंड्रयू टियरनी ने डिजिटल हिस्से को देखने का फैसला किया और पहली बार पता चला कि लॉक स्मार्टफोन के माध्यम से HTTP के माध्यम से ब्लूटूथ के माध्यम से संचार करता है, एन्क्रिप्शन का उपयोग किए बिना (हालांकि वही AES-128 मूल रूप से ब्लूटूथ भाग के लिए घोषित किया गया था!)। ट्रैफ़िक विश्लेषण ने हमें उस रेखा की पहचान करने की अनुमति दी, जिसने डिवाइस को विश्वसनीय के रूप में पहचाना, और सभी मामलों में यह अपरिवर्तित रहा। उसी "मित्र के साथ साझा करें" फ़ंक्शन का उपयोग करते हुए, आप वास्तव में, उसे एक निश्चित "पासवर्ड" देते हैं, जो तब, यह पता चला है, इसे वापस नहीं बुलाया जा सकता है। इसके अलावा, यह आगे स्पष्ट हो गया कि मालिक के फोन (उदाहरण के लिए पुनर्विक्रय) से लॉक को पूरी तरह से हटाने से भी प्राधिकरण कोड नहीं बदला गया।


कैसे? और ऐसा है। इस बहुत कोड को उत्पन्न करने के तरीके ने आखिरकार संरक्षण के भ्रम को तोड़ने में मदद की। जैसा कि यह पता चला है, आपको इसके लिए केवल अंतर्निहित ब्लूटूथ कम ऊर्जा मॉड्यूल के मैक पते की आवश्यकता है। वही मैक पता जो मॉड्यूल खुले तौर पर सभी को प्रसारित करता है। नतीजतन, किसी भी टैप्पलॉक को पास में (ब्लूटूथ की सीमा में), सेकंड में, दूर से और आसानी से हैक करना संभव हो जाता है। शोधकर्ता ने निर्माता को सूचित किया, उसी स्थान पर उन्होंने कुछ उत्तर दिया जैसे: "धन्यवाद, लेकिन हम जानते हैं ।" यह देखते हुए कि यह भी एक भेद्यता नहीं है और संरक्षण की परिधि की विधि सतह पर है, एंड्रयू ने सात दिनों में जानकारी के प्रकटीकरण से पहले एक असामान्य समय सीमा निर्धारित की, जिसके बाद उन्होंने एक अध्ययन प्रकाशित किया। टप्पलॉक ने एक अद्यतन के अस्पष्ट वादे के साथ जवाब दिया। बाद में, सॉफ्टवेयर का पूरा ओवरहाल वादा किया गया था, और ऐसा लगता है कि स्थिति को ठीक करने के लिए एक सैद्धांतिक अवसर भी है - यह हार्डवेयर के बारे में नहीं है। क्या प्रतिष्ठा को ठीक करना संभव होगा? आइए अब देखते हैं कि समस्या के व्यापक मीडिया कवरेज के बावजूद, टैपलॉक उपकरण अभी भी बिक्री पर हैं।


वैसे, कमजोरियों के कारण दिवालिया होने के बारे में। पिछले साल, हमने क्लाउडपेट ब्रांड के तहत इंटरनेट से जुड़े खिलौनों की कमजोरियों के बारे में लिखा था। उस कहानी में, शून्य संरक्षण पहले से ही IoT दुनिया से परिचित था, और यहां तक ​​कि "यह सामान्य है, हर कोई इसे इस तरह से करता है" की शैली में बहुत ही निजी डेटा, अच्छी तरह से और विदेशी प्रबंधन टिप्पणियों के रिसाव के साथ।


तो, तब से खिलौना निर्माता बंद हो गया है, लेकिन पहले से ही बेचा उपकरणों की सुरक्षा समस्याएं दूर नहीं हुई हैं। इसके अलावा, शोधकर्ताओं ने उनमें ( समाचार ) कुछ नए छेद पाए, खिलौने सिंक्रनाइज़ेशन के लिए डोमेन पर दस्तक देना जारी रखते हैं, जो बिक्री के लिए है और भविष्य में बाधित हो सकता है। यदि आप पहले से ही बेच चुके लाखों IoT उपकरणों के बारे में सोचते हैं, तो यह वास्तव में दुखद है। "आशावाद का एकमात्र कारण" यह है कि अब तक यह ताले नहीं है, और उस हमले में वाई-फाई के साथ भालू नहीं है, लेकिन राउटर, जहां सब कुछ बहुत बुरा है, लेकिन इतना बुरा नहीं है। इसलिए हम जीते हैं।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।