卡巴斯基帮助消除智慧家庭控制器中的严重漏洞

  • 时间:
  • 浏览:0
  • 来源:彩神彩神8app大发快3下载_彩神app破解

  卡巴斯基研究人员调查了另有一个 活跃的智慧家庭生态系统的控制设备,因此发现了多个严重漏洞。其中包括云基础设施中的漏洞和潜在的远程代码执行漏洞,要能让第三方获得控制器的“超级用户”访问权限,从而能能任意操纵智慧家庭基础设施。让.我将调查结果分享给了那些设备的供应商Fibaro,让.我立即处置了那些间题,并更新了安全协议。

  自从物联网(IoT)的安全性首次研究以来,将会过去了多年,随着物联网领域的不断扩大和发展,类式研究的重要性依然指在:将会随着新产品和新的处置方案的经常出现,也会伴随着新的威胁层面的经常出现,危及用户的安全。卡巴斯基的一名员工向该公司的研究人员提出挑战,要求让.我检查一下让.我家中部署的智慧系统。他允许研究人员访问他的智慧家庭控制器。未必选着控制器,是将会它连接并监督整个智慧家庭的整体运营,一旦成功入侵,就能能让网络攻击者入侵整个家庭生态系统,实施从监控到数据盗窃到物理破坏等各种攻击。

  在最初的情报挂接研究阶段,安全专家发现了多个潜在入侵途径:通过广泛应用于家庭自动化的Z-Wave无线通信协议;通过管理面板的web界面;以及通过云基础设施。结果,最后另有一个 途径是最有效的入侵路径:检查用于处置来自设备的请求的辦法 ,发现授权过程中指在漏洞,因此有将会执行远程代码。

  这几种攻击途径结合起来,要能让第三方访问所有从Fibaro 家庭中心上传到云端的所有备份,还能能将受感染的备份上传到云端,就让 将其下载到特定的控制器——尽管攻击者没法系统权限。

  为了完成实验,卡巴斯基专家针对控制器进行了测试攻击。为此,让.我准备了专门的具有脚本的备份,因此使用密码对其进行保护。就让 ,让.我通过云端,向设备主人发送了电子邮件和短信,督促用户更新控制器的固件。根据要求,“受害者”同意并下载了受感染的备份。没法 做要能让研究人员获得对智慧家庭控制器的超级用户权限,从而能能操纵联网的生态系统。为了展示让.我成功入侵了系统,研究人员更改了闹钟的铃声——第五天,什儿 卡巴斯基员工被一段响亮的鼓打贝斯音乐吵醒。

  卡巴斯基ICS CERT安全研究员Pavel Cheremushkin说:“与让.我不同,另有一个 要能访问家庭中心的真正的攻击者不太将会会将另一方局限于闹钟恶作剧。让.我所研究的那些设备的主要功能是整合所有的“智慧设备”,没法 主人就能能通过另有一个 家庭中心管理所有设备。另有一个 重要的细节是,让.我的评估针对的是另有一个 主动部署的系统 ——而就让 ,大多数研究就有在实验室条件下进行的。那些研究表明,尽管让.我对物联网安全性的认识有所增加,但仍然有许多间题要能 处置。更重要的是,让.我研究的设备是大规模生产的,并部署在功能齐全的智慧家庭网络中。让.我感谢Fibaro对那些间题的负责态度,将会让.我知道让.我专注于网络安全,因此较这次研究就让 ,使让.我的同事的家变得更加安全”。

  “物联网基础设施要能 错综复杂的系统在许多层面上流畅地工作。那些基础设施涉及所以有部署和架构工作。让.我感谢卡巴斯基的研究和努力。那些研究帮助让.我增强了让.我产品和服务的安全性。通过相互合作,让.我要能消除现在漏洞。让.我强烈建议FIBARO用户安装最新的更新,因此一定要检查接收到的邮件与否与FIBARO网站上的公告一致。那些更新增强了系统功能,同去让黑客更难窃取私人数据,”FIBARO首席产品官Krzysztof Banasiak说。

  要确保设备安全,让.我建议用户:

  · 在决定使用智慧设备就让 ,请考虑安全风险。

  · 在购买物联网设备就让 ,请在互联网上搜索相关漏洞新闻。

  · 在购买新产品时,除了标准漏洞外,最新发布的产品将会中有 尚未被安全研究人员发现的安全间题。考虑到这许多,最好的选着是购买将会经历不要 次软件更新的产品,而就有最新上市的产品。

  · 确保您的所有设备都安装了最新的安全更新和固件更新。