Forskare vid
University of Michigan på måndag meddelade att de hade upptäckt en rad sårbarheter i Samsung
SmartThings home automation system som i huvudsak skulle ha tillåtit en hackare att ta kontroll över olika funktioner och bryta sig in i användarens hem.
Forskarna, som arbetar med Microsoft i vad som kan vara den första omfattande studien av ett Internet of Things-ansökan för hem, gjorde en säkerhetsanalys av systemet.
De kunde utföra fyra proof-of-concept attacker som får dem inträde till det hem eller den förmåga att ta över olika funktioner:
En lock-plocka malware app, förklädd som en batteri-nivå övervaka, kan tjuvlyssna på en användare ange en ny PIN-kod för ett dörrlås och skickas PIN-koden till en potentiell hacker via sms.
En SmartApp kan utnyttjas på distans för att göra en extra nyckel genom att programmera en extra nyckel i ett elektroniskt lås.
En SmartApp kan stänga av semester-läge-som låter användare programmet tidpunkten för inomhus belysning, solskydd och andra funktioner för att bidra till att säkra ett hem medan invånarna är bort — i en annan app.
Genom att skicka falska meddelanden via en SmartApp, var forskarna kunna göra ett brandlarm går av.
Ofta Används
Forskarna testade SmartThings grund av dess omfattande användning. Android-appen för systemet har laddats ner mer än 100 000 gånger. Den SmartThings app store, som är där tredje-parts utvecklare skriva applikationer i molnet för systemet, som har mer än 500 apps.
Plattformen hade en sårbarhet som kallas “overprivilege”, som i huvudsak innebär att SmartApps får mer tillgång till de enheter än vad som ursprungligen var avsedda för, och de enheter som skulle kunna göras för att göra saker som de inte var programmerad att göra ursprungligen forskning visade.
Utvecklarna gav ytterligare möjligheter att 40 procent av de nästan 500 appar testade och felaktigt utplacerade OAuth-autentisering, som forskarna säger. När den kombineras med den överskjutande förmånen som är inbyggda i systemet, brister kunde göra det möjligt för angripare att programmera sin egen PIN-kod till systemet, skapa en reserv för att attackera systemet.
Dessutom, något som kallas för “event delsystemet” — en ström av meddelanden enheter generera så de är programmerade — var osäker, forskarna säger.
De anmälda Samsung problem förra året och har arbetat tillsammans för att lappa sårbarheter.
“Att skydda våra kunders integritet och data är grundläggande för allt vi gör på SmartThings,” sade Alex Hawkinson, VD, SmartThings.
Företaget regelbundet utför kontroller av systemet och har kontakt med utomstående experter för att stanna framför sårbarhet, sade han.
Skador Kontroll
Den SmartThings har teamet jobbat med forskare under de senaste veckorna på sårbarheter och har utfärdat ett antal uppdateringar för att skydda sig mot potentiella sårbarheter innan de inträffar, Hawkinson sagt.
Ingen av de säkerhetsproblem som beskrivs i rapporten har påverkat kunderna så långt, tillade han.
De sårbarheter som i första hand är beroende av två scenarier: installation av en skadlig SmartApp och underlåtenhet av tredje part utvecklare att följa SmartThings riktlinjer för hur man ska hålla sin kod säkra, enligt företaget.
Som en öppen plattform med en växande och aktiv gemenskap av utvecklare, SmartThings ger detaljerade riktlinjer om hur man ska hålla all kod är säkra och avgöra vad som är en pålitlig källa, sade företaget. Kod som laddas från en betrodd källa kan utgöra en potentiell risk.
Har företaget uppdaterat sin dokumenterade bästa praxis för att ge bättre säkerhet vägledning till utvecklare, sägs det.
Utvecklingen Brister
Utan att känna till detaljerna i utvecklingen, det är omöjligt att veta hur sårbarheten som fanns kvar utsatta, säger Christopher Budd, globalt hot kommunikationschef för Trend Micro.
I allmänhet sådana sårbarheter peka på frågor i utvecklingsprocessen, särskilt kring prioritering av säkerhet i processen, han berättade TechNewsWorld.
“Detta är en bred och gemensam klass av problem inte bara i sakernas internet enheter, men desktop-applikationer för mobila appar, säger Budd sagt.
Papperet är planerad att presenteras senare denna månad på IEEE Symposium om Säkerhet och Integritet i San Jose, Kalifornien.
