¿Por qué el hack iKettle debería preocuparte? (Incluso si no tienes uno)

Cuando se trata de la tecnología Smart Home, no faltan productos cuya razón de ser es cuestionable, por decirlo suavemente. De hecho, escribí un artículo completo Tweeting Neveras y ollas arroceras controladas por Internet: 9 de los electrodomésticos inteligentes Stupidest. Tweeting Neveras y ollas arroceras controladas por Internet: 9 de los electrodomésticos inteligentes Stupidest. Hay muchos dispositivos inteligentes para el hogar que son dignos de su tiempo y dinero pero también hay tipos que nunca deberían ver la luz del día. Aquí hay 9 de los peores. en ellos en abril de este año. Uno de los dispositivos que mencioné fue el iKettle, de Smarter Labs.

El iKettle es un hervidor habilitado para WiFi. Sí, lo leiste bien. Aparentemente, la tarea de calentar el agua hasta su punto de ebullición es algo que solo se puede lograr con la integración de WiFi.

Ah, y ¿mencioné que vino con una falla de seguridad enorme y enorme que tenía el potencial de abrir redes WiFi completas??

Cómo funcionó el ataque

Sí, resulta que el iKettle no está demasiado caliente (lo siento) cuando se trata de seguridad. Con solo un par de pasos, puede convencerlo de que descubra la contraseña de WiFi del usuario. Entonces, ¿cómo hackear una tetera??

Primero, el atacante necesitaría identificar una red inalámbrica con un iKettle conectado. Luego, crearían su propia red inalámbrica utilizando el mismo SSID.

Cuando el iKettle cambia a esa red, el atacante puede conectarse a través del puerto 23 utilizando Telnet ¿Qué es Telnet y cuáles son sus usos? [MakeUseOf explica] ¿Qué es Telnet y cuáles son sus usos? [MakeUseOf explica] Telnet es uno de esos términos tecnológicos que puede escuchar ocasionalmente, pero no en un anuncio o en una lista de características de cualquier producto que pueda comprar. Eso es porque es un protocolo, o un lenguaje ... Esta es una herramienta disponible de forma gratuita que es similar a SSH y permite a los usuarios administrar computadoras de forma remota.

El iKettle le solicitará al atacante un código de acceso de seis dígitos. Esto puede ser forzado, pero si el hervidor se configuró con un dispositivo Android, tiene la contraseña predeterminada de 000000. Una vez autenticado, el atacante le dirá al hervidor que enumere sus configuraciones. En ese momento, escupirá toda la contraseña de WiFi en caché en texto plano, permitiendo que un atacante obtenga acceso a toda la red.

El problema de la gerencia

Un portavoz de Smarter Labs estaba ansioso por enfatizar que una solución para este problema no está lejos.

“Nos tomamos muy en serio la seguridad aquí en Smarter y hemos estado trabajando con nuestros ingenieros para garantizar que nuestros nuevos productos no tengan problemas de seguridad. Actualizaremos el producto afectado en noviembre para erradicar ese problema..”

También destacaron que el próximo iKettle no se verá afectado:

“Nuestro nuevo producto y aplicación tienen características de seguridad actualizadas que no son relevantes para [la vulnerabilidad].”

Los usuarios con un hervidor afectado pueden actualizarlo usando la aplicación iKettle, disponible para iPhone y Android. Mientras tanto, puede ser conveniente conectar un segundo enrutador a su red doméstica con un SSID diferente, y conectar su hervidor a eso. Puede encontrar un enrutador perfectamente adecuado de Amazon por tan solo $ 10.

Este episodio nos recuerda cómo son los productos para el hogar inteligente que utilizamos esencialmente computadoras, y cómo enfrentan los mismos problemas de seguridad que enfrentan las computadoras tradicionales. Es extraño imaginar a alguien usando Telnet para conectarse a un hervidor de agua, pero aparentemente es algo.

A medida que el campo Smart Home madura inevitablemente, los fabricantes estarán bajo una presión cada vez mayor para considerar la seguridad de sus dispositivos. Y cuando las cosas van mal (como inevitablemente lo hacen) pueden esperar que sus pies se mantengan sobre las brasas.

Los fabricantes tendrán que diseñar sus productos para que sean fáciles de restablecer y actualizar. Tendrán que adoptar un enfoque proactivo para la seguridad de sus dispositivos y trabajar con investigadores de seguridad. Tendrán que aprender a gestionar la divulgación Divulgación completa o responsable: cómo se divulgan las vulnerabilidades de seguridad Divulgación completa o responsable: cómo se divulgan las vulnerabilidades de seguridad Las vulnerabilidades de seguridad en paquetes de software populares se descubren todo el tiempo, pero cómo se informan a los desarrolladores, ¿Y cómo aprenden los hackers sobre las vulnerabilidades que pueden explotar? y sus relaciones con la comunidad de seguridad Oracle quiere que dejes de enviarles errores: esta es la razón por la que está loco Oracle quiere que dejes de enviarles errores: aquí está la razón por la que está loco Oracle está en apuros por una publicación de blog equivocada de la jefa de seguridad, Mary Davidson. Esta demostración de cómo la filosofía de seguridad de Oracle se aparta de la corriente principal no fue bien recibida en la comunidad de seguridad ..., lo que algunos han encontrado increíblemente difícil de hacer.

Los fabricantes tendrán que considerar cómo garantizar la seguridad de sus dispositivos, en caso de quiebra. Más importante aún, tendrán que establecer un consenso con sus clientes sobre cuánto tiempo se espera que mantengan un producto en particular..

Obsolescencia no planificada

Un amigo mío tiene un microondas que es literalmente antiguo. Parece una hipérbole, pero no lo es. Lo heredó de sus padres, quienes a su vez lo compraron en un hipermercado ya desaparecido en la década de 1980. Déjame poner eso en contexto: su microondas es mayor que yo.

Pero aquí está la cosa; es un microondas perfectamente adecuado. Casi treinta años después, todavía puede convertir una comida preparada de lasaña congelada en una piscina humeante de queso fundido, y aún puede descongelar fácilmente la carne congelada. Literalmente no hay razón para reemplazarlo.

Eso es lo que pasa con los electrodomésticos tradicionales. No están sujetos al mismo ciclo de obsolescencia planificada Consumirás: La historia de la electrónica de consumo [Característica] Consumirás: La historia de la Electrónica de consumo [Característica] Todos los años, las exposiciones en todo el mundo presentan nuevos dispositivos de alta tecnología; Juguetes caros que vienen con muchas promesas. Su objetivo es hacer que nuestras vidas sean más fáciles, más divertidas, súper conectadas y, por supuesto, son el estado ... que es la mayoría de la tecnología. No hay tal cosa como un “ciclo de actualización del refrigerador”. No hay tal cosa como un “actualización de dos años” en el mundo de los electrodomésticos.

Otra cosa: el microondas de mi amigo fue fabricado en un país que ya no existe (la República Democrática Alemana, también conocida como Alemania Oriental), por una compañía que también ha dejado de existir. Pero eso no representa un impedimento para que haga nachos de microondas con queso, treinta años después.

Es una cuestión diferente para la tecnología inteligente del hogar. Es muy probable que su hervidor computarizado o paraguas habilitado para WiFi requiera actualizaciones periódicas de rendimiento y seguridad.

El problema es que los programadores son costoso, y es fundamentalmente poco realista esperar que las compañías de software mantengan sus productos indefinidamente. Eventualmente, tienen que dejarlo ir, como lo hizo Microsoft con Windows XP Lo que significa Windows XPocalypse para usted Lo que significa Windows XPocalypse para usted Microsoft va a matar el soporte para Windows XP en abril de 2014. Esto tiene serias consecuencias para ambos empresas y consumidores. Esto es lo que debe saber si todavía está ejecutando Windows XP. a principios de 2014.

Luego, está el pequeño problema de que las compañías tecnológicas tienen una tendencia a eventualmente explotar como The Death Star, dejando una montaña de calcomanías promocionales para computadoras portátiles y un código ahora no compatible a su paso. Para darle solo tres (de muchos) ejemplos, hay Silicon Graphics, Palm y Commodore.

Si compra un producto que inherentemente necesita mucha administración solo para mantenerlo seguro y que funcione sin problemas, corre el riesgo de que la compañía se quede para respaldarlo. Eso no siempre es una apuesta segura.

Protegiendo el Internet de las cosas

En este momento, Internet de las cosas es una idea naciente, todavía a medio formar. Todavía es un gran experimento, con docenas de preguntas aún sin respuesta.

¿Deberían los fabricantes ser responsables de la seguridad de los productos que venden?? Si es así, en qué medida?

¿Debería razonablemente esperarse que una empresa respalde un producto IoT o Smart Home?? Si es así, cuánto tiempo?

¿Qué sucede si el fabricante falla?? Muchas startups se han comprometido a liberar su código bajo el dominio público, en caso de que fallen. ¿Deberían los fabricantes de casas inteligentes verse obligados a hacer lo mismo??

¿Hay algo que los consumidores puedan hacer para garantizar que su hardware sea seguro?? Entonces qué?

Estas preguntas serán respondidas a tiempo. Pero hasta que lo estén, sospecho que la mayoría de los consumidores serán reticentes a adoptar el mundo de Internet de las cosas.

Pero ¿qué piensas? Déjame un comentario a continuación, y hablaremos.