Egy speciális vizsgálatot végeztek el a Makay.net kibervédelmi vállalkozás szakemberei: hálózati keresőkkel kutattak fel olyan okosotthon-rendszereket, melyek kényelmi szolgáltatásként webes kezelőfelületet is biztosítanak tulajdonosaik számára. A felmérés legfontosabb tanulsága, hogy a magyar okosotthonok túlnyomó többségén elavult, nem frissített, tehát számos sebből vérző vezérlőszoftver fut, a régi verziók nem védettek a jogosulatlan hozzáférés ellen, és titkosítás nélkül kommunikálnak a publikus interneten.(Megjegyzik, hogy a hasonló problémákkal küzdő routerek száma Magyarországon 10 ezres nagyságrendű.)
A szemügyre vett megoldásoknál első ránézésre is legalább öt problémát detektáltak:
- a vezérlőszoftverek elavultak, több ismert sebezhetőségben szenvednek, amiket a támadók kihasználhatnak
- az elavult szoftververziókból számos biztonsági funkció hiányzik (kétfaktoros hitelesítés, elrontott próbálkozások utáni IP-letiltás), amik csak későbbi verziókban kerültek megépítésre – ha egyáltalán bekerültek
- a felhasználók nem kapják meg automatikusan az új, javított szoftververziókat, a felhasználók pedig nem végzik el manuálisan a frissítést
- nincs gyártó által üzemeltetett és védett, központi szerverről elérhető kezelőfelület – a felületek a kitelepített okosotthon-rendszerekről érhetőek el egyenként
- a vezérlőszoftverek nyílt (nem titkosított), lehallgatható és manipulálható csatornán kommunikálnak a felhasználókkal
A beazonosított szoftververziók között a 2015-ös és 2016-os verziók mellett számottevő mennyiségben voltak 2017 végén kiadott verziók is – valószínűleg karácsonyi ajándékok voltak. Mivel a gyártók nem adnak ki verziószám-változást nem igénylő javítófoltokat, ez azt jelenti, hogy a verzió kiadása óta felfedezett sérülékenységekben jó eséllyel az adott verzió is érintett.
Viszont bármennyire tűnik a 2017-es karácsony közelmúltnak, azóta a termékek már jó néhány javításon és verziókiadáson estek át, tehát a felhasználóknál futó rendszerek szoftverei messze nem naprakészek frissítések szempontjából. Egyértelmű, hogy a felhasználók nem szívesen piszkálják a rendszereket, így ha a gyártó nem cselekszik, ezek a lakások és házak közvetlen veszélynek lesznek kitéve a távoli, akár más földrészen élő támadók által – ahogyan jelenleg is ki vannak téve:
- kapcsolgathajták a világítást
- szabályozhatják a fűtést
- nyithatják a garázskaput
- kikapcsolhatják a riasztót
- kizárhatják a felhasználókat a rendszerből
- mindent beállíthatnak, amire a rendszer képes
További probléma, hogy ezek a publikus hálózati interfésszel rendelkező rendszerek jellemzően titkosítatlan HTTP-csatornán kommunikálnak a webböngészővel és a mobilalkalmazással, így egy rosszindulatú támadó lehetőséget szerezhet úgynevezett man-in-the-middle közbeékelődéses támadásra, amely során nemcsak lehallgathatja a felhasználó és az okosotthon között folyó hálózati kommunikációt, de akár manipulálhatja is azt.
Számosságot tekintve a Makay.net 160 darab olyan okosotthont azonosított Magyarországon, aminek távoli menedzsmentfelülete publikusan kint lóg az interneten, és csak arra vár, hogy „feltörjék”. Persze ennél magasabb is lehet a szám, viszont ezek az otthonok tényleges veszélynek vannak kitéve azáltal, hogy a hálózati keresők is feltüntetik őket találatként.
A vizsgálat részletesebb leírása a Makay.net oldalán olvasható.
