Hitowy produkt pozwala wykraść hasło do Wi-Fi. Sprawdź, czy coś ci grozi
Elektronika na dobre trafiła pod strzechy także w całkiem dosłownym sensie. Coraz chętniej instalujemy systemy automatyki domowej, np. inteligentne zamki, oświetlenie czy sterowniki pozwalające zarządzać ogrzewaniem. Jednocześnie w przypadku elektroniki i oprogramowania nigdy nie można mówić o gwarancji stuprocentowego bezpieczeństwa, o czym mogą się przekonać posiadacze inteligentnych żarówek TP-Link.
Popularna inteligentna żarówka zagrożoniem
TP-Link Tapo L530E to niezwykle popularny model inteligentnej żarówki, która za sprawą bardzo atrakcyjnej ceny wzbudziła zainteresowanie konsumentów na wielu rynkach, łącznie z polskim, gdzie wyceniana jest na około 50 zł. Dla porównania – pojedyncza żarówka Philips Hue, a zatem urządzenia z serii, która zainicjowała trend na inteligentne oświetlanie domów, to wydatek rzędu ok. 300 zł. Zestaw Hue składający się z trzech zmieniających kolor żarówek i niezbędnego centralnego sterownika kosztuje ponad 900 zł.
Tymczasem TP-Link za niecałe 50 zł oferuje zmiennobarwną żarówkę, która bez konieczności stosowania jakiejkolwiek centrali (cała obsługa odbywa się między aplikacją a żarówkę przez Wi-Fi) oferuje bardzo bogatą funkcjonalność, która w niczym nie ustępuje znacznie droższym produktom. Sterowanie za pomocą głosu, możliwość tworzenia harmonogramów zmiany oświetlenia, regulacja mocy, tryb nocny czy integracja z asystentami Google Home i Amazon Alexa to zaledwie część możliwości oferowanych przez Tapo.
Będą wyższe rachunki za internet? Unia Europejska planuje nową opłatęProblemy z bezpieczeństwem Tapo
Niestety, badacze z University of London oraz Univesita di Catania odnaleźli w urządzeniu TP-Link Tapo L530E, a w zasadzie mechanizmie komunikacji żarówki z aplikacją groźne luki bezpieczeństwa. Warto zaznaczyć, że wzięli na tapet akurat ten produkt właśnie ze względu na jego dużą popularność. W ramach szeroko zakrojonego przedsięwzięcia polegającego na zbadaniu zabezpieczeń urządzeń Internetu Rzeczy (IoT) naukowcy odnaleźli w Tapo podatności pozwalające na wykradzenie hasła do Wi-Fi.
W toku badań odnaleziono nie jedną, lecz aż cztery luki w protokole komunikacji żarówki Tapo z oficjalną aplikacją producencką, z czego dwie z nich zostały ocenione na podatności wysokiego ryzyka. To właśnie one umożliwiają przeprowadzenie scenariusza ataku skutkującego uzyskaniem dostępu do Wi-Fi, a w rezultacie – swobodnym nasłuchiwaniem ruchu sieciowego i przejmowaniem danych pochodzących z urządzeń podłączonych do domowej sieci bezprzewodowej.
Jak sobie radzić z dziurawym IoT?
Do czynienia mamy z klasycznym modelem man-in-the-middle (MITM), gdzie napastnik staje się pośrednikiem pomiędzy żarówką i smartfonem ofiary i przejmuje wszystkie przesyłane dane, a także może uzyskać do nawet najbardziej wrażliwych informacji pochodzących z innych urządzeń podłączonych do domowej sieci bezprzewodowej. Co prawda jest to możliwe tylko w trybie wstępnej konfiguracji, ale haker może wymusić reset ustawień, przekonując w ten sposób ofiarę do ponownego uwierzytelnienia.
Niestety, jak dotąd nie dysponujemy informacjami, które potwierdzałyby, że problem z bezpieczeństwem żarówek TP-Link został zażegnany. Sprawa jest tym poważniejsza, że mowa o urządzeniu, które ze względu na świetny stosunek ceny do funkcjonalności zdobyło szeroką popularność wśród użytkowników na całym świecie. Posiadaczom urządzeń TP-Link Tapo L530E zalecamy zachowanie szczególnej ostrożności, zwłaszcza jeśli konfiguracja zostanie zresetowana i ograniczenie korzystania z urządzenie do minimum do czasu publikacji łatek bezpieczeństwa.
Niestety, jak dotąd nie dysponujemy informacjami, które potwierdzałyby, że problem z bezpieczeństwem żarówek TP-Link został zażegnany. Sprawa jest tym poważniejsza, że mowa o urządzeniu, które ze względu na świetny stosunek ceny do funkcjonalności zdobyło szeroką popularność wśród użytkowników na całym świecie. Posiadaczom urządzeń TP-Link Tapo L530E zalecamy zachowanie szczególnej ostrożności, zwłaszcza jeśli konfiguracja zostanie zresetowana i ograniczenie korzystania z urządzenie do minimum do czasu publikacji łatek bezpieczeństwa.
