Hitowy produkt pozwala wykraść hasło do Wi-Fi. Sprawdź, czy coś ci grozi

Popularna inteligentna żarówka zagrożoniem

TP-Link Tapo L530E to niezwykle popularny model inteligentnej żarówki, która za sprawą bardzo atrakcyjnej ceny wzbudziła zainteresowanie konsumentów na wielu rynkach, łącznie z polskim, gdzie wyceniana jest na około 50 zł. Dla porównania – pojedyncza żarówka Philips Hue, a zatem urządzenia z serii, która zainicjowała trend na inteligentne oświetlanie domów, to wydatek rzędu ok. 300 zł . Zestaw Hue składający się z trzech zmieniających kolor żarówek i niezbędnego centralnego sterownika kosztuje ponad 900 zł.

Tymczasem TP-Link za niecałe 50 zł oferuje zmiennobarwną żarówkę, która bez konieczności stosowania jakiejkolwiek centrali (cała obsługa odbywa się między aplikacją a żarówkę przez Wi-Fi) oferuje bardzo bogatą funkcjonalność, która w niczym nie ustępuje znacznie droższym produktom. Sterowanie za pomocą głosu, możliwość tworzenia harmonogramów zmiany oświetlenia, regulacja mocy, tryb nocny czy integracja z asystentami Google Home i Amazon Alexa to zaledwie część możliwości oferowanych przez Tapo.

Problemy z bezpieczeństwem Tapo

Niestety, badacze z University of London oraz Univesita di Catania odnaleźli w urządzeniu TP-Link Tapo L530E, a w zasadzie mechanizmie komunikacji żarówki z aplikacją groźne luki bezpieczeństwa. Warto zaznaczyć, że wzięli na tapet akurat ten produkt właśnie ze względu na jego dużą popularność . W ramach szeroko zakrojonego przedsięwzięcia polegającego na zbadaniu zabezpieczeń urządzeń Internetu Rzeczy (IoT) naukowcy odnaleźli w Tapo podatności pozwalające na wykradzenie hasła do Wi-Fi.

W toku badań odnaleziono nie jedną, lecz aż cztery luki w protokole komunikacji żarówki Tapo z oficjalną aplikacją producencką, z czego dwie z nich zostały ocenione na podatności wysokiego ryzyka. To właśnie one umożliwiają przeprowadzenie scenariusza ataku skutkującego uzyskaniem dostępu do Wi-Fi , a w rezultacie – swobodnym nasłuchiwaniem ruchu sieciowego i przejmowaniem danych pochodzących z urządzeń podłączonych do domowej sieci bezprzewodowej.

Jak sobie radzić z dziurawym IoT?

Do czynienia mamy z klasycznym modelem man-in-the-middle (MITM), gdzie napastnik staje się pośrednikiem pomiędzy żarówką i smartfonem ofiary i przejmuje wszystkie przesyłane dane, a także może uzyskać do nawet najbardziej wrażliwych informacji pochodzących z innych urządzeń podłączonych do domowej sieci bezprzewodowej . Co prawda jest to możliwe tylko w trybie wstępnej konfiguracji, ale haker może wymusić reset ustawień, przekonując w ten sposób ofiarę do ponownego uwierzytelnienia.

Niestety, jak dotąd nie dysponujemy informacjami, które potwierdzałyby, że problem z bezpieczeństwem żarówek TP-Link został zażegnany. Sprawa jest tym poważniejsza, że mowa o urządzeniu, które ze względu na świetny stosunek ceny do funkcjonalności zdobyło szeroką popularność wśród użytkowników na całym świecie. Posiadaczom urządzeń TP-Link Tapo L530E zalecamy zachowanie szczególnej ostrożności , zwłaszcza jeśli konfiguracja zostanie zresetowana i ograniczenie korzystania z urządzenie do minimum do czasu publikacji łatek bezpieczeństwa.

Niestety, jak dotąd nie dysponujemy informacjami, które potwierdzałyby, że problem z bezpieczeństwem żarówek TP-Link został zażegnany. Sprawa jest tym poważniejsza, że mowa o urządzeniu, które ze względu na świetny stosunek ceny do funkcjonalności zdobyło szeroką popularność wśród użytkowników na całym świecie. Posiadaczom urządzeń TP-Link Tapo L530E zalecamy zachowanie szczególnej ostrożności , zwłaszcza jeśli konfiguracja zostanie zresetowana i ograniczenie korzystania z urządzenie do minimum do czasu publikacji łatek bezpieczeństwa.