Нарушения безопасности Samsung SmartThings Hub и камер Swann: что предприятия должны знать об IoT-рисках

Приложение Swann Security оказалось уязвимым для взлома.

В четверг исследователи безопасности обнаружили уязвимости в прошивке Samsung SmartThings Hub. Cisco Talos опубликовала детальный блог, описывающий множество критических уязвимостей. По словам Джереми Коуэна, это часть более широкого тренда слабостей безопасности IoT, вызывающего тревогу у бизнеса, планирующего будущие IIoT-развертывания.

Talos выявляет уязвимость SmartThings Hub

Cisco Talos сотрудничала с Samsung для устранения проблем и выкатила обновление прошивки для затрагиваемых клиентов. SmartThings Hub служит центральным контроллером, позволяя пользователям мониторить и управлять широким спектром IoT-устройств — лампочками, HVAC-системами, дверными замками и др. — прямо со смартфонов. Прошивка, работающая на ядре Linux, поддерживает коммуникацию через Ethernet, Zigbee, Z-Wave и Bluetooth.

Обнаруженные недостатки могли позволить злоумышленнику выполнять команды ОС или запускать произвольный код на хабе. Хотя Samsung устранила уязвимости, представитель Talos описал риски как «довольно серьезные».

Так как эти устройства часто собирают чувствительные данные, слабости могли позволить злоумышленнику получить контроль над домашними или бизнес-системами, или даже нанести физический ущерб. Потенциальные последствия включают:

• Несанкционированное открытие умных дверных замков, предоставляя физический доступ.
• Удаленный просмотр видео и аудиопотоков внутри помещений.
• Отключение датчиков движения, запускающих сигнализацию.
• Манипуляция умными розетками, питающими критическое оборудование.
• Изменение настроек термостатов.
• Физический вред приборам, подключенным через умные розетки.

Нарушение безопасности камеры Swann Smart Security Camera

Ранее на этой неделе появились сообщения, что популярные беспроводные камеры безопасности Swann могут быть захвачены, позволяя злоумышленникам получать доступ к видео и аудиопотокам. Проблема была выявлена после того, как BBC осветила случай, когда клиент получил записи чужой недвижимости.

Swann подтвердила, что недостаток ограничен одной моделью, SWWHD-Intcam (также известной как Swann Smart Security Camera). По словам Адама Брауна, менеджера решений по безопасности в калифорнийской Synopsys, прошивка камеры содержала захардкоженные пароли и не имела должной сетевой изоляции — практики, подвергающие пользователей внешнему наблюдению.

Браун подчеркнул, что рынок камер эволюционирует, ведущие производители интегрируют надежные контролы приватности и безопасности. Для устройств, самих являющихся решениями безопасности, сильная защита критична.

Безопасность возглавляет список приоритетов для внедрения IIoT

Неудивительно, что безопасность остается главной заботой для бизнеса, изучающего промышленный IoT. Отчет SANS Institute Industrial IoT Security Survey 2018 подтвердил, что предприятия больше всего опасаются потенциальные риски подключенных устройств.

Дин Феррандо, менеджер системного инжиниринга в Tripwire, отмечает, что пролиферация подключенных устройств усиливает риск. «Производители часто поставляют продукты с минимальной безопасностью», — говорит он. «Критично, чтобы разработчики интегрировали безопасность в ПО с самого начала для устранения дефектов».

Феррандо далее подчеркивает, что когда подключенные устройства могут вносить материальные изменения в физический мир, безопасность и жизнь становятся первостепенными. «Промышленные организации должны принять комплексную стратегию гигиены безопасности — обучая персонал и инвестируя в проверенные технологии — чтобы опережать киберугрозы».

Автор статьи —
Джереми Коуэн (слева на фото),
редактор-директор IoT Now
и VanillaPlus.