Уязвимости IoT-устройств exponenруют умный дом атакам: угроза компрометации учетных данных

IoT-устройства — от умных холодильников, пишущих СМС когда заканчивается молоко, до термостатов, графичащих использование на телефоне — стали стандартом современных домов. По словам Флеминга Ши, CTO Barracuda Networks, любое потребительское устройство, подключающееся к сети за пределами ПК, телефона, планшета или роутера, квалифицируется как IoT-устройство.

Пока коннективность расширила удобство, она также ввела новые риски безопасности. Недавняя работа Barracuda Labs демонстрирует новый вектор: компрометация учетных данных IoT, где атакующие эксплуатируют уязвимости веб- и мобильных приложений для кражи кредов и последующего удаленного управления устройством.

Компрометация учетных данных IoT

Как только атакующий получает креды устройства, он может просматривать видеопотоки, менять настройки алермов, удалять облачные записи и даже пушить вредоносное ПО, используемое для пивота на другие устройства в той же сети.

Профиль уязвимостей образца камеры безопасности

Анализ подключенной камеры безопасности выявил следующие слабости в ее веб- и мобильном экосистеме:

• Мобильное приложение принимает невалидный серверный сертификат.
• XSS-уязвимость в веб-приложении.
• Файл-траверсал на облачном сервере.
• Пользователи могут указывать URL обновления устройства.
• Прошивки не подписаны.
• Устройство игнорирует валидацию серверного сертификата.

Используя эти дефекты, команда продемонстрировала полную цепочку извлечения кредов и компрометации устройства без физической близости к камере.

Кража кредов через мобильное приложение

Размещая злонамеренный Wi-Fi хотспот, атакующий может перехватывать HTTPS-трафик между мобильным приложением и серверами вендора. Невалидация серверного сертификата приложением позволяет прокси атакующего захватить несоленый MD5-хеш пароля пользователя.

Кража кредов через веб-приложение

Многие IoT-вендоры позволяют шаринг устройств по email. Атакующий может встроить XSS в имя устройства, поделиться им с жертвой, а затем захватить токен доступа жертвы при логине. Украденный токен дает атакующему полный контроль над аккаунтом жертвы и всеми связанными устройствами.

Эти находки показывают, что IoT-устройства могут быть скомпрометированы полностью через облачную инфраструктуру вендора — устраняя необходимость в традиционных сканерах вроде Shodan. Угроза распространяется на любое устройство, полагающееся на облачную аутентификацию.

Последствия для IoT-производителей

Производители устройств должны защищать каждую программную поверхность — мобильные приложения, веб-интерфейсы, бэкенд-сервисы. Ключевые меры:

• Развернуть WAF для защиты от L7-атак.
• Усилить сетевые защиты и контрмеры фишинга.
• Внедрить подписанные обновления прошивки и принудительную валидацию серверных сертификатов.
• Принять cloud-безопасность best practices для видимости, защиты и быстрой ремедиации.

Советы по защите потребителей

При выборе IoT-гарнитуры приоритизируйте безопасность наравне с ценой и удобством:

• Исследуйте трек-рекорт безопасности вендора.
• Проверяйте известные уязвимости в других продуктах той же компании.
• Оценивайте, как быстро вендор реагирует на репорты проблем.

Несмотря на растущее число IoT-устройств, публично доступные оценки безопасности остаются редкими. Будущее, где каждый IoT-продукт получает стандартизированный рейтинг безопасности — аналогично авторейтингам — усилило бы потребителей для информированных решений.

Автор: Флеминг Ши, CTO, Barracuda Networks