Μια πρόσφατη ενημέρωση από ομάδα ερευνητών προσδιόρισε έναν πιθανό κίνδυνο για τα gmail credentials των χρηστών του έξυπνου ψυγείου της Samsung – Samsung Smart Fridge.
Μια ευπάθεια ‘Man in The Middle’ (MiTM) ανακαλύφθηκε κατά την διάρκεια ενός IoT (Internet of Things) hacking challenge στο πρόσφατο συνέδριο DEF CON. Το έξυπνο ψυγείο της Samsung RF28HMELBSR στοχοποιήθηκε για να επιβεβαιωθεί η πιθανή παραβίασης των Credentials στους λογαριασμούς gmail. Tο ψυγείο που εφαρμόζει SSL, αντιμετώπισε πρόβλημα στην επικύρωση των SSL certificates δίνοντας έτσι έδαφος σε ευπάθειες MiTM. Η συσκευή που συνδέεται στο διαδίκτυο έχει την δυνατότητα να κατεβάζει αυτόματα το Google calendar σε μια οθόνη διεπαφής και η ευπάθεια MiTM διευκολύνει τον hacker να «πηδήξει» στο ίδιο δίκτυο και να κλέψει τα gmail credentials των γειτόνων του.
Ο κύριος Ken Munro, ένας ερευνητής ασφαλείας στην Pen Test Partners δήλωσε πως “Tο ψυγείο που συνδέεται στο διαδίκτυο σχεδιάσθηκε για να εμφανίζει τις πληροφορίες του Gmail Calendar στην οθόνη του,” κι επιπλέον “φαίνεται να δουλεύει με τον ίδιο τρόπο όπως κάθε μηχάνημα που τρέχει το Gmail calendar. Ένας χρήστης που είναι συνδεδεμένος ή ο κάτοχος του ημερολογίου ενημερώνει το calendar και οι ενημερώσεις αυτές είναι ορατές από οποιαδήποτε συσκευή η οποία μπορεί να εμφανίσει το calendar” πρόσθεσε.
Ενώ η ερευνητική ομάδα απέτυχε να διαρρεύσει το software update server και το τερματικό του ψυγείου στο DEF CON hacking spree, το mobile app έδειξε σημάδια πιθανών προβλημάτων ασφαλείας.
Ο κώδικας στο mobile app περιλαμβάνει ένα πιστοποιητικό που επιτρέπει την κρυπτογράφηση των credentials μεταξύ του ψυγείου και του mobile app. Το πιστοποιητικό είναι ορθώς κωδικοποιημένο, αλλά το credential του πιστοποιητικού εμφανίζεται να αποθηκεύεται στο mobile app σε μια ασαφή μορφή. Έτσι, εάν οι κώδικες των πιστοποιητικών σπάσουν, θα επιτραπεί στον hacker να στέλνει εντολές στο ψυγείο.
Ο κώδικας στο mobile app περιλαμβάνει ένα πιστοποιητικό που επιτρέπει την κρυπτογράφηση των credentials μεταξύ του ψυγείου και του mobile app. Το πιστοποιητικό είναι ορθώς κωδικοποιημένο, αλλά το credential του πιστοποιητικού εμφανίζεται να αποθηκεύεται στο mobile app σε μια ασαφή μορφή. Έτσι, εάν οι κώδικες των πιστοποιητικών σπάσουν, θα επιτραπεί στον hacker να στέλνει εντολές στο ψυγείο.
Ο Pedro Venda της Pen Test Partners τόνισε πως «Θέλαμε να τραβήξουμε την τερματική μονάδα έξω από το ψυγείο για να έχουμε φυσική πρόσβαση σε πράγματα όπως μια θύρα USB, ή μια σειριακή, ή στα JTAG interfaces, αλλά τελείωσε ο χρόνος. Ωστόσο, βρήκαμε ακόμα μερικά ενδιαφέροντα bugs που αξίζουν σίγουρα περαιτέρω έρευνα. Η MiTM από μόνη της είναι αρκετή για να εκθέσει τα Gmail creds ενός χρήστη. “
Αυτό το φιάσκο έχει δημιουργήσει ένα τεταμένο κλίμα στα κεντρικά γραφεία της Samsung. Σε μια ανοικτή δήλωση, η εταιρεία διασφάλισε ότι «Στη Samsung, καταλαβαίνουμε ότι η επιτυχία μας εξαρτάται από την εμπιστοσύνη των καταναλωτών μας τόσο σε εμάς σαν εταιρεία, όσο και στα προϊόντα και στις υπηρεσίες που παρέχουμε. Ερευνούμε αυτό το θέμα. Η προστασία της ιδιωτικότητας των καταναλωτών μας είναι η πρώτη μας προτεραιότητα, και δουλεύουμε σκληρά κάθε μέρα για να διασφαλίζουμε τους πολύτιμους χρήστες της Samsung.» secnews.gr
