Rischi per la sicurezza nei comuni dispositivi per la casa intelligente

Le case intelligenti stanno diventando sempre più popolari. Ecco perché Bureau Veritas Cybersecurity ha sviluppato unkit dimostrativo di hacking IoT sotto forma di casa intelligente: si tratta di una casa in miniatura, equipaggiata con diversi gadget popolari per la casa intelligente. Abbiamo scoperto diverse vulnerabilità nei dispositivi utilizzati nel kit dimostrativo. Questo articolo illustra in dettaglio alcune di queste scoperte.

Nota: prima di pubblicare questo articolo, sono stati fatti diversi tentativi per informare i (ri)venditori e i produttori di apparecchiature originali (OEM) sulle vulnerabilità scoperte e sulle conseguenze che ne derivano. Uno dei (ri)venditori non ha risposto a nessun tentativo di comunicazione via e-mail, ma è stato raggiunto telefonicamente una volta. In seguito, non sono state ricevute altre risposte. L'altro (ri)venditore ci ha fornito il suo produttore. Tuttavia, Bureau Veritas Cybersecurity non ha mai ricevuto ulteriori risposte dopo averli informati delle vulnerabilità. Bureau Veritas Cybersecurity ha scelto di pubblicare questo articolo per aumentare la consapevolezza della sicurezza tra i produttori e gli utenti.

I prodotti trattati in questo articolo sono stati selezionati visitando i negozi web più popolari nei Paesi Bassi, e successivamente filtrati sui dispositivi più diffusi. In questo articolo citiamo solo le vulnerabilità che hanno portato alla disabilitazione o all'aggiramento delle principali funzioni di sicurezza dei prodotti.

Serratura intelligente Flient

Uno dei due prodotti che verranno trattati in questo articolo è la 'Flient Smart Lock', una serratura intelligente che può essere aperta in più modi. Di seguito è riportato un elenco non esaustivo:

• Tag NFC
• Applicazione mobile (Bluetooth Low Energy)
• Biometria (impronta digitale)
• Tastiera (combinazione di tasti)

La versione mobile che è stata utilizzata accanto alla serratura della porta era:
com.tongtongsuo.app versionName=6.7.0 versionCode=234

Sono stati scoperti due gravi problemi di sicurezza per il Flient Smart Lock.

1. Bypass della biometria

Il primo problema di sicurezza che è stato scoperto è che un aggressore potrebbe sostituire le impronte digitali memorizzate all'interno del lucchetto(CVE-2023-50124). In definitiva, questo comporta che un aggressore sia in grado di ottenere un accesso non autorizzato al perimetro.

Come accennato in precedenza, il Flient Smart Lock consente agli utenti di sbloccare la porta tramite un'impronta digitale biometrica. La figura riportata di seguito mostra (dal punto di vista dell'applicazione) come l'utente ha impostato l'impronta digitale sulla porta:

Lo scanner di impronte digitali è uno scanner AES1711, che si trova all'interno della maniglia della porta della serratura.
Tuttavia, si è scoperto che ci sono due viti accessibili dall'esterno della porta, che possono essere rimosse da un aggressore per ottenere l'accesso al sensore di impronte digitali:

Una volta rimosse le viti, il sensore è stato estratto dalla serratura e collegato a una workstation di analisi:

Poiché è stata impostata una password predefinita sull'interfaccia UART, è stato possibile inserire una nuova impronta digitale sul sensore. Vedere la figura seguente:

Una volta sostituita l'impronta digitale, il sensore è stato collocato nuovamente all'interno della maniglia della porta ed è stato testato se l'utente abituale poteva ancora aprire la porta. La figura sottostante mostra come un utente abituale (indicato sul lato sinistro) non sia più in grado di aprire la serratura. Sul lato destro della figura sottostante è mostrato come il prodotto ha reagito alla nuova impronta digitale impostata dall'aggressore. Come si può vedere, la porta poteva essere sbloccata (indicato dalla luce verde).

Questo attacco è riuscito grazie al fatto che la serratura intelligente verifica semplicemente se il dito fornito allo scanner corrisponde a una delle impronte digitali memorizzate, che un aggressore è in grado di sostituire.

Questo attacco può essere eseguito da un aggressore in circa cinque minuti e consente a un aggressore di accedere al perimetro.

2. Tag clonabili

Il secondo problema di sicurezza che è stato scoperto all'interno del lucchetto è che i tag forniti in dotazione con l'acquisto possono essere clonati da un aggressore(CVE-2023-50129).

Uno dei tag NFC è stato scansionato e ha fornito i seguenti risultati:

Si noti come il tag sia categorizzato come MIFARE Classic 1K.
È stato scansionato un secondo tag ed è stato fatto un confronto:

Le uniche deviazioni osservate erano all'interno del Settore 0. Tutti gli altri settori erano vuoti.

Per dimostrare la facilità di clonazione di questo tipo di tag MIFARE Classic 1K, il tag è stato tenuto contro un Flipper Zero.

Successivamente, il Numero di Identificazione Unico (UID) è stato emulato sul Flipper Zero e tenuto contro la serratura della porta. Il risultato è stato lo sblocco della porta:

Quindi, si conclude che solo l'UID è necessario per aprire la serratura della porta.
Ciò significa che i tag utilizzano solo l'identificazione, anziché l'identificazione in combinazione con l'autenticazione.

Bureau Veritas Cybersecurity raccomanda al fornitore di prendere in considerazione la sostituzione dei tag MIFARE Classic 1K con tag che utilizzano l'ultima versione di MIFARE DESFIRE.

Hozard® Alarmsysteem

Il secondo dispositivo in cui abbiamo scoperto vulnerabilità è 'Hozard® Alarmsysteem', che è un sistema di allarme intelligente. Abbiamo scoperto tre problemi relativi a questo dispositivo.

Il sistema può essere impostato su un dichiarato armato o disarmato in diversi modi:

• Funzionalità SMS
• Applicazione mobile
• Tag RFID
• Controllo remoto

La versione mobile che è stata utilizzata a fianco del sistema di allarme era:
com.tuya.smartlife versionName=5.2.2versionCode=558

Ogni volta che il sistema di allarme si trova in uno stato armato, il che significa che si attiverà
si attiva quando un sensore rileva un qualsiasi tipo di movimento, si presentava come
come segue:

1. Problemi di funzionalità SMS

Se un aggressore ottiene il numero di telefono del sistema di allarme, può inviare un comando da un numero di telefono casuale(CVE-2023-50127). Non è necessario eseguire lo spoofing del numero di telefono dell'utente finale.

Ci sono due metodi principali per un aggressore per recuperare il numero di telefono associato al sistema di allarme:

1. Recuperare il messaggio SMS inviato dal cellulare dell'utente finale.
2. Intercettare il traffico SMS ogni volta che l'utente finale invia un messaggio SMS.

Di seguito è riportato un esempio di un aggressore che scarica i messaggi SMS inviati, al fine di recuperare il numero di telefono e il comando di disattivazione, da un dispositivo mobile infetto:

L'altro metodo consiste nell'intercettare il traffico SMS ogni volta che l'utente finale invia un messaggio SMS.
Di seguito viene fornita una panoramica semplificata di questo scenario di attacco:

1. Stazione mobile (MS)
2. Il sistema di allarme
3. Un aggressore che si trova nelle immediate vicinanze dell'MS, sniffando la comunicazione con apparecchiature specializzate.
4. Stazioni ricetrasmittenti di base (BTS)
5. Controllore della stazione base (BSC)
6. Centro di commutazione mobile (MSC)

Tuttavia, per non complicare troppo le cose, consideriamo che un aggressore sia già riuscito a recuperare il numero di telefono del sistema di allarme.

Un aggressore può inviare il seguente comando SMS, che contiene una password ingegnere predefinita(CVE-2023-50125), per ottenere informazioni di sistema sul sistema di allarme:

Tenga presente che la password ingegnere non è obbligata a essere modificata durante la configurazione iniziale del dispositivo e che le impostazioni per modificare la password si trovano all'interno di un menu che non è facile da scoprire per un utente abituale.

Dopodiché, un aggressore può inviare un comando SMS per portare il sistema di allarme in uno stato di disarmo:

Anche se un aggressore non sarebbe in grado di recuperare la password utente tramite la password ingegnere predefinita, potrebbe semplicemente inviare più tentativi al sistema di allarme fino a indovinare quella corretta(CVE-2023-50123).

Ciò consente a un aggressore di disattivare il sistema di allarme da remoto:

Ciò significa che un aggressore può accedere al perimetro senza far scattare il sistema di allarme.

2. Segnale di controllo remoto riproducibile

Il sistema di allarme è dotato anche di un telecomando, che consente all'utente di portare l'allarme in uno stato armato o disarmato.

Nel manuale d'uso del sistema di allarme, si afferma che il telecomando opera su una banda di frequenza nota. Questo è stato verificato conducendo un'analisi dello spettro quando si preme il pulsante di disattivazione sul telecomando:

Come si può vedere nella figura sopra riportata, l'analizzatore di spettro ha mostrato attività sulla frequenza ogni volta che veniva inviato un comando.

Per semplicità e per dimostrare che gli attaccanti necessitano di conoscenze tecniche limitate, per la prova di concetto è stato utilizzato nuovamente Flipper Zero.

Ogni volta che il file salvato è stato riprodotto, ha portato il sistema di allarme in uno stato di disarmo(CVE-2023-50128). Quindi, si conclude che non è implementato alcun meccanismo di rolling code all'interno del sistema di allarme. Ciò consente a un aggressore in grado di intercettare il comando di disarmo una volta, di portare il sistema di allarme in uno stato di disarmo ogni volta che lo desidera.

3. Tag clonabili

Sebbene la ricerca sia condotta in modo leggermente diverso, il problema di fondo dei tag RFID(CVE-2023-50126) è simile ai tag NFC (che è un sottoinsieme di RFID) della serratura intelligente. Per maggiori informazioni sul problema di fondo, consulti la sezione 'Tag clonabili' della serratura intelligente.

Conclusione

Questo articolo ha mostrato come i ladri esperti di tecnologia possono utilizzare dispositivi intelligenti insicuri per accedere a una casa intelligente. La maggior parte delle vulnerabilità scoperte può essere facilmente exploitata da aggressori che hanno poche o nessuna conoscenza tecnica, grazie a Flipper Zero.