I tuoi sistemi Philips Hue e Nest potrebbero essere soggetti ad attacchi

Quando parliamo di sicurezza – e intendiamo la sicurezza informatica delle nostre case – la maggior parte di noi immagina hacker a livello di film di Bond in stanze buie, sfruttando abilmente le nostre telecamere, gli allarmi e le serrature delle porte.

Ma quando i dispositivi intelligenti vengono invischiati negli ecosistemi digitali – Nest, Google Assistant e Alexa per citarne solo alcuni – anche un solo anello debole può lasciare tutti i dispositivi aperti agli attacchi. E una nuova ricerca mostra che sono le nostre lampadine intelligenti e le macchine da caffè connesse che potrebbero lasciare le nostre case a rischio.

Grande verdetto: recensione di Philips Hue

Un team di scienziati informatici del College of William & Mary ha testato la sicurezza di diversi prodotti per la casa intelligente attualmente sul mercato e ha trovato vulnerabilità significative che potrebbero significare che le aziende tecnologiche devono ripensare il modo in cui i loro dispositivi interagiscono.

Il team ha esaminato un attacco chiamato "escalation dei privilegi laterali", che compromette un dispositivo o un'app a bassa posta in gioco per ottenere l'accesso a un dispositivo ad alta posta in gioco come una telecamera di sicurezza. I risultati rivelano difetti, non necessariamente nei dispositivi stessi, ma in l'architettura delle piattaforme che fungono da fulcro centrale della casa intelligente.

E mentre troppo spesso queste vulnerabilità si trovano su dispositivi senza nome di proprietà di una manciata di persone, il team di ricerca ha riscontrato problemi che richiedono miglioramenti sia nei prodotti Philips Hue che Nest durante la loro valutazione.

"È un problema software che si riversa nell'ambiente fisico e non è qualcosa che puoi risolvere immediatamente", ha affermato l'autore dello studio Adwait Nadkarni, assistente professore di informatica presso William & Mary. "Se non proteggi questi dispositivi a bassa sicurezza, anche la comunicazione indiretta tra questi due dispositivi può mettere a rischio la tua casa intelligente."

Nadkarni e i suoi colleghi hanno utilizzato una configurazione di casa intelligente simulata in cui hanno collegato più dispositivi a una piattaforma di casa intelligente e hanno visto fino a che punto potevano arrivare gli attacchi. Con oltre 20 miliardi di prodotti per la casa intelligente che dovrebbero essere utilizzati entro il 2020, il loro lavoro ha implicazioni di vasta portata per la sicurezza fisica degli utenti. Lo studio è stato accettato alla conferenza dell'Association for Computing Machinery (ACM) sulla sicurezza e la privacy dei dati e delle applicazioni e sarà presentato a marzo 2019.

Infiltrarsi nella tua routine

La domotica è guidata dall'implementazione di routine, che sono sequenze di azioni di app e dispositivi che vengono eseguite su uno o più trigger. Ad esempio, quando accendi il sistema di allarme prima di uscire di casa, puoi programmare il tuo termostato intelligente in modo che si spenga automaticamente per risparmiare elettricità. Le piattaforme per la casa intelligente come Works with Nest di Google, Samsung SmartThings e Philips Hue tengono traccia di tutti i dispositivi connessi e dei loro stati tramite variabili in un archivio dati centralizzato.

"Un sensore di presenza indicherà se un utente è a casa e regolerà di conseguenza quella variabile nell'archivio dati centralizzato", ha affermato Nadkarni. "Quindi il resto dei dispositivi reagirà come desideri quando sei a casa – le luci si accendono, il termostato si alza, ecc. – ma in alcuni casi queste variabili possono essere sfruttate".

Ad esempio, gli hacker potrebbero compromettere un dispositivo a bassa sicurezza come le tue luci, che hanno accesso alla variabile presenza. Se cambiano il suo stato per dire falsamente alla piattaforma che sei a casa quando sei davvero a chilometri di distanza in vacanza, gli aggressori potrebbero alterare le azioni di dispositivi ad alta sicurezza come telecamere e serrature.

I ricercatori hanno scoperto che le routine supportate da Nest consentono ai dispositivi e alle app a bassa sicurezza di modificare indirettamente lo stato dei dispositivi ad alta sicurezza modificando le variabili condivise su cui entrambi si basano. Sono stati in grado di eseguire un'escalation laterale dei privilegi compromettendo l' app Kasa, modificando indirettamente lo stato di una variabile, che ha spento la videocamera di sicurezza Nest.

"Se le cose continuano come stanno, il numero di problemi di sicurezza aumenterà in modo esponenziale man mano che le persone aggiungeranno più dispositivi alle loro case intelligenti", ha affermato l'autore dello studio Denys Poshyvanyk, professore associato di informatica presso William & Mary. "Tuttavia, se vengono fatti alcuni sforzi sistematici per riprogettare queste piattaforme tenendo presente la sicurezza, questi attacchi possono essere prevenuti, ma richiederebbe l'adozione di alcuni standard comuni da parte di queste aziende".

Molte delle società citate nello studio, tra cui Google e Philips, hanno confermato a Nadkarni e Poshyvanyk che i loro ingegneri stanno esaminando questi problemi di sicurezza. Joshua Meyer, analista di sicurezza associato presso la società di consulenza Independent Security Evaluators, che non è stata coinvolta nello studio, ritiene che i produttori debbano considerare la sicurezza fin dalle prime fasi di progettazione di un prodotto o di una piattaforma. Ma riconosce anche che le app di terze parti possono introdurre rischi per la sicurezza imprevisti nella rete.

“Ogni applicazione o dispositivo che non controllano può introdurre rischi per la sicurezza della rete. Il regno della casa intelligente è problematico a questo proposito poiché ci si aspetta che più dispositivi di più produttori funzionino in modo cooperativo ", ha affermato Meyer.

"Le piattaforme per la casa intelligente devono anticipare l'insicurezza intrinseca di alcuni dispositivi e fornire solidi controlli di sicurezza per gli altri dispositivi su una rete".

Naturalmente, le aziende tecnologiche stanno combattendo su tutti i fronti per proteggere i dispositivi domestici intelligenti. Mentre l'accesso illegale ai dispositivi è una questione, l'asservimento dei dispositivi come parte delle botnet è un'altra – e una minaccia ben documentata per i prossimi anni. Mostra che, come ha concluso Mayer, è fondamentale che i responsabili degli ecosistemi che funzionano nelle nostre case siano concentrati sulla sicurezza quanto sulle nuove funzionalità.