Kaspersky Lab araştırmacıları, evdeki bağlantılı tüm modülleri ve sensörleri yönetmek için kullanılan bir akıllı bağlantı merkezinde çeşitli açıklar keşfetti.
Lab zayıf parola üretimi ve açık portlarla saldırganlara çok sayıda fırsat sunduğu anlaşılan bir akıllı ev cihazını incelemişti. Bu inceleme sırasında araştırmacılar, akıllı cihazın mimarisinin güvenlik açısından zayıf bir tasarıma sahip olduğunu ve suçluların başkalarının evine erişebilmesine olanak veren çok sayıda açık içerdiğini keşfetti.
Araştırmacılar öncelikle bağlantı merkezinin bir sunucuyla iletişime geçerken, web arayüzüne giriş için kullanılan kullanıcı adı ve parola da dahil olmak üzere tüm kullanıcı verilerini gönderdiğini belirledi. Kullanıcı adı ve parolanın yanı sıra bildirimler için kullanılan telefon numarası da gönderilen veriler arasındaydı. Saldırganlar cihazın seri numarasını içeren geçerli bir talebi sunucuya göndererek bu bilgilere sahip arşivi indirebiliyor. Analizler, seri numaralarının basit bir yöntemle oluşturulduğunu gösteriyor. Saldırganlar da seri numaralarını kolayca bulabiliyor.
Uzmanlara göre seri numaraları mantık analizi kullanılarak ‘kaba kuvvet’ yöntemiyle elde edilebiliyor. Oluşturulan seri numaraları sunucuda doğrulanıyor. Bulut sisteminde o seri numarasıyla kayıtlı bir cihaz varsa suçlulara onay bilgisi geliyor. Sonuç olarak saldırganlar kullanıcının web hesabına girip bağlantı merkezine bağlı sensörlerin ve kontrolcülerin ayarlarını değiştirebiliyor.
Tespit edilen tüm açıkların markaya iletilmesinin ardından çözüm geliştirme çalışmalarına başlandı.
Kaspersky Lab ICS CERT Açık Araştırma Grubu Lideri Vladimir Daschenko, “IoT cihazları son yıllarda siber güvenlik araştırmacılarının odağında yer alsa da bu ürünlerin hala yeterince güvenli olmadığı görülüyor. Rastgele seçtiğimiz bir akıllı ev bağlantı merkezinde açıklar keşfetmiş olmamız bir istisna değil, aksine IoT dünyasında güvenlik sorunlarının devam ettiğinin bir ispatı. En basit olanları da dahil tüm IoT cihazlarının en az bir güvenlik sorunu var gibi gözüküyor. Örneğin, yakın zaman önce analiz ettiğimiz bir akıllı ampulü ele alalım. Akıllı telefonunuz üzerinden rengini ve diğer bazı ayarlarını değiştirebildiğiniz bir ampulle ilgili ne gibi bir sorun yaşanabilir diye düşünebilirsiniz. Ampulün daha önce bağlandığı Wi-Fi ağlarına ait tüm kimlik bilgilerinin, yani isimler ve parolaların cihazın belleğinde hiçbir şifreleme olmadan saklandığını bulduk. Diğer bir deyişle, IoT güvenliğinin mevcut durumunda evinizdeki ampul bile sizi riske atabilir.
Üreticilerin, ürünlerini geliştirip piyasaya sürerken kullanıcılarını koruyacak düzgün önlemler alması ve güvenlik gereksinimlerine dikkat etmesi büyük önem taşıyor. Aksi takdirde, tasarımdaki en küçük detay bile tehlikeli sonuçlara yol açabiliyor.” dedi.
Kaspersky Lab kendinizi koruma altına almanız için şunları tavsiye ediyor:
- Her zaman karmaşık parolalar kullanın ve bunları düzenli bir şekilde değiştirmeyi unutmayın.
- Akıllı cihazlarda keşfedilen ve kapatılan açıklar hakkında internette bulabileceğiniz en son bilgileri takip ederek güvenlik farkındalığınızı artırın.
