Googles termostater afsløret med gabende sikkerhedshul

Illustration: leowolfert/Bigstock
Termostater og andre dimser fra firmaet Nest, som Google har opkøbt, er meget nemme at overtage for en hacker med fysisk adgang. Man skal bare boote fra et USB-drev.

Der er store forventninger til firmaet Nest, som Google købte for 17,5 milliarder kroner for syv måneder siden, for konceptet med intelligente termostater, røgalarmer og lignende hardware spås en stor fremtid.

Men sikkerheden skal omvendt også være i orden, når man producerer udstyr, der potentielt kan overvåge hele dit hjem, og det er den ikke lige nu, konkluderer fire sikkerhedsforskere fra USA. De fremlagde deres analyse af en termostat fra Nest på konferencen Blackhat og afslørede et gabende hul. Det skriver amerikanske Computerworld.com.

Har man fysisk adgang til en enhed fra Nest, kan man nemlig på bare 15 sekunder overtage styringen af dimsen fuldstændigt. Det sker ved at nulstille termostaten og tilslutte et USB-drev med sin egen software. Så booter enheden fra USB-nøglen, og man kan gøre lige, hvad man har lyst til med Nest-termostaten.

På egen hånd kan en Nest-enhed inficeret med malware bruges til at spionere på husets beboere, for eksempel ved at sende beskeder af sted om, hvornår der er nogen hjemme. Men fordi den er tilsluttet netværket, og koderne til netværket ligger tilgængelige i klartekst, kan en hacker også udnytte en Nest-enhed som en trædesten til angreb på mere traditionelle computere i hjemmet.

At få fysisk adgang er naturligvis ikke trivielt, når enheden er monteret derhjemme bag lås og slå, men angrebet kunne lige så vel sættes ind, før en enhed blev solgt til slutbrugeren, forklarede sikkerhedsfolkene Yier Jin, Grant Hernandez, Orlando Arias og Daniel Buentello i oplægget på Blackhat.

Problemer med den slags angreb og potentielt misbrug begrænser sig næppe til produkter fra Nest, men vil nok være at finde i alle mulige små enheder til fremtidens Internet of Things, lød vurderingen.

Se materialet fra Blackhat-præsentationen (pdf).

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (12)
Adam Tulinius

"Termostater og andre dimser fra firmaet Nest, som Google har opkøbt, er meget nemme at overtage for en hacker med fysisk adgang"

Breaking news: Almindelige computere har kæmpe sikkerhedshul! Med fysisk adgang er det nemt at kompromittere dem.

"Problemer med den slags angreb og potentielt misbrug begrænser sig næppe til produkter fra Nest, men vil nok være at finde i alle mulige små enheder til fremtidens Internet of Things, lød vurderingen."

Ligesom det er et potentielt problem med alt IT man køber i dag, lige fra computere, tv, tablets, billedrammer...

Claus Tjørndal

"Det sker ved at nulstille termostaten og tilslutte et USB-drev med sin egen software........
Men fordi den er tilsluttet netværket, og koderne til netværket ligger tilgængelige i klartekst"

Hvis man nulstiller enheden, vil det vel betyde at man sletter indholdet og derved også wifi konfiguration for det pågældende netværk den har været logget på eller hvad?

Mads Bendixen

Haha :-) Dog er resten af det man kan ved at angribe Nest, lidt mere alvorligt.


Ligesom du kan montere et kamera i den gode gamle slags, hvis man har fysisk adgang til den. Eller måske bare skjule en mikrofon, så kan du høre alt.

Det er ret tåbeligt det er. Hvis først en "angriber" har fysisk adgang til enheder placeret i dit hjem, så har du et alvorligt problem, uanset hvilke enheder der er.

Daniel Gertsen

Det er ret tåbeligt det er. Hvis først en "angriber" har fysisk adgang til enheder placeret i dit hjem, så har du et alvorligt problem, uanset hvilke enheder der er.

Enig. Hvis først angriber har fysisk adgang, har du et problem.

Jeg tror dog at problemet her er, hvis eksempelvis en stor virksomhed (en lufthavn fx) har termostater rundt omkring, som besøgende udefra kan komme til, uden det vækker stort opsigt.

Læren må være at holde den slags udstyr på et lukket "utility" VLAN, så det er afskåret fra vigtige data.

Det er dog en god måde at gøre det på, uanset.
Og det ved jeg da at mange (de fleste?) virksomheder allerede gør, når det gælder useriøst/eksternt udstyr - eksempelvis hvis man sætter en infoskærm op, der blot viser nyheder fra TV2 News eller lignende - så skærer man det væk fra resten af virksomhedens netværk.

Det har jeg da i hvert fald altid gjort.
Og det gælder da også hjemme i privaten - min indbrudsalarm's boks har adgang til internettet via wifi ja, men har ikke adgang til noget andet.

Det samme gælder måleren på min elmåler, der dog er tilsluttet via kabel, men stadig på separat VLAN.

Simon Mikkelsen

Hvis man læser kildematerialet bliver det mere åbenlyst, at artiklen sætter det primære fokus på en irrelevant pointe: At man med fysisk adgang til denne specifikke termostat kan installere ondsindet software på den og det er Googles skyld.

Problemet er mere generelt, nemlig at man på alle de dimser vi putter på internettet, kan installere ondsindet software, der kan bruges til alle tænkelige og utænkelige ting. Det kan være alt fra at hjælpe organiserede kriminelle med at begå indbrud til at snage i vores privatliv. Jeg kunne godt opridse en masse muligheder, men der skal nok være meget mere kreative folk der ender med at udnytte det til ting de færreste kunne tænke på.

Erling Sjørlund

En røgalarm i en P-kælder er jo ikke låst inde døgnet rundt. Det samme gælder en regn- vind- temperaturmåler. Hvis man ved at reboote sådan en enhed med et inficeret styresystem kan skaffe sig adgang til det iøvrigt sikrede netværk, så er der altså et reelt problem.

Daniel Gertsen

Er jeg forresten den eneste, der når jeg læser "gabende sikkerhedshul" i overskriften, forventer et sikkerhedshul der er bare LIDT mere sårbart, end at det kræver fysisk adgang til enheden for at udnytte det?

For i så fald, er jeg ret sikker på at omkring 80-95 % af samtlige pc'er, Smart-TV'er, Routere, Blu-Ray afspillere, spillekonsoller osv. har "gabende sikkerhedshuller" lige nu.

Log ind eller Opret konto for at kommentere
Pressemeddelelser

Welcome to the Cloud Integration Enablement Day (Bring your own laptop)

On this track, we will give you the chance to become a "Cloud First" data integration specialist.
15. nov 2017

Silicom i Søborg har fået stærk vind i sejlene…

Silicom Denmark arbejder med cutting-edge teknologier og er helt fremme hvad angår FPGA teknologien, som har eksisteret i over 20 år.
22. sep 2017

Conference: How AI and Machine Learning can accelerate your business growth

Can Artificial Intelligence (AI) and Machine Learning bring actual value to your business? Will it supercharge growth? How do other businesses leverage AI and Machine Learning?
13. sep 2017
Jobfinder Logo
Job fra Jobfinder