Փորձագետները հայտնաբերել են խելացի տները «գրավելու» բազմաթիվ եղանակներ

14-08-2019 11:25

Խելացի տների համակարգերը խոցելի են, և գոյություն ունեն դրանք «գրավելու» բազմաթիվ եղանակներ: Նման եզրակացության են հանգել «Կասպերսկի Լաբորատորիա»-ի փորձագետները՝ հիմնվելով սեփական և կողմնակի հետազոտությունների արդյունքների վրա:    Օրինակ՝ Fibaro ընկերության խելացի տան համակարգը ցանկացածին թույլ է տալիս ներբեռնել և ամպային սերվեր վերբեռնել կոնտրոլերի ծրագրային միջուկի պահուստային կրկնօրինակները. կոնտրոլերը կառավարում է մնացած բոլոր սարքերը՝ թերմոստատները, սրճեփները, հսկման համակարգերը: Եթե չարագործը ներբեռնի Fibaro-ի ամպում պահվող ընդհանրապես բոլոր պահուստային կրկնօրինակները, ապա կարող է գուշակել սարքերի պարզ և հաճախ հանդիպող գաղտնաբառերը: Թափանցելով ադմինիստրատորի պանել՝ նա կօգտագործի խոցելիություններից մեկը, որը թույլ է տալիս հեռավար կոդ գործարկել և ստանալ համակարգի գերօգտատիրոջ իրավունքներ ու տանն անել սրտի ուզածը: Այդ իրավունքները կարելի է ստանալ նաև բեքապի վնասաբեր պատճենն ստեղծելով ՝ այն սերվեր վերբեռնելով և համոզելով, որ զոհը տեղադրի «թարմացումը»: Դա կարելի է անել Fibaro-ի հաղորդագրությունը նմանակելու միջոցով: «Կասպերսկի Լաբորատորիա»-ի մասնագետները խոցելիությունների մասին պատմել են Fibaro-ի մշակողներին, և նրանք օպերատիվ կերպով շտկել են դրանք. այնպես որ գրոհների նկարագրված սցենարներն այլևս չեն աշխատում:    Խելացի տան Nest համակարգում նախատեսված են պարամետրեր, որոնք ընդհանուր են հսկողության համակարգերի և ավելի քիչ պաշտպանված սարքերի համար: Այդ պարամետրերի արժեքները գրանցվում են միասնական պահուստարանում: Դրանց հասանելիություն  ունեն բոլոր սարքերը, որոնց այդ պարամետրերն անհրաժեշտ են աշխատանքի համար: Եվ հաճախ ինչ-որ անջատիչ կամ թերմոստատ կարող է ոչ միայն ընթերցել իրեն հետաքրքրող արժեքները, այլև փոփոխել դրանք: «Տանն է/տնից դուրս» ռեժիմների կառավարման թույլտվություն ունեն Nest հարթակի հետ համատեղելի մի քանի սարքեր, որոնցից է Kasa անջատիչը: Դրա հավելվածը ստուգում է հավաստագրի իսկությունը, և եթե այն իսկական է, սերվերին գաղտնի ուղարկում է տոկեն՝ տեղեկատվություն, ըստ որի այն ճանաչում է տանտիրոջը: Եվ հավելվածը վստահել է ցանկացած հավաստագրի, որը կարելի է ցույց տալ սերվերին, եթե տանտերը միանում էր հանրային Wi-Fi-ին, և մտնելով նույն ցանց, չարագործը ձեռք էր գցում միացումը և հավելվածին ցույց էր տալիս SSL-հավաստագիրը: Ցանցահենը հենց սրճարանից հայտնում էր անջատիչին, որ տերը վերադարձել է, տեսահսկման խցիկն ընթերցում էր «տանն է» պարամետրը և դադարեցնում  տեսագրումը, ինչից հետո հանցագործը կամ նրա հանցակիցները կարող էին աննկատ տուն թափանցել: Kasa-ի մշակողները նույնպես շտկել են խոցելիությունն այն բանից հետո, երբ նրանց են դիմել հետազոտողները: Լուսավորման համակարգերի համար նախատեսված Philips Hue-ում խելացի տանը միանալու համար յուրաքանչյուր ծրագիր տիրոջը թույլտվության հարցում է կատարում: Այդ թույլտվությունը կարելի է տալ՝ սեղմելով կառավարման բլոկի ֆիզիկական կոճակը. բլոկի միջոցով Hue սարքերը փոխգործակցում են միմյանց հետ: Այդ կոճակը կարող է սեղմել ոչ միայն օգտատերը, այլև … ցանկացած ծրագիր, որն արդեն միացած է Hue-ին: Բանն այն է, որ համակարգի «ուղեղը» որոշում է, թե գործել է արդյոք կոճակն ըստ կառավարման բլոկի պարամետրերից մեկի արժեքի: Հենց այդ արժեքն էլ կարող են փոփոխել հավելվածները: Այնպես որ, հարթակ մուտք ունեցող  մեկ անբարեհույս ծրագիրը ի զորու է անվերահսկելի կերպով թույլտվություն տրամադրել այլ ծրագրերի, և նույնիսկ ավելին՝ նույն պարամետրի օգնությամբ կարելի է անջատել ավելի վաղ միացված բաղադրիչները: Խելացի տան կոտրանքի ռիսկը կարելի է նվազեցնել, եթե համակարգը գնելուց առաջ ուշադրություն դարձվի, թե արտադրողն ինչպես է արձագանքում հայտնաբերվող խոցելիություններին: Եթե ընկերությունը պատասխանատու կերպով է վերաբերվում հետազոտողների կողմից հայտնաբերված խնդիրներին և արագ վերացնում է դրանք, դա լավ նշան է: Պետք է ժամանակին տեղադրել  արտադրողների թողարկած թարմացումները, ինչպես նաև սարքերը և կառավարման պանելները պաշտպանել երկար ունիկալ գաղտնաբառերով: Այդ դեպքում չարագործը չի կարողանա գտնել տան «բանալին»: Հարկ է ճիշտ կարգավորել տնային անլար ցանցը, ծրագրերը ներբեռնել միայն պաշտոնական աղբյուրներից և դրանց տալ միայն անհրաժեշտ թույլտվություններ, ինչպես նաև հանրային Wi-Fi-ին միանալիս օգտագործել պաշտպանված միացում՝ VPN:  «Կասպերսկի Լաբորատորիա» ընկերության Հայաստանի ներկայացուցչություն

Lragir.am,
14-08-2019 11:25