100mphLider
55piorunówNa kanwie dzisiejszych wydarzen zwiazanych z atakiem hackerskim na lodowki sklepowe w calej Polsce ... pozdrawiam wszystkich, ktorzy maja piece podlaczone do smarthome i inne urzadzenia sterowane przez internet.
#polskiedomy #smarthome #cyberbezpieczenstwo #technologia #internet
@100mph przecież większość tych domowych urządzeń jest dostępne przez chmurę producenta i nie ma panelu admina wystawionego do neta. Na shodanie swojej lodówki LG nie znajdziesz.
@FoxtrotLima - brak panelu admina dostępnego z internetu nie oznacza braku ekspozycji. Shodan pokazuje głównie usługi, które da się znaleźć i rozpoznać z zewnątrz a urządzenie sterowane przez chmurę może w ogóle nie nasłuchiwać połączeń przychodzących, a mimo to zależeć od aplikacji, API i infrastruktury producenta. Bezpieczeństwo trzeba więc oceniać dla całego produktu, nie tylko samego sprzętu.
Najważniejsze zagrożenia:
* Problemy w chmurze lub API producenta - błędy uwierzytelniania i kontroli dostępu mogą ujawnić dane albo pozwolić przejąć konto czy sterowanie urządzeniem. Urządzenie nie musi być bezpośrednio widoczne w internecie.
* Przejęcie konta użytkownika - wyłudzone, powtórnie używane lub słabe hasło do aplikacji może dać dostęp do urządzeń i danych przypisanych do konta.
* Wyciek danych - urządzenie może wysyłać do chmury informacje o użytkowaniu, harmonogramach, lokalizacji albo stanie domu; ryzyko dotyczy zarówno transmisji, jak i przechowywania danych.
* Niebezpieczne aktualizacje lub nieaktualne oprogramowanie - luki w firmware, bibliotekach, aplikacji lub usłudze chmurowej mogą pozostać niezałatane, zwłaszcza gdy producent zakończył wsparcie.
* Przejęcie urządzenia przez sieć lokalną - atakujący, który już dostał się do domowej sieci, może szukać słabo zabezpieczonego urządzenia lub wykorzystać je jako punkt wejścia do innych sprzętów. To inne ryzyko niż bezpośredni dostęp z internetu.
* Awaria lub przejęcie usługi producenta - może przerwać zdalne sterowanie, ujawnić dane albo - zależnie od projektu - umożliwić nieuprawnione wydawanie poleceń. Zależność od chmury to także ryzyko dostępności, nie tylko poufności.
* Botnet lub nadużycie zasobów - zainfekowane urządzenie może zostać użyte do ataków na innych, nawet jeśli właściciel nie wystawił mu publicznego panelu. NIST wymienia zarówno ryzyko botnetów, jak i problem niewystarczającego monitorowania oraz aktualizacji w urządzeniach IoT.
@koszotorobur dzięki za ten ai slop
@FoxtrotLima Nawet jeśli coś słucha tylko lokalnie, to poza wymienionymi powyżej opcjami, "fajnym" patentem na atak jest XSS na jakąś stronkę, który osadza tam skrypt robiący intranet CSRF (atak, gdzie JS preparuje request na 192.168.X.X albo inny lokalny adres, i robi tam niecne rzeczy).
@FoxtrotLima - nie ma za co - zawsze do usług jeśli widzę, że trzeba trochę więcej informacji dla nieświadomków wcisnąć, oczywiście za leniwy jestem by sam pisać, ważne, że z grubsza się info zgadza :smirk:
@FoxtrotLima a co tam się nie zgadza? Z tego co czytam, to raczej wszystko ok i przykłady też ok. Może tylko pierwszy się dubluje z przedostatnim, chociaż nie do końca.
Pytam, bo jak tam widzisz błędy, to powinienem je też widzieć, bo za kilka tygodni mam egzamin z podstaw cyberbezpieczeństwa.
@100mph piece xd oni mają kamery w pokojach dziecięcych nawet bez hasła albo domyślnym.
Swego czasu zobaczenie co się dzieje u sąsiadów to był banał i w sumie dalej jest. Kiedyś kolega się ze mną kłócił że przecież ma hasło to nic się nie stanie, to mu pokazałem ile podatności ma jego router i jego kamera (aktualizacja firmware nigdy) xD + pokazałem mu na koniec konserwacji ile jest stron dla normików z dostępem do takich kamer, niby pokazują tylko ip i obraz ale wejście to był banał, a nawet można było dźwięki puszczać i straszyć Hindusów.
@Czokowoko kamera w pokoju bobasa nie jest tak grozna jak piec CO i CWU gotujacy wode
@100mph kazdy nowy piec CO ma czujnik ktory go wyłącza. Co wiecej czujnik jest jest mechaniczny wiec tutaj raczej ciezko bedzie cos zjebać
@Bystrygrzes tak ale możesz np. w CWU puścić wodę o temperaturze, którą ktoś się poparzy
@100mph przecież w CWU standardowo płynie woda którą możesz się poparzyć oO
Pasuje żeby się jednak ta Legionella nie panoszyła, a od regulacji temperatury w docelowym odbiorniku jest nie wiem, bateria termostatyczna kranu?


















