WeMo產(chǎn)品可以讓人們通過智能手機和計算機遠程控制電燈開關(guān)、網(wǎng)絡攝像頭、傳感器和其他家用電器。根據(jù)安全公司IOActive人員的研究，通過設置密碼和簽名密匙來保證固件更新，確實行之有效。但是黑客會使用證書繞過WeMo的安全檢查，或者偽裝成Belkin的官方版本植入偽裝固件。
當用戶連接到Belkin服務器，WeMo設備是無法驗證安全證書的正規(guī)性的，即使安裝的是最新版本。另外，通過手機或者電腦接收的固件更新通知也沒有使用加密通道。IOActive研究員Mike Davis說，他可以先利用這些漏洞給WeMo產(chǎn)品發(fā)送固件更新的假消息，然后在更新時偷偷地給產(chǎn)品裝上惡意固件。
Davis說，這個惡意固件可以進入未加密的WeMo設備并且通過黑客發(fā)送的信息來感染其他的家電。更嚴重的是，攻擊者也可以通過功能方面的漏洞來改變設備的使用狀態(tài)。上個月發(fā)布的一個視頻就展示了通過惡意攻擊來反復打開和關(guān)閉一個臺燈。黑客們也可以用這樣的方法來控制家中的其他設備，從而破壞家庭安全系統(tǒng)。
為了防止這個問題，Belkin利用GDG加密來進行固件更新。然而不幸的是，Belkin本意可能是使用簽名和公鑰結(jié)合的對稱加密方式，卻誤用了GPG非對稱加密的功能，結(jié)果在他們的固件鏡像里強行分發(fā)了一個固件簽名秘鑰。這導致黑客可以輕松利用固件鏡像攻擊現(xiàn)在的WeMo設備。
WeMo產(chǎn)品的另一個漏洞與他們聯(lián)網(wǎng)的方式有關(guān)，一個監(jiān)測了幾個月的研究員表示，利用WeMo嬰兒監(jiān)視器上存在的漏洞，可以把它變成一個聯(lián)網(wǎng)裝置的監(jiān)控設備。
IOActive把這些漏洞做成報告發(fā)給了US-CERT，鑒于Belkin沒有對后者關(guān)于這些漏洞的通告作任何回應，US-CERT建議人們馬上停止使用WeMo設備。
目前尚不清楚可以怎樣應對IOActive所描述的這些概念性攻擊。報告省略了很多技術(shù)性細節(jié)，可能是為了讓讀到的人難以去模仿這些惡意攻擊。如果黑客真的可以利用這些漏洞而不需要去進行密碼配對，那么不用IOActive提醒，大家也會盡快拋棄WeMo產(chǎn)品。但是如果Belkin先通過停止更新等方法來鎖住產(chǎn)品，然后一一修復漏洞，可能會更好地解決這個問題——而不是就此丟棄。
Davis還說，使用防火墻來保護設備是無效的，因為WeMo使用的是繞過網(wǎng)絡地址轉(zhuǎn)換的協(xié)議。
a&s傳媒是全球知名展覽公司法蘭克福展覽集團旗下的專業(yè)媒體平臺，自1994年品牌成立以來，一直專注于安全&自動化產(chǎn)業(yè)前沿產(chǎn)品、技術(shù)及市場趨勢的專業(yè)媒體傳播和品牌服務。從安全管理到產(chǎn)業(yè)數(shù)字化，a&s傳媒擁有首屈一指的國際行業(yè)展覽會資源以及豐富的媒體經(jīng)驗，提供媒體、活動、展會等整合營銷服務。
粵公網(wǎng)安備 44030402000264號
