Philipsove pametne žarnice kot vhodna vrata za hekerje

Vsepovezanost interneta stvari že dolgo sproža številne varnostne pomisleke, tu in tam se izkaže, da upravičeno. Že leta 2016 so raziskovalci pokazali, da je mogoče prevzeti oddaljeni nadzor nad pametnimi žarnicami, zdaj pa so razkrili, da se je prek žarnic moč dokopati tudi do bolj konkretnih tarč, torej računalnikov in druge opreme v omrežju. Spet so na zatožni klopi Philpsove Hue Smart Light Bulbs in nadzorna komponenta Bridge, saj so pri varnostnem podjetju Check Point razkrili varnostno vrzel, ki jo je mogoče izkoristiti po zraku, tudi s sto metrov oddaljenosti, si pridobiti vstop v brezžično omrežje, nato pa tudi nadzor nad napravami v njem.

Gre za hrošča poimenovanega CVE-2020-6007, ki izkorišča Philipsov način implementacije popularnega protokola Zigbee, ki je nekakšen posrednik pri medsebojni komunikaciji med napravami v omrežju. Raziskovalci (za zdaj) niso razkrili natančnega postopka vdora, so pa povedali, da sta zanj potrebna le prenosnik in antena.

Napadalec najprej prevzame nadzor nad pametno žarnico, s čimer jo napravi nedosegljivo za nadzorno aplikacijo, zaradi česar jo nič hudega sluteči uporabnik poskuša s ponovnim zagonom vnovič namestiti. Ko jo aplikacija odkrije, jo zazna kot napravo, nadgrajeno z novim firmwarom in jo doda v omrežje. Napadalec nato z veliko količino podatkov povzroči prelivanje pomnilnika (t. i. buffer overflow) na komponenti poimenovani Bridge, ki sprejema ukaze drugih naprav prek Zigbee protokola, kar omogoči namestitev zlobne kode na Bridge, s tem pa tudi v celotno omrežje in pripadajoče naprave. O vsem so pri Check Point posneli tudi video.

Ranljivost je bila lani novembra posredovana Philipsu, kjer so že izdali varnostni popravek, ki si ga je, če vam življenje osvetljujejo njihove pametne žarnice, pametno namestiti.