IT Manager Безпека загрози

| 24.08.2018

Нове дослідження компанії Avast (LSE: AVST), показало, що більш: 49 000 мережевих протоколів MQTT загальнодоступні в Інтернеті через некоректну конфігурації. Серед них більше 32 000 серверів, які не захищені паролем. У Росії під загрозою витоку даних виявилося 703 сервера.

Протокол MQTT використовується для підключення до пристроїв розумних будинків і управління ними через центр управління розумним будинком. Користувачі налаштовують сервер при установці протоколу MQTT. Сервер зазвичай функціонує на комп'ютері або міні-комп'ютер користувача, такому як Raspberry Pi, до якого пристрою можуть підключатися і взаємодіяти.

Хоча сам протокол MQTT є захищеним, можуть виникнути серйозні проблеми з безпекою, якщо він розгорнутий і налаштований неправильно. Кіберзлочинці можуть отримати повний доступ до будинку, щоб дізнатися, коли їх власники знаходяться вдома, управляти мультимедійними системами, голосовими помічниками і побутовими пристроями, а також перевіряти, чи закриті розумні двері і вікна. При певних умовах вони можуть навіть відстежувати місцезнаходження користувача, що може бути серйозною загрозою конфіденційності та безпеки.

«Отримати доступ до розумного будинку і керувати ним лякаюче легко. Як і раніше існує багато застарілих і слабо захищених протоколів, створених в той час, коли безпека не була такою гострою проблемою, - зазначив Мартін Хрін, фахівець з безпеки компанії Avast. - Користувачі повинні знати про проблеми безпеки підключення пристроїв розумних будинків до служб, які їм не зовсім зрозумілі, а також про необхідність правильного налаштування системи ».

Мартін Хрін описує п'ять способів, як хакери можуть незаконно використовувати некоректно сконфігуровані сервери MQTT:

1. Відкриті і незахищені сервери MQTT можна знайти за допомогою пошукової системи Shodan IoT. Підключившись, хакери зможуть читати повідомлення, що передаються за допомогою протоколу MQTT. Дослідження показують, що хакери, наприклад, можуть відстежити, чи відкриті розумні вікна, двері і світло. В цьому випадку зловмисники можуть управляти підключеними пристроями або, як мінімум, міняти дані, використовуючи протокол MQTT від імені пристроїв. Таким чином зловмисник може, наприклад, відправити в центр управління розумним будинком повідомлення для відкриття дверей гаража.
2. Навіть якщо сервер MQTT захищений, розумний будинок можливо зламати, так як в деяких випадках панель моніторингу, яка використовується для управління контрольною панеллю будинку, працює на тому ж IP-адресу, що і сервер MQTT. Багато користувачів використовують конфігурації за замовчуванням, які поставляються з ПО центру управління розумним будинком, а вони часто не захищені паролем. Це означає, що хакер може отримати повний доступ до панелі моніторингу розумного будинку, що дозволить хакеру управляти будь-яким пристроєм, підключеним через неї.
3. Навіть якщо сервери MQTT і панель управління захищені, при використанні ПО для центрів управління розумним будинком або розумного помічника Home Assistant, відкриті і незахищені загальні блоки серверних повідомлень (SMB) є загальнодоступними, в тому числі для хакерів. SMB - це протокол, який використовується для обміну файлами у внутрішніх мережах, головним чином на платформі Windows. Компанія Avast виявила загальнодоступні каталоги з усіма файлами Home Assistant, включаючи файли конфігурації. У доступних файлах компанія знайшла файл з паролями і ключами, що зберігаються у вигляді звичайного тексту. Паролі, що зберігаються в файлі конфігурації, можуть дати хакеру повний контроль над будинком.
4. Щоб керувати підключеними пристроями, власники розумних будинків можуть використовувати інструменти і додатки для створення панелі моніторингу розумного будинку на основі протоколу MQTT. За допомогою спеціального додатку MQTT Dash користувачі можуть створити власну панель моніторингу та панель управління для контролю над розумними пристроями з використанням протоколу MQTT. За допомогою панелі моніторингу на сервері MQTT користувачі можуть публікувати настроюються параметри, тому вони можуть легко дублювати налаштування на будь-якій кількості пристроїв. Якщо використовуваний сервер MQTT небезпечний, хакер може з легкістю отримати доступ до панелі моніторингу користувача, що дозволяє йому зламати розумний будинок без будь-яких труднощів.
5. У деяких випадках MQTT дозволяє хакерам відстежувати місце розташування користувачів, так як сервери MQTT зазвичай фокусуються на даних реального часу. Багато сервери MQTT підключені до мобільного додатку OwnTracks. З його допомогою користувачі можуть ділитися інформацією про своє місцезнаходження з іншими користувачами. Також воно може використовуватися власниками розумних будинків, щоб повідомляти встановленим будинку розумним пристроїв про наближення користувача до дому, наприклад, для включення розумних світильників. Щоб налаштувати функцію відстеження, користувачам необхідно налаштувати додаток, підключившись до сервера MQTT і надати йому доступ до мережі Інтернет. Під час цього процесу введення облікових даних для входу не потрібно, що означає, що з'єднатися з сервером MQTT може будь-яка особа. Використовуючи точки широти, довготи і висоти, а також тимчасову мітку положення, хакери можуть читати повідомлення, що включають в себе відомості про рівень заряду батареї пристрою і розташування.

Повне дослідження компанії Avast можна знайти в блозі Avast.

Ключові слова: кіберзагрози , безпеку

компанія: Avast