Slimme waterkoker iKettle 2.0 lekt wifi-sleutel
Een slimme waterkoker waarmee het mogelijk is om via het lokale wifi-netwerk water te koken blijkt de wifi-sleutel te lekken. Dat heeft beveiligingsonderzoeker Ken Munro van het Britse Pen Test Partners ontdekt. De iKettle 2.0 is een door Smarter ontwikkelde waterkoker die via de smartphone is te bedienen.
In de eerste versie van de waterkoker bleek dat het apparaat kwetsbaar is voor een aanval waarbij de aanvaller een kwaadaardig wifi-netwerk opzet. De waterkoker blijkt namelijk alleen het SSID voor verificatie te gebruiken. Zodra de waterkoker met het kwaadaardige wifi-netwerk verbinding maakt kan een aanvaller via Telnet de WPA-sleutel van het oorspronkelijke wifi-netwerk in platte tekst achterhalen en hier verbinding mee maken.
Sinds Munro de problemen met de eerste iKettle in juni demonstreerde is er een nieuwe versie op de markt verschenen, de iKettle 2.0. Deze versie heeft ondanks het nieuwe versienummer met dezelfde problemen te maken, aldus Munro. Het achterhalen van de wifi-sleutel zou vooral eenvoudig zijn als de Android-app voor het bedienen van de waterkoker wordt gebruikt, maar de aanval is ook bij gebruikers van de iPhone-app uit te voeren.
De onderzoeker adviseert eigenaren van de slimme waterkoker om die alleen aan te zetten als er water moet worden gekookt en daarna weer uit te zetten. Verder moet een eventuele update van de fabrikant direct worden geïnstalleerd. Daarnaast wordt geadviseerd om geen onzinnige 'Internet of Things' apparaten aan het thuisnetwerk te hangen, tenzij de beveiliging van de fabrikant is getest en bewezen.
Vroeg of laat moet je toch naar de keuken lopen om je thee te zetten.
Quote van de dag:
Als ik dat lees dan visualiseer ik een parabool die het lokale wifi signaal bundelt op een klein keteltje.
Dan bedenk ik, het kan wel even duren voordat het water kookt. ;-)
O, en met een druk op de "share" knop kan ik via Facebook de hele wereld laten weten dat ik water heb gekookt!
Wacht even, eerst de firmware van de waterkoker bijwerken
waterkokers met beveiligingslekken, ijskasten met sjoemelsoftware, afluistertelevisies...
veel gekker moet het niet worden.
- Duizenden auto's in een botnet, op afstand tegelijkertijd te crashen of te gebruiken als transportmiddel van explosieven voor terroristen (geen zelfmoordenaars meer nodig!)
- Waterkokers die blijven doorkoken, ook al zit er geen water in de koker (idem voor frituurpannen, koffiezetapparaten, enzovoorts)
- 'Slimme' energiemeters die gemanipuleerd worden (herinnerd u Volkswagen nog?)
- 'Slimme' sloten/deuren op afstand ontgrendelen via een security bug
- 'Smart-TV's die meeluisteren en meekijken naar wat u doet
- IoT Koelkasten die worden overbelast en in de brand vliegen
Je kunt eindeloos doorgaan. Hoe goed je het ook wilt beveiligen, dit soort apparaten horen niet aan het internet te hangen. Want; iedere beveiliging valt te kraken.
Ik wacht gewoon op een lekker wijf die mij wakker maakt met een goeie bak koffie.
En eigenlijk maar goed ook, want als iedere wilde uitvinder stopt bij de eerste die zegt "where is the fun in that?" dan waren we nooit zoveel verder gekomen dan grotten en misschien een enkel berenvel. Je ziet pas achteraf of iets aanslaat, of wat voor mogelijkheden het nog meer biedt.
Al die waanzinnige uitschieters moeten we vooral voor lief nemen. Een puur functionele wereld is een dystopie.
Ik wacht gewoon op een lekker wijf die mij wakker maakt met een goeie bak koffie.
Ja en slim hoeft ze niet eens te zijn.
Ik wacht gewoon op een lekker wijf die mij wakker maakt met een goeie bak koffie.
Ja en slim hoeft ze niet eens te zijn.
Bij wie ligt de schuld als een waterkoker of cv-ketel straks heter worden dan de gestelde veilige limieten via het internet, of als een auto via het internet een dodelijk verkeersongeval veroorzaakt?
Bij de eigenaar? Die verwacht een deugdelijk product.
Bij de leverancier? Die voldeed aan de gestelde veiligheidseisen.
Bij de keurende partij die het apparaat veilig verkondigde? Die keurt op basis van wat wettelijk keuringskaders.
Bij de wetgever? Die kan zich beroepen op verschoning van aansprakelijkheid mits er geen hiaat in de wetgeving bestaat.
Waar hebben we verplichte veiligheidskeuringen voor als er bij die keuringen geen rekening wordt gehouden met de onveiligheid door het koppelen aan het internet van een keuringsplichtig product?
Haha, waarom heeft een waterkoker updates nodig? Bestaat er een kans dat over een paar maanden water op een andere manier gekookt moet worden?? Er komen steeds meer overbodige smart-apparaten, dat mag duidelijk zijn.
Daarnaast is het weer een extra apparaat dat door een onverstandige (of onwetende) consument in een huishouden terecht kan komen dat volstrekt onnodig gebruik maakt van draadloze communicatie, terwijl nog steeds niet bewezen is dat deze straling ongevaarlijk is voor de gezondheid. In feite haalt u een 'not safety tested' apparaat in huis..
Alles, maar dan ook ALLES gaat zo lek als een mandje worden.
Vroeger had je een PC, de enige manier om gehackt te worden, nu heb je smartphones, smart tv's, smart koelkasten die al mail spam versturen, iKettles die WiFi wachtwoorden lekken.
Hardware en software worden steeds sneller gemaakt en steeds korter onderhouden.
Dit is nog maar het begin, en ik ga me kapot lachen wanneer al deze "hippe" mensen problemen krijgen.
https://tools.ietf.org/html/rfc2324
https://tools.ietf.org/html/rfc7168
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
