image

Aanvaller kan wifi-wachtwoord stelen via slimme ledlamp van TP-Link

dinsdag 22 augustus 2023, 10:46 door Redactie, 19 reacties

Een aanvaller kan door middel van kwetsbaarheden in een slimme ledlamp van fabrikant TP-Link het wifi-wachtwoord van gebruikers stelen, zo hebben onderzoekers van de Universita di Catania en Royal Holloway University of London aangetoond (pdf). TP-Link heeft inmiddels updates voor de firmware van de lamp en bijbehorende app uitgebracht.

De problemen zijn aangetoond in de TP-Link Tapo L530E. Gebruikers kunnen de lamp, die toegang moet hebben tot het wifi-netwerk van de gebruiker, via een bijbehorende app bedienen. Vier kwetsbaarheden, met betrekking tot de authenticatie en vertrouwelijkheid, maken het mogelijk om verschillende soorten aanvallen uit te voeren. Zo is er een gebrek aan authenticatie van de lamp bij de Tapo-app. Daardoor kan een aanvaller zich bij de app authenticeren en als lamp voordoen. Verder wordt er tussen de lamp en app gebruikgemaakt van een hard-coded secret. Dit secret is echter kort en wordt gelekt door zowel de app als de lamp.

De onderzoekers stellen dat de vier kwetsbaarheden vijf aanvallen mogelijk maken. Bij één van die aanvallen kan de aanvaller een wifi deauthenticatie-aanval uitvoeren, waardoor de lamp de verbinding met het wifi-netwerk van de gebruiker verliest. De gebruiker zal dan de lamp resetten. De aanvaller plaatst zich vervolgens tussen de gebruiker en de lamp en kan zo het wifi-wachtwoord van de gebruiker achterhalen, alsmede de inloggegevens die het slachtoffer gebruikt om zich bij de Tapo-app aan te melden. TP-Link werd op 25 februari over de kwetsbaarheden geïnformeerd en liet op 16 juni weten dat de problemen waren verholpen door middel van updates voor de lamp en app.

Image

Reacties (19)
22-08-2023, 10:57 door Anoniem
"Mijn lamp heeft mijn koelkast gehacked!" is dus een serieuze zin die je zou kunnen zeggen...

Als ICT'er wil ik er niet aan denken om alles "smart" te maken...
22-08-2023, 11:18 door Anoniem
Daarom heb ik alle IOT spul in een aparte vlan die geen toegang tot internet heeft.
22-08-2023, 11:45 door Anoniem
Jaja dus dan moet je zodanig in de buurt zijn dat die lamp een verbinding met jouw wifi ap maakt ipv met dat van de eigenaar. Op een moment dat de eigenaar het als een probleem ziet dat de lamp niet werkt. Dat zie ik niet als een realistisch scenario.
22-08-2023, 12:15 door Anoniem
Kan het niet laten, maar hoe kunnen we die hacker tegen de lamp aan laten lopen.
22-08-2023, 13:22 door Anoniem
Helaas is het mogelijk om illegale dingen te doen over andermans metwerk... Diegene onder verdenking is dan de gebruiker van het desbetreffende IP-adres.
Het zal je maar gebeuren, je LED-lamp wordt gehacked, de buur logt in op je netwerk, download KP en de politie staat de volgende dag voor je deur terwijl de hele buurt staat te kijken...Niet zo'n leuke gedachte.
En ja, je bent onschuldig, maar alleen nadat politie al je systemen hebben doorgelicht en je huis doorzocht.
Alleen... Hoe leg je dat aan de buren uit, wie gelooft je? Dan kun je beter verhuizen.
Zulke afschuwelijke scenarios kunnen gebeuren door zoiets simpels.
Helaas veranderen mensen vaak het standaard wachtwoord niet wat ook redelijk gemakkelijk is te kraken IMO.
Vaak is het iets zoals "EWHA337" ofzoiets... Redelijk gemakkelijk te bruteforcen. Daarnaast staat het wachtwoord achterop de modem, als dat ding in de huiskamer staat kunnen bezoekers er een foto van maken, en het is nog erger als dat ding voor het raam staat...
Dan gaan mensen rustig in een autoootje zitten met een smartphone of laptop op de parkeerplek voor je huis zonder dat iemand dat doorheeft.
Daarnaast hebben mensen soms een oude router of firmware waardoor er gebrekken inzitten zoals het laten aanstaan van wps waarmee de WiFi sleutel terug kan worden berekend.
22-08-2023, 13:39 door Anoniem
Ik dacht even dat het een side channel attack was die het licht van de lamp bekeek om er gegevens uit te filteren maar nee het zijn maar gewone kwetsbaarheden.
22-08-2023, 14:18 door Anoniem
Door Anoniem: Daarom heb ik alle IOT spul in een aparte vlan die geen toegang tot internet heeft.

LoL
Ik heb ook mn wielen van mn auto gehaald. je moet er toch niet aan denken dat die gestolen wordt...
22-08-2023, 14:24 door Anoniem
Geen wifi gebruiken,gebruik dan lan op het werk en prive
22-08-2023, 14:24 door Anoniem
Door Anoniem: Daarom heb ik alle IOT spul in een aparte vlan die geen toegang tot internet heeft.
Oh mijn IoT spullen zitten juist in een apart VLAN die ALLEEN toegang tot internet heeft, niet tot andere lokale spullen en tot andere spullen in hetzelfd VLAN (client isolation).
22-08-2023, 15:07 door Anoniem
Is dus geen slimme lamp...
22-08-2023, 16:05 door Anoniem
Door Anoniem:
Door Anoniem: Daarom heb ik alle IOT spul in een aparte vlan die geen toegang tot internet heeft.
Oh mijn IoT spullen zitten juist in een apart VLAN die ALLEEN toegang tot internet heeft, niet tot andere lokale spullen en tot andere spullen in hetzelfd VLAN (client isolation).

zeker geen Sonos gebruiker?
22-08-2023, 16:50 door Anoniem
Door Anoniem: Helaas is het mogelijk om illegale dingen te doen over andermans metwerk... Diegene onder verdenking is dan de gebruiker van het desbetreffende IP-adres.
Het zal je maar gebeuren, je LED-lamp wordt gehacked, de buur logt in op je netwerk, download KP en de politie staat de volgende dag voor je deur terwijl de hele buurt staat te kijken...Niet zo'n leuke gedachte.
En ja, je bent onschuldig, maar alleen nadat politie al je systemen hebben doorgelicht en je huis doorzocht.
Alleen... Hoe leg je dat aan de buren uit, wie gelooft je? Dan kun je beter verhuizen.
Zulke afschuwelijke scenarios kunnen gebeuren door zoiets simpels.
Nou nee hoor, dat is iets wat je nu zelf verzint, maar niet iets wat zomaar gebeurt. Justitie weet ook dat als iets van
een bepaald IP adres afkomt, dat (om allerlei redenen) nog niet meteen betekent dat het van een persoon afkomt, en
zal dus altijd eerst extra bewijs verzamelen voor dat men tot actie overgaat.
Je moet je meer zorgen maken dat de buurman jouw account gebruikt om films te delen op bittorrent, want dan krijg
je te maken met instanties als BREIN, die niet de mogelijkheid hebben om juridisch op te sporen en dus wel die simpele
associatie "het is jouw IP dus ben jij het" (moeten) maken.
22-08-2023, 18:49 door Anoniem
Door Anoniem:
Door Anoniem: Daarom heb ik alle IOT spul in een aparte vlan die geen toegang tot internet heeft.
Oh mijn IoT spullen zitten juist in een apart VLAN die ALLEEN toegang tot internet heeft, niet tot andere lokale spullen en tot andere spullen in hetzelfd VLAN (client isolation).
MOET je IoT spullen hebben dan?
22-08-2023, 19:28 door Anoniem
Door Anoniem:
Door Anoniem: Daarom heb ik alle IOT spul in een aparte vlan die geen toegang tot internet heeft.
Oh mijn IoT spullen zitten juist in een apart VLAN die ALLEEN toegang tot internet heeft, niet tot andere lokale spullen en tot andere spullen in hetzelfd VLAN (client isolation).
Mijn IOT zit in een eigen VLAN dat geen toegang heeft tot internet... ( voor updates wordt hetzij offline geupdate, of tijdelijk een enkel apparaat toegang geboden )
Voor remote access naar thuisnetwerk is een VPN de
oplossing. Ja ik heb liever zelf de controle.
22-08-2023, 20:18 door Anoniem
Dat hele idee van apps was best wel goed.

Gewoon een simpel dingetje dat je even snel op je telefoon zet en dan kun je er van alles mee. Van je krultang tot je koelkast tot je tot je lampies in de kerstboom en je elektriese otow en een hele covid epidemie. Die in de toekomst zelfs met AI al vantevoren gaan weten wat je wil. Zodat je zelf eigenlijk niks meer moet doen.

Technisch was dat hele idee van apps helemaal niet slecht. Net zo goed als dat er in de oudere programmeerkunde libraries kwamen die heel handig waren. Alleen toen zaten de privacywolven er nog niet achter, gedreven door gepensioneerden met beleggingen die rendement zochten. Dat hele concept is daardoor naar de klootjes gedraaid. Vooral omdat er ook beloofd werd dat alles gecontroleerd zou worden terwijl die telefoon jochies zelf ook in de privacy graai modus zaten. Als ik nu wat zie met een app, in plaats van hebbeding effect, denk ik, verkoop dat maar lekker aan de Chinezen. Met je app.
23-08-2023, 10:26 door Anoniem
Door Anoniem:
Door Anoniem:
Door Anoniem: Daarom heb ik alle IOT spul in een aparte vlan die geen toegang tot internet heeft.
Oh mijn IoT spullen zitten juist in een apart VLAN die ALLEEN toegang tot internet heeft, niet tot andere lokale spullen en tot andere spullen in hetzelfd VLAN (client isolation).
Mijn IOT zit in een eigen VLAN dat geen toegang heeft tot internet... ( voor updates wordt hetzij offline geupdate, of tijdelijk een enkel apparaat toegang geboden )
Voor remote access naar thuisnetwerk is een VPN de
oplossing. Ja ik heb liever zelf de controle.

Updates worden bij mij door Home Assistant verstrekt (of niet, en dan gaat het apparaat uit het netwerk).

P.S. Ik heb nog een hele set "smart" pluggen van Plugwise en Frient te koop. ;-)

Peter
23-08-2023, 17:38 door Anoniem
Door Anoniem:
Door Anoniem:
Door Anoniem: Daarom heb ik alle IOT spul in een aparte vlan die geen toegang tot internet heeft.
Oh mijn IoT spullen zitten juist in een apart VLAN die ALLEEN toegang tot internet heeft, niet tot andere lokale spullen en tot andere spullen in hetzelfd VLAN (client isolation).
Mijn IOT zit in een eigen VLAN dat geen toegang heeft tot internet... ( voor updates wordt hetzij offline geupdate, of tijdelijk een enkel apparaat toegang geboden )
Voor remote access naar thuisnetwerk is een VPN de
oplossing. Ja ik heb liever zelf de controle.
Als je helemaal geen IOT spullen koopt heb je nog meer controle.
24-08-2023, 11:38 door Anoniem
Door Anoniem:
Door Anoniem:
Door Anoniem: Daarom heb ik alle IOT spul in een aparte vlan die geen toegang tot internet heeft.
Oh mijn IoT spullen zitten juist in een apart VLAN die ALLEEN toegang tot internet heeft, niet tot andere lokale spullen en tot andere spullen in hetzelfd VLAN (client isolation).

zeker geen Sonos gebruiker?

Je kan perfect heel selectief het nodige UDP verkeer relayen tussen verschillende VLANs zodat je geen volledige toegang moet geven.
27-08-2023, 15:48 door Anoniem
Ik ga dit noteren in mijn zwarte lijst. Nu was ik al geen fan van TP-link materiaal wegens te goedkoop en te weinig software-fixes.
Vooral als ik UPnP moet aanzetten - gaan er bij mij rode zwaailichten af. Dat protocol mag door niks, maar dan ook echt niks gebruikt worden.
Wat ik me afvraag is, hoeveel mensen hacken hun Tuya IoT-speeltjes (dat is echt een hele grote speler, zodat deze lokaal blijven?).
De cloud helpt u wellicht niet. Luiheid heeft zijn prijs (en 1% controle door een chinese hacker volstaat om heel der electriciteitsnetwerken te laten plat gaan - jawel).
Hou u aan de standaard protocollen - zigbee, zwave en consoorten - en blijf weg van die merk-eigen prullen.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.