Aanvaller kan wifi-wachtwoord stelen via slimme ledlamp van TP-Link
Een aanvaller kan door middel van kwetsbaarheden in een slimme ledlamp van fabrikant TP-Link het wifi-wachtwoord van gebruikers stelen, zo hebben onderzoekers van de Universita di Catania en Royal Holloway University of London aangetoond (pdf). TP-Link heeft inmiddels updates voor de firmware van de lamp en bijbehorende app uitgebracht.
De problemen zijn aangetoond in de TP-Link Tapo L530E. Gebruikers kunnen de lamp, die toegang moet hebben tot het wifi-netwerk van de gebruiker, via een bijbehorende app bedienen. Vier kwetsbaarheden, met betrekking tot de authenticatie en vertrouwelijkheid, maken het mogelijk om verschillende soorten aanvallen uit te voeren. Zo is er een gebrek aan authenticatie van de lamp bij de Tapo-app. Daardoor kan een aanvaller zich bij de app authenticeren en als lamp voordoen. Verder wordt er tussen de lamp en app gebruikgemaakt van een hard-coded secret. Dit secret is echter kort en wordt gelekt door zowel de app als de lamp.
De onderzoekers stellen dat de vier kwetsbaarheden vijf aanvallen mogelijk maken. Bij één van die aanvallen kan de aanvaller een wifi deauthenticatie-aanval uitvoeren, waardoor de lamp de verbinding met het wifi-netwerk van de gebruiker verliest. De gebruiker zal dan de lamp resetten. De aanvaller plaatst zich vervolgens tussen de gebruiker en de lamp en kan zo het wifi-wachtwoord van de gebruiker achterhalen, alsmede de inloggegevens die het slachtoffer gebruikt om zich bij de Tapo-app aan te melden. TP-Link werd op 25 februari over de kwetsbaarheden geïnformeerd en liet op 16 juni weten dat de problemen waren verholpen door middel van updates voor de lamp en app.
Als ICT'er wil ik er niet aan denken om alles "smart" te maken...
Het zal je maar gebeuren, je LED-lamp wordt gehacked, de buur logt in op je netwerk, download KP en de politie staat de volgende dag voor je deur terwijl de hele buurt staat te kijken...Niet zo'n leuke gedachte.
En ja, je bent onschuldig, maar alleen nadat politie al je systemen hebben doorgelicht en je huis doorzocht.
Alleen... Hoe leg je dat aan de buren uit, wie gelooft je? Dan kun je beter verhuizen.
Zulke afschuwelijke scenarios kunnen gebeuren door zoiets simpels.
Helaas veranderen mensen vaak het standaard wachtwoord niet wat ook redelijk gemakkelijk is te kraken IMO.
Vaak is het iets zoals "EWHA337" ofzoiets... Redelijk gemakkelijk te bruteforcen. Daarnaast staat het wachtwoord achterop de modem, als dat ding in de huiskamer staat kunnen bezoekers er een foto van maken, en het is nog erger als dat ding voor het raam staat...
Dan gaan mensen rustig in een autoootje zitten met een smartphone of laptop op de parkeerplek voor je huis zonder dat iemand dat doorheeft.
Daarnaast hebben mensen soms een oude router of firmware waardoor er gebrekken inzitten zoals het laten aanstaan van wps waarmee de WiFi sleutel terug kan worden berekend.
LoL
Ik heb ook mn wielen van mn auto gehaald. je moet er toch niet aan denken dat die gestolen wordt...
zeker geen Sonos gebruiker?
Het zal je maar gebeuren, je LED-lamp wordt gehacked, de buur logt in op je netwerk, download KP en de politie staat de volgende dag voor je deur terwijl de hele buurt staat te kijken...Niet zo'n leuke gedachte.
En ja, je bent onschuldig, maar alleen nadat politie al je systemen hebben doorgelicht en je huis doorzocht.
Alleen... Hoe leg je dat aan de buren uit, wie gelooft je? Dan kun je beter verhuizen.
Zulke afschuwelijke scenarios kunnen gebeuren door zoiets simpels.
een bepaald IP adres afkomt, dat (om allerlei redenen) nog niet meteen betekent dat het van een persoon afkomt, en
zal dus altijd eerst extra bewijs verzamelen voor dat men tot actie overgaat.
Je moet je meer zorgen maken dat de buurman jouw account gebruikt om films te delen op bittorrent, want dan krijg
je te maken met instanties als BREIN, die niet de mogelijkheid hebben om juridisch op te sporen en dus wel die simpele
associatie "het is jouw IP dus ben jij het" (moeten) maken.
Voor remote access naar thuisnetwerk is een VPN de
oplossing. Ja ik heb liever zelf de controle.
Gewoon een simpel dingetje dat je even snel op je telefoon zet en dan kun je er van alles mee. Van je krultang tot je koelkast tot je tot je lampies in de kerstboom en je elektriese otow en een hele covid epidemie. Die in de toekomst zelfs met AI al vantevoren gaan weten wat je wil. Zodat je zelf eigenlijk niks meer moet doen.
Technisch was dat hele idee van apps helemaal niet slecht. Net zo goed als dat er in de oudere programmeerkunde libraries kwamen die heel handig waren. Alleen toen zaten de privacywolven er nog niet achter, gedreven door gepensioneerden met beleggingen die rendement zochten. Dat hele concept is daardoor naar de klootjes gedraaid. Vooral omdat er ook beloofd werd dat alles gecontroleerd zou worden terwijl die telefoon jochies zelf ook in de privacy graai modus zaten. Als ik nu wat zie met een app, in plaats van hebbeding effect, denk ik, verkoop dat maar lekker aan de Chinezen. Met je app.
Voor remote access naar thuisnetwerk is een VPN de
oplossing. Ja ik heb liever zelf de controle.
Updates worden bij mij door Home Assistant verstrekt (of niet, en dan gaat het apparaat uit het netwerk).
P.S. Ik heb nog een hele set "smart" pluggen van Plugwise en Frient te koop. ;-)
Peter
Voor remote access naar thuisnetwerk is een VPN de
oplossing. Ja ik heb liever zelf de controle.
zeker geen Sonos gebruiker?
Je kan perfect heel selectief het nodige UDP verkeer relayen tussen verschillende VLANs zodat je geen volledige toegang moet geven.
Vooral als ik UPnP moet aanzetten - gaan er bij mij rode zwaailichten af. Dat protocol mag door niks, maar dan ook echt niks gebruikt worden.
Wat ik me afvraag is, hoeveel mensen hacken hun Tuya IoT-speeltjes (dat is echt een hele grote speler, zodat deze lokaal blijven?).
De cloud helpt u wellicht niet. Luiheid heeft zijn prijs (en 1% controle door een chinese hacker volstaat om heel der electriciteitsnetwerken te laten plat gaan - jawel).
Hou u aan de standaard protocollen - zigbee, zwave en consoorten - en blijf weg van die merk-eigen prullen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
