Las cerraduras inteligentes pueden no ser tan inteligentes como esperas

Cuando se trata de seguridad de bloqueo inteligente, los usuarios a menudo se preocupan de que un pirata informático pueda eludir la seguridad incorporada de un dispositivo para obtener acceso a su hogar. Sin embargo, Bitdefender ha descubierto una nueva vulnerabilidad en August Smart Lock Pro + Connect que podría dar a un hacker acceso completo a toda la red Wi-Fi de un usuario. PCMag se ha asociado con el equipo de seguridad de IoT de Bitdefender para obtener información sobre las fallas de seguridad que afectan a los dispositivos domésticos inteligentes y el medio de noticias ha publicado un nuevo informe sobre el asunto, mientras que la empresa de seguridad ha publicado un documento técnico titulado "Cracking the August SmartLock: WiFi Password Escuchar a escondidas es fácil ”.
Durante su última ronda de pruebas de dispositivos IoT, el equipo de seguridad de la empresa dirigido por Alex ”Jay” Balan decidió investigar el August Smart Lock Pro + Connect para ver si había alguna vulnerabilidad presente en el dispositivo. El bloqueo inteligente se controla mediante una aplicación de teléfono inteligente que se conecta al dispositivo mediante Bluetooth Low Energy (BLE) cuando está dentro del alcance o por Internet cuando un usuario está lejos de su hogar. El equipo de seguridad de Bitdefender descubrió que todos los comandos entre la aplicación y el candado inteligente están encriptados y "no se pueden interceptar ni modificar".
Además, el puente Connect de August solo funciona si un usuario tiene un candado de August registrado en su cuenta. August Smart Lock Pro + Connect necesita conectarse a la red Wi-Fi local de un usuario para funcionar. Para configurar el dispositivo, los usuarios deben poner su cerradura inteligente en modo de configuración, lo que hace que actúe como un punto de acceso y la aplicación transmite sus credenciales de inicio de sesión de Wi-Fi al dispositivo.
Sin embargo, el equipo de Bitdefender descubrió un problema con este sistema ya que las credenciales no están protegidas de ninguna manera durante este intercambio. Esto significa que un pirata informático que escuche la red podría capturar estas credenciales y obtener acceso completo a la red de un usuario. El pirata informático tendría que estar espiando la red en el momento exacto en que tiene lugar el intercambio para capturar las credenciales de una red, pero los investigadores pudieron encontrar una manera de forzar el reingreso de las credenciales.
August incorporó cifrado en su aplicación para que un pirata informático que fisgoneara en una red Wi-Fi no pudiera robar estas credenciales directamente. Sin embargo, la empresa codificó la clave de cifrado en el firmware de su cerradura inteligente. Según Bitdefender, la clave se cifra mediante un cifrado muy simple llamado ROT-13.
Bitdefender informó a August de sus hallazgos en diciembre pasado y el fabricante de hardware respondió con una propuesta de divulgación mutua que estaba programada para junio de este año. Sin embargo, la comunicación entre las dos empresas se rompió y Bitdefender decidió revelar la vulnerabilidad tras un período de 90 días en el que August podría realizar las correcciones necesarias a su bloqueo inteligente. Cuando PCMag se acercó a August antes de publicar su informe, un portavoz de la compañía proporcionó la siguiente declaración: “El equipo de August está al tanto de la vulnerabilidad y actualmente está trabajando para resolver el problema.
En este momento, no tenemos conocimiento de ninguna cuentas de clientes afectadas ". A través de PCMag.