Abra puertas de garaje en cualquier parte del mundo utilizando este dispositivo «inteligente» – Ars Technica

La unidad de control de puerta de garaje líder en el mercado está plagada de vulnerabilidades de seguridad y privacidad tan graves que el investigador que la descubrió aconseja a cualquiera que la use que la desconecte inmediatamente hasta que pueda repararse.

Cada dispositivo de $ 80 para abrir y cerrar puertas de garaje, controlar alarmas de seguridad del hogar y enchufes inteligentes utiliza la misma contraseña genérica fácil de encontrar para comunicarse con los servidores Nexx. Los controladores también transmiten la dirección de correo electrónico no encriptada, la identificación del dispositivo y el nombre y apellido correspondientes a cada uno, junto con el mensaje requerido para abrir o cerrar la puerta, encender o apagar el enchufe inteligente o programar dicho comando para más tarde. tiempo.

Desconecte todos los dispositivos Nexx inmediatamente

El resultado: cualquier persona con una formación técnica moderada podría buscar en los servidores Nexx una dirección de correo electrónico, un ID de dispositivo o un nombre y luego emitir comandos a la consola asociada. (Los controladores Nexx para alarmas de seguridad para el hogar son vulnerables a una clase similar de vulnerabilidades). Los comandos permiten abrir la puerta, apagar un dispositivo conectado a un enchufe inteligente o desactivar la alarma. Peor aún, durante los últimos tres meses, los empleados de Nexx con sede en Texas no han respondido a múltiples mensajes privados que advierten sobre vulnerabilidades.

Escrito por el investigador que descubrió vulnerabilidades en Publicado por última vez el martes. «Los propietarios de dispositivos deben desconectar todos los dispositivos Nexx de inmediato y crear tickets de soporte con la empresa para pedirles que aborden el problema».

El investigador estima que más de 40.000 dispositivos, ubicados en propiedades residenciales y comerciales, se han visto afectados y más de 20.000 personas tienen cuentas Nexx activas.

Los controladores Nexx permiten que las personas usen sus teléfonos o asistentes de voz para abrir y cerrar puertas de garaje, ya sea a pedido o en momentos específicos del día. Los dispositivos también se pueden usar para controlar las alarmas de seguridad del hogar y los enchufes inteligentes que se usan para encender o apagar los electrodomésticos de forma remota. La pieza central de este sistema son los servidores administrados por Nexx, a los que se comunican tanto el teléfono o el asistente de voz como el abridor de la puerta del garaje. El proceso de cinco pasos para registrar un nuevo dispositivo se ve así:

1. El usuario utiliza la aplicación móvil Nexx Home para registrar el nuevo dispositivo Nexx con Nexx Cloud.
2. Detrás de escena, Nexx Cloud devuelve una contraseña de dispositivo para usar en comunicaciones seguras con Nexx Cloud.
3. La contraseña se envía al teléfono del usuario y al dispositivo Nexx mediante Bluetooth o Wi-Fi.
4. El dispositivo Nexx establece una conexión independiente con Nexx Cloud utilizando la contraseña proporcionada.
5. El usuario ahora puede operar la puerta del garaje de forma remota utilizando la aplicación móvil Nexx.

Aquí hay una explicación del proceso:

Una contraseña genérica que es fácil de encontrar

Para hacer todo este trabajo, las consolas utilizan un protocolo ligero conocido como MQTT. Abreviatura de Message Queuing Remoting, se utiliza en redes de bajo ancho de banda, alta latencia o inestables para promover una comunicación eficiente y confiable entre dispositivos y servicios en la nube. Para ello, Nexx utiliza un Formulario de suscripción posteriordonde se envía un único mensaje entre los dispositivos compartidos (teléfono, asistente de voz, abrepuertas de garaje) y un medio central (la nube Nexx).

El investigador Sam Sabetan descubrió que los dispositivos usan la misma contraseña para comunicarse con la nube Nexx. Además, se puede acceder fácilmente a esta contraseña simplemente analizando el firmware que se envió con el dispositivo o la comunicación de ida y vuelta entre el dispositivo y la nube Nexx.

«Usar una contraseña común para todos los dispositivos es una gran vulnerabilidad de seguridad, ya que los usuarios no autorizados pueden obtener acceso a todo el ecosistema al obtener la contraseña compartida», escribió el investigador. «Al hacerlo, pueden comprometer no solo la privacidad sino también la seguridad de los clientes de Nexx al controlar las puertas de sus garajes sin su consentimiento».

Cuando Sabetan usó esta contraseña para acceder al servidor, rápidamente encontró no solo conexiones entre su máquina y la nube, sino también conexiones a otros dispositivos Nexx y la nube. Esto significa que puede analizar las direcciones de correo electrónico, los apellidos, las iniciales y los identificadores de dispositivos de otros usuarios para identificar a los clientes en función de la información única compartida en esos mensajes.

Pero las cosas están empeorando. Sabetan puede copiar mensajes emitidos por otros usuarios para abrir sus puertas y reproducirlos a voluntad, desde cualquier parte del mundo. Esto significa que una simple operación de cortar y pegar fue suficiente para controlar cualquier dispositivo Nexx, sin importar dónde se encuentre.

Aquí hay un video de prueba de concepto que muestra el truco:

Este evento recuerda el cliché trillado de que la S en IoT (abreviatura del término genérico Internet de las cosas) significa seguridad. Si bien muchos dispositivos IoT ofrecen comodidad, un número alarmante está diseñado con protecciones de seguridad mínimas. El firmware desactualizado con vulnerabilidades conocidas y la incapacidad de actualizar es típico, al igual que una miríada de fallas como credenciales cifradas, omisión de autorización y verificaciones de autenticación falsas.

Cualquiera que use un dispositivo Nexx debería considerar seriamente deshabilitarlo y reemplazarlo por otro, aunque la utilidad de este consejo es limitada ya que no hay garantía de que las alternativas sean más seguras.

Con tantos dispositivos en riesgo, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. ha emitido un Tutor Ella sugiere que los usuarios tomen medidas defensivas, que incluyen:

• Minimice la exposición de la red a todos los dispositivos y/o sistemas del sistema de control, y asegúrese de que estén No se puede acceder desde Internet..
• Ubicar redes de sistemas de control y dispositivos remotos detrás de firewalls y aislarlos de las redes comerciales.
• Cuando se requiera acceso remoto, use métodos seguros, como redes privadas virtuales (VPN), para identificar qué VPN pueden tener vulnerabilidades y deben actualizarse a la última versión disponible. Además, sepa que una VPN es tan segura como sus dispositivos conectados.

Por supuesto, es imposible implementar estos procedimientos cuando se usan consolas Nexx, lo que nos lleva de vuelta a la inseguridad general del Internet de las cosas y el consejo de Sabetan de simplemente abandonar el producto a menos que llegue una solución o hasta que llegue.