IdC
Imagina la vida que los desarrolladores de hogares inteligentes quieren que veas: ya terminó tu ajetreada jornada laboral y ya casi estás en casa, entonces, tu puerta se abre de forma automática con un simple reconocimiento facial y de iris. En casa, la temperatura es cálida, la luz de la entrada ya está encendida, suena música de fondo y la tetera eléctrica ya está funcionando, el agua empieza a hervir justo cuando pones un pie en el apartamento.
Cenas y te relajas en el sillón, atenúas las luces un poco con tu smartphone y enciendes la televisión. La vida en una casa inteligente es muy práctica, todas estas pequeñas rutinas están automatizadas o las controlas con tu teléfono.
Pero también puede pasar todo lo contrario. Te acercas a la puerta, pero no se abre porque no te reconoce. Sabías que esto podía pasar, por lo que sacas una llave de toda la vida y abres la puerta. La casa está oscura y fría, ya que la calefacción no se ha encendido dos horas antes como estaba programada.
Justo después, la alarma inteligente detecta un intruso y se pone a sonar sin parar, pero se supone que debería detectar tu smartphone y parar. Al menos parece que algo funciona: la televisión está encendida, pero se trata de unas imágenes tuyas en directo grabadas por la cámara que hay en el techo. Oyes la sirena del camión de bomberos. ¿Qué ha pasado? Alguien ha hackeado tu casa inteligente.
Esta situación podría darse si alguien hackeara el concentrador inteligente que controla todos los dispositivos de tu casa. En el Mobile World Congress 2018, Vladimir Daschenko de Kaspersky Lab demostró que no es tan difícil llevarlo a cabo.
¿Qué es un concentrador inteligente?
Un concentrador inteligente es el centro neurálgico y el cerebro de tu casa inteligente. Se trata de un dispositivo pequeño, a veces con pantalla táctil, que mediante protocolos especiales se comunica con todos los dispositivos inteligentes de tu casa; estos responden y proporcionan comandos de respuesta o información.
Si el concentrador inteligente no tiene pantalla, tendrá alguna aplicación móvil o un servicio web, o ambos, para que puedas programar tus dispositivos inteligentes. El concentrador sincroniza todos los aparatos de la casa y los administra de forma conjunta, lo cual resulta muy cómodo para el usuario, pero facilita la tarea de hackear toda una casa atacando un único dispositivo.
Cómo se hackea un concentrador inteligente
Los concentradores inteligentes de un vendedor en particular (cuyo nombre no vamos a revelar aquí) no contaban con vulnerabilidades significativas en su código, sin embargo, unos simples errores de lógica bastaron para que nuestro experto hackeara uno de ellos de forma remota, sin ni siquiera obtener acceso a la red wifi del usuario.
Para controlar el concentrador usando el portal web, el usuario envía un comando de sincronización desde la interfaz web al concentrador. Se asigna un archivo de configuración a un concentrador con un número de serie, que el concentrador descarga e implementa. Sin embargo, el archivo se envía a través de un canal HTTP (no cifrado) y el único método de identificación del destinatario es el número de serie.
Si un atacante conoce el número de serie del concentrador que va a hackear, puede enviar un archivo de configuración personalizado al concentrador, que lo aceptará sin ningún tipo de comunicación adicional. Puede parecer extraño, pero los usuarios no suelen tener en cuenta que el número de serie es la llave maestra del sistema de su casa, por lo que algunos publican análisis de su concentrador inteligente en YouTube y muestran toda la información necesaria para hackearlo, incluido el número de serie. Por si fuera poco, resulta que los números de serie se pueden extraer con un ataque de fuerza bruta.
El nombre de usuario y la contraseña del concentrador inteligente se encuentran en su archivo de configuración. Los datos de inicio de sesión se pueden extraer fácilmente, pero la contraseña está cifrada. Sin embargo, el cifrado es débil y se puede romper sin esfuerzo usando utilidades al alcance de todos. Además de una protección débil, el proveedor no exige parámetros complejos para la formación de contraseñas, lo que facilita la tarea de los hackers.
Con el usuario y la contraseña, un hacker puede obtener el control total de un concentrador inteligente y de todos los dispositivos conectados a él, lo que convierte el escenario apocalíptico del hogar inteligente en una triste realidad para el propietario.
Cómo evitar el apocalipsis en tu hogar inteligente
Los hogares inteligentes son un concepto novedoso, por lo que todavía no se han investigado mucho y, por lo tanto, pueden presentar vulnerabilidades, como ha vuelto a demostrar nuestra investigación (ya lo hemos demostrado, también, explicando cómo hackear otros dispositivos inteligentes).
En este caso en particular, el proveedor lleva a cabo ciertos errores lógicos que, combinados, permiten hackear el sistema del hogar inteligente. Indaguemos de nuevo en esos errores: la transmisión del archivo de configuración se realiza mediante una conexión HTTP sin cifrar, se utiliza el número de serie como único método de autentificación para actualizar la configuración y tanto la contraseña como los datos de acceso son fáciles de extraer.
¿Qué puedes hacer para proteger tu vida inteligente? Con este concentrador, la solución es muy simple:
- No enseñes el número de serie de tu concentrador a nadie, ya que es la llave maestra de tu vida inteligente.
- No compres dispositivos inteligentes de segunda mano. Sus firmwares podrían haber sufrido modificaciones por parte de los antiguos propietarios para darle a un atacante remoto el control total de tu hogar inteligente.
Sin embargo, ten en cuenta que los hackers pueden usar números al azar para intentar hackear un concentrador inteligente, por lo que no se puede asegurar por completo la seguridad. De momento, para estar a salvo, es mejor esperar a que los concentradores estén vetados de todas las vulnerabilidades y se parcheen de forma correcta. En el caso de los concentradores inteligentes, el proveedor sigue desarrollando el parche y por ello no queremos revelar el nombre. Para más información, consulta esta publicación de Securelist.
Consejos