{"id":14962,"date":"2019-07-17T14:02:28","date_gmt":"2019-07-17T20:02:28","guid":{"rendered":"https:\/\/latam.kaspersky.com\/blog\/?p=14962"},"modified":"2020-04-02T05:37:19","modified_gmt":"2020-04-02T11:37:19","slug":"vulnerable-smart-home","status":"publish","type":"post","link":"https:\/\/latam.kaspersky.com\/blog\/vulnerable-smart-home\/14962\/","title":{"rendered":"C\u00f3mo hackear un hogar inteligente"},"content":{"rendered":"

La tecnolog\u00eda del hogar inteligente se dise\u00f1\u00f3 con el fin de hacer la vida m\u00e1s f\u00e1cil y c\u00f3moda. Sin embargo, la nueva comodidad significa tambi\u00e9n nuevos problemas. Los peligros de la automatizaci\u00f3n de todas las cosas<\/a> son un tema frecuente de conversaci\u00f3n y de las entradas de nuestro blog. Por principio de cuentas, conectar todos los electrodom\u00e9sticos a internet te hacen dependiente de la calidad de la conexi\u00f3n y del funcionamiento del servidor<\/a>. Y a la vez, los cibercriminales pueden utilizar esos puntos de entrada para hacerse con el control del equipo vulnerable y utilizarlo a su favor.<\/p>\n

<\/strong><\/p>\n

Como demuestran estudios recientes, existen a\u00fan varios medios a trav\u00e9s de los cuales tomar el control de un hogar inteligente. Por ejemplo, uno de dichos problemas identificado puede ser una vulnerabilidad en el servidor de la nube a trav\u00e9s de la cual el due\u00f1o controla el hogar de modo remoto; o bien, algo en apariencia inofensivo, como un interruptor de luz inteligente.<\/p>\n

Fibaro: amenaza en la nube<\/h2>\n

Seg\u00fan lo dio a conocer Kaspersky<\/a>, el hogar inteligente de Fibaro le permit\u00eda a cualquiera cargar y descargar una copia de seguridad de los datos del smart hub<\/em> desde el servidor de la nube. El smart hub<\/em> es el dispositivo m\u00e1s importante en el hogar inteligente, dado que controla a todos los otros: los termostatos, las cafeteras, los sistemas de seguridad y dem\u00e1s<\/p>\n

La copia de seguridad de los datos del hub<\/em> contiene informaci\u00f3n interesante acerca del hogar y su due\u00f1o, incluyendo la ubicaci\u00f3n del hogar y la del smartphone<\/em> del due\u00f1o; el correo electr\u00f3nico de la cuenta de usuario registrada en el sistema de Fibaro y una lista de los dispositivos conectados y sus respectivas contrase\u00f1as (todas en texto simple, sin cifrado).<\/p>\n

Tambi\u00e9n se almacena all\u00ed la contrase\u00f1a del panel de administraci\u00f3n para controlar el hogar de modo remoto. A diferencia de otras contrase\u00f1as almacenadas en la copia de seguridad, al menos \u00e9sta est\u00e1 protegida, o para ser exactos, cuenta con cifrado hash<\/em><\/a>. Sin embargo, si el atacante descarga todas las copias de seguridad almacenadas en la nube de Fibaro, le ser\u00eda posible adivinar las contrase\u00f1as m\u00e1s simples y frecuentes \u2014como \u201cpassword1\u2033\u2014 y el c\u00f3digo hash<\/em> para todos ser\u00e1 el mismo.<\/p>\n

<\/strong><\/p>\n

Tras ganar acceso al panel de administraci\u00f3n, un hacker<\/em> puede explotar una de las vulnerabilidades para ejecutar c\u00f3digo de forma remota y obtener derechos de superusuario<\/a> en el sistema. Los superusuarios pueden hacer lo que les venga en gana dentro del hogar. Ir\u00f3nicamente, el due\u00f1o real del hogar no goza de los derechos de superusuario, pues el fabricante decidi\u00f3 que as\u00ed ser\u00eda m\u00e1s seguro (lo cual es cierto en muchos sentidos).<\/p>\n

Fibaro: una actualizaci\u00f3n maliciosa<\/h3>\n

Los investigadores descubrieron otro escenario de ataque que ni siquiera requer\u00eda romper el c\u00f3digo. Como ya hemos mencionado, no solamente se pod\u00edan descargar las copias de seguridad desde el servidor de Fibaro sin necesidad de autorizaci\u00f3n, sino que tambi\u00e9n se pod\u00edan cargar al mismo. Es m\u00e1s, la nube permit\u00eda enviar mensajes de texto o correos electr\u00f3nicos al due\u00f1o del hogar.<\/p>\n

Es decir, todo lo que los atacantes ten\u00edan que hacer era crear una copia de seguridad maliciosa, cargarla en el servidor y persuadir a la v\u00edctima de instalar la \u201cactualizaci\u00f3n\u201d. Esto se logra imitando un mensaje de Fibaro (phishing<\/em>). Incluso si el hacker<\/em> se equivoca con algunos datos, a\u00fan as\u00ed es posible que la v\u00edctima desprevenida descargue la copia de seguridad maliciosa (lo cual le otorga al hacker<\/em> derechos de superusuario, como en el primer ejemplo). Despu\u00e9s de todo, el mensaje vino de la direcci\u00f3n ****** @fibaro.com, lo cual no parece sospechoso.<\/p>\n

Informamos a Fibaro de estas vulnerabilidades y r\u00e1pidamente las corrigieron, por lo que estos escenarios de ataque ya no funcionan. Esperemos que otros fabricantes de dispositivos inteligentes eviten pisar este rastrillo virtual y tomen en cuenta estos errores a la hora de desarrollar sus sistemas.<\/p>\n

Nest: el interruptor y la c\u00e1mara inteligente<\/h2>\n

En otro estudio emprendido por investigadores del College of William & Mary, en los EE.UU., se revis\u00f3 la seguridad<\/a> de dos plataformas de hogar inteligente: Nest (de Nest Labs, propiedad de Google) y Hue (producida por Philips). Ambas plataformas eran vulnerables, cada una a su modo.<\/p>\n

Los desarrolladores de Nest Labs prestaron gran atenci\u00f3n a la protecci\u00f3n de los sistemas de seguridad: Los dispositivos y aplicaciones de terceros no pueden cambiar los ajustes de las c\u00e1maras de seguridad y otros componentes a cargo de la seguridad del hogar, ni prenderlas o apagarlas. O m\u00e1s bien, no pueden de modo directo<\/em>.<\/p>\n

Sin embargo, el sistema utiliza algunos atributos comunes en los dispositivos y los sistemas de seguridad cuya protecci\u00f3n es todav\u00eda menor. Los valores de dichos atributos se almacenan en un solo espacio de almacenamiento accesible a todos los dispositivos que lo necesiten para funcionar. Adem\u00e1s, algunos dispositivos de menor importancia, como interruptores de luz y termostatos, pueden en muchos casos no solamente leer los valores requeridos, sino tambi\u00e9n modificarlos.<\/p>\n

<\/strong><\/p>\n

Por una parte, esto ayuda a automatizar y simplificar las operaciones de rutina. Por ejemplo, no hay necesidad de enviar comandos a cada dispositivo por separado cuando sales al trabajo por la ma\u00f1ana. La aplicaci\u00f3n que controla el interruptor puede usar, por ejemplo, la geolocalizaci\u00f3n para determinar que has salido del hogar, luego de lo cual transmite esta informaci\u00f3n al almacenamiento y asignar el valor de fuera<\/em> al atributo que especifica si el due\u00f1o est\u00e1 presente o ausente.<\/p>\n

No solamente el interruptor lee este valor (que entonces apaga las luces, seg\u00fan lo previsto), sino tambi\u00e9n otros dispositivos. Y cada uno realiza una acci\u00f3n programada: El aire acondicionado disminuye su potencia, el equipo est\u00e9reo se apaga y la c\u00e1mara de vigilancia comienza a grabar. Sin embargo, si se hace que el sistema crea que el due\u00f1o ha regresado, las c\u00e1maras se apagan y la seguridad del hogar se ve comprometida.<\/p>\n

Existen diversos dispositivos compatibles con Nest que cuentan con permisos para gestionar las modalidades en casa\/fuera<\/em>. Los investigadores decidieron probar la seguridad del interruptor de Kasa, cuyo fabricante es TP-Link. Adem\u00e1s de dicha capacidad de leer y cambiar el ajuste en casa\/fuera<\/em>, la elecci\u00f3n de los investigadores se vio influida por la popularidad de la aplicaci\u00f3n de Kasa Smart que sirve para controlar el dispositivo de modo remoto (que tiene m\u00e1s de un mill\u00f3n de descargas en Google Play). Tras una inspecci\u00f3n m\u00e1s cuidadosa, result\u00f3 que el programa permite a los atacantes secuestrar la conexi\u00f3n con el servidor y enviarle comandos.<\/p>\n

El problema se detect\u00f3 en el procedimiento de autorizaci\u00f3n; en espec\u00edfico, en la estrategia de seguridad de los desarrolladores de la aplicaci\u00f3n. Para evitar que la informaci\u00f3n de cuenta del due\u00f1o caiga en manos equivocadas, la aplicaci\u00f3n y el servidor primero establecen una conexi\u00f3n cifrada. Para ello, la aplicaci\u00f3n env\u00eda una solicitud al servidor, que le muestra un certificado SSL<\/a>, lo que confirma que el servidor es de confianza.<\/p>\n

La aplicaci\u00f3n verifica la autenticidad del certificado y, si es genuino, entrega secretamente un token<\/em> al servidor (consiste en datos empleados para identificar al due\u00f1o). Pero un error se col\u00f3 en esta verificaci\u00f3n y se demostr\u00f3 que la aplicaci\u00f3n de Kasa confiaba en cualquier certificado.<\/p>\n

Los investigadores describieron un posible escenario de hackeo<\/em>:<\/p>\n

    \n
  1. El cibercriminal rastrea al due\u00f1o del hogar objetivo y espera a que \u00e9ste se conecte a una se\u00f1al de wifi p\u00fablica de, por ejemplo, un caf\u00e9.<\/li>\n
  2. La aplicaci\u00f3n de Kasa intenta conectarse con el servidor.<\/li>\n
  3. Al entrar en la misma red, el atacante intercepta la conexi\u00f3n y muestra su propio certificado SSL a la aplicaci\u00f3n.<\/li>\n
  4. La aplicaci\u00f3n, habiendo confundido al cibercriminal con el servidor, env\u00eda el token<\/em> requerido para la autenticaci\u00f3n.<\/li>\n
  5. El cibercriminal, a su vez, muestra este token<\/em> al servidor real, el cual piensa que se trata de la aplicaci\u00f3n.<\/li>\n
  6. El hacker<\/em> informa al interruptor, directamente desde el caf\u00e9, que el due\u00f1o ha regresado.<\/li>\n
  7. El atributo se cambia de fuera<\/em> a en casa<\/em>.<\/li>\n
  8. As\u00ed es como se logra el objetivo: la c\u00e1mara lee el valor y deja de grabar, despu\u00e9s de lo cual el cibercriminal o un c\u00f3mplice puede entrar en la casa sin ser visto.<\/li>\n<\/ol>\n

    Lo m\u00e1s preocupante de todo, seg\u00fan los investigadores, es que dicho ataque no requiere de habilidades especiales. No obstante, la buena noticia es que los desarrolladores de Kasa, lo mismo que los creadores del sistema de Fibaro, arreglaron adecuadamente el error despu\u00e9s de que el equipo de investigaci\u00f3n se los notificara.<\/p>\n

    <\/strong><\/p>\n

    Nest: cuando vas por la mayor\u00eda y no por la minor\u00eda<\/h3>\n

    En teor\u00eda, el an\u00e1lisis integrado para los dispositivos y aplicaciones de terceros deber\u00eda proteger el sistema de Nest de dichos ataques. El sitio web para desarrolladores proporciona una lista exhaustiva de requisitos para productos que interact\u00faan con la plataforma. Estos requisitos especifican, entre otras cosas, que la aplicaci\u00f3n o el dispositivo debe tener un sistema de autorizaci\u00f3n seguro y en correcto funcionamiento que evite que cualquiera se haga pasar por ti.<\/p>\n

    Pero en la pr\u00e1ctica, se puede eludir la verificaci\u00f3n de aplicaciones y dispositivos de terceros. El sistema de Nest verifica solamente aquellos con m\u00e1s de 50 usuarios, lo cual significa que un programa \u00fanico creado por hackers<\/em> para atacar un hogar inteligente en espec\u00edfico puede conectarse a \u00e9l, con lo cual evade los controles de seguridad. Todo lo que los cibercriminales tienen que hacer es persuadir a la v\u00edctima de que descargue una aplicaci\u00f3n espec\u00edfica y le otorgue los derechos necesarios.<\/p>\n

    Adem\u00e1s, incluso las aplicaciones populares que no cumplen con los requisitos de Nest tienen la posibilidad de evadir el an\u00e1lisis. Un ejemplo de esto es la ya mencionada Kasa Smart, que permiti\u00f3 a los atacantes conectarse al servidor en su nombre.<\/p>\n

    Asimismo, resulta que muchas aplicaciones para dispositivos de Nest proporcionan informaci\u00f3n inexacta acerca de los derechos de acceso que requieren para operar. Por ejemplo, la descripci\u00f3n de la aplicaci\u00f3n de control del termostato puede indicar que se requiere acceso al atributo en casa\/fuera<\/em> con el \u00fanico fin de controlar dicho termostato, cuando en realidad este atributo es com\u00fan para el sistema en su totalidad y otros dispositivos tambi\u00e9n reaccionar\u00e1n si se le modifica. Es decir, la descripci\u00f3n es enga\u00f1osa.<\/p>\n

    Hue: bienvenidas las aplicaciones de terceros<\/h2>\n

    El problema con otorgar derechos a aplicaciones de terceros tambi\u00e9n le compete al sistema de iluminaci\u00f3n inteligente de Philips Hue. Se desarroll\u00f3 con el fin de que cada programa solicite permiso al due\u00f1o para conectarse al hogar inteligente.<\/p>\n

    Este permiso puede concederse al presionar un bot\u00f3n f\u00edsico en la unidad de control a trav\u00e9s del cual los dispositivos de Hue interact\u00faan. Para que esto funcione, la aplicaci\u00f3n y la unidad de control deben localizarse en la misma red local, lo cual significa que los vecinos y los que pasen por ah\u00ed no pueden conectarse a tu hogar inteligente tan solo con adivinar el momento preciso para enviar una solicitud. En t\u00e9rminos generales, es una gran idea desde un punto de vista de seguridad. Pero result\u00f3 una decepci\u00f3n a la hora de implementarse.<\/p>\n

    Seg\u00fan hallaron los investigadores, no solamente el usuario puede \u201cpresionar\u201d el bendito bot\u00f3n, sino cualquier programa conectado a Hue. Esto se debe a que el \u201ccerebro\u201d del sistema determina si el bot\u00f3n se ha visto activado seg\u00fan el valor de uno de los ajustes de la unidad de control. Y hay aplicaciones que pueden modificar este valor. Esto significa que un programa malicioso con acceso a la plataforma puede otorgar acceso a otros libremente. Y no solo eso: mediante el mismo ajuste, se puede denegar acceso a los dispositivos leg\u00edtimos que el due\u00f1o haya conectado.<\/p>\n

    Podr\u00eda parecer que si la plataforma de Hue se utiliza solamente para controlar la iluminaci\u00f3n, entonces este error no es tan peligroso como la vulnerabilidad en la plataforma de Nest. Sin embargo, los dispositivos de Hue pueden conectarse tambi\u00e9n con Nest, el cual, como sabes, no s\u00f3lo tiene acceso a las c\u00e1maras y las cerraduras de las puertas, sino que en algunos casos permite que las aplicaciones de terceros las deshabiliten.<\/p>\n

    <\/strong><\/p>\n

    C\u00f3mo proteger tu hogar inteligente<\/h2>\n

    Resulta que las brechas en la seguridad se encuentran en pr\u00e1cticamente todos los dispositivos de automatizaci\u00f3n del hogar. \u00bfDeber\u00edas sentir temor? Una luz parpadeante o un sistema de calefacci\u00f3n fuera de control resulta molesto, pero no es tan peligroso y no es de inter\u00e9s para los cibercriminales. En cualquier caso, lo que menos quieres es una cerradura inteligente o una c\u00e1mara de seguridad hackeada<\/em>. Ten presente que, pese a que es m\u00e1s probable solucionar estos problemas, la gran mayor\u00eda de los ladrones echar\u00e1n mano de una barreta de u\u00f1a, no de los exploits<\/em>.<\/p>\n

    En todo caso, t\u00fa decides si conviertes tu hogar en una vivienda futurista. Si decides que necesita un hogar inteligente, lo prudente ser\u00eda minimizar el riesgo de hackeo<\/em>. Esto es lo que tienes que hacer para lograrlo:<\/p>\n