Serratura smart, violarla è più semplice di quanto pensi

Due ricercatori di sicurezza hanno “scassinato” da remoto la porta di casa, su cui era installata una serratura intelligente, attraverso alcuni bug di sistema

Alcuni hacker etici hanno dimostrato quanto le serrature intelligenti per le porte di casa, collegate a internet, non siano affatto sicure. Chase Dardaman e Jason Wheeler hanno hackerato uno degli hub di Zipato, rivelando tre difetti di sicurezza nella serratura  sfruttandoli per aprire da remoto la porta principale della casa.

Disclosure is finally done so now you too can hack your neighbor’s front doorhttps://t.co/d39PFVvuHK pic.twitter.com/MmXOaef5GS

— Chase Dardaman (@CharlesDardaman) July 2, 2019

Sebbene nel 2018 la domotica sia stata sottoposta a crescenti controlli di sicurezza, per alcuni esperti di cybersecurity aggiungere una connessione internet a questi dispositivi ne aumenta le possibili vie di attacco e di violazione.

Gli smart hub che controllano i dispositivi intelligenti presenti all’interno di una casa, come i contatori dell’acqua o, come in questo caso, le serrature delle porte d’ingresso, possono quindi essere violati e consentire agli attaccanti di accedere alle abitazioni indisturbati.

Dardman e Wheeler hanno iniziato a esaminare ZipaMicro, uno degli hub per la casa sviluppato dalla società croata Zipato e, dopo averle identificate e sfruttate, hanno segnalato le vulnerabilità del sistema alla casa produttrice, che le ha successivamente sistemate.

I due ricercatori hanno scoperto che era possibile estrarre la chiave Ssh (Secure Shell), un protocollo di rete che consente un accesso remoto sicuro tramite una connessione crittografata, dalla scheda di memoria del dispositivo.

Chiunque entri in possesso di questa chiave privata potrebbe accedere al dispositivo senza la necessità di inserire una password di conferma. Successivamente, usando quella chiave privata, i ricercatori hanno scaricato un file dal dispositivo contenente le password codificate utilizzate per accedere all’hub.

Hanno scoperto poi che lo smart hub utilizzava un sistema di autenticazione pass-the-hash, che non richiede la conoscenza della password in chiaro dell’utente, ma solo della versione codificata. Prendendo la password criptata e passandola all’hub intelligente, i ricercatori sono riusciti a ingannare il dispositivo facendogli credere di essere il padrone di casa.

Sebbene per compiere la violazione i malintenzionati dovrebbero connettersi alla stessa rete wifi dei dispositivi, Zipato ha corretto in poche settimane i bug di sistema.