Ouvrez les portes de garage partout dans le monde en exploitant cet appareil « intelligent » – Ars Technica

L’unité de commande de porte de garage leader du marché est criblée de vulnérabilités de sécurité et de confidentialité si graves que le chercheur qui l’a découverte conseille à quiconque l’utilise de la débrancher immédiatement jusqu’à ce qu’elle puisse être réparée.

Chaque appareil de 80 $ pour ouvrir et fermer les portes de garage, contrôler les alarmes de sécurité à domicile et les prises de courant intelligentes utilise le même mot de passe générique facile à trouver pour communiquer avec les serveurs Nexx. Les contrôleurs diffusent également l’adresse e-mail non cryptée, l’ID de l’appareil et le prénom et le nom correspondants à chacun, ainsi que le message requis pour ouvrir ou fermer la porte, allumer ou éteindre la prise intelligente, ou programmer une telle commande pour une date ultérieure. temps.

Déconnectez immédiatement tous les appareils Nexx

Résultat : toute personne ayant une formation technique modérée peut rechercher sur les serveurs Nexx une adresse e-mail, un ID d’appareil ou un nom, puis envoyer des commandes à la console associée. (Les contrôleurs Nexx pour les alarmes de sécurité à domicile sont vulnérables à une classe similaire de vulnérabilités.) Les commandes permettent d’ouvrir la porte, d’éteindre un appareil connecté à une prise intelligente ou de désarmer l’alarme. Pire encore, au cours des trois derniers mois, les employés de Nexx basés au Texas n’ont pas répondu aux multiples messages privés avertissant de vulnérabilités.

Écrit par le chercheur qui a découvert des vulnérabilités dans Dernière publication mardi. « Les propriétaires d’appareils doivent déconnecter immédiatement tous les appareils Nexx et créer des tickets d’assistance avec l’entreprise leur demandant de résoudre le problème. »

Le chercheur estime que plus de 40 000 appareils, situés dans des propriétés résidentielles et commerciales, ont été touchés et plus de 20 000 personnes ont des comptes Nexx actifs.

Les contrôleurs Nexx permettent aux gens d’utiliser leur téléphone ou leurs assistants vocaux pour ouvrir et fermer les portes de garage, soit à la demande, soit à des moments précis de la journée. Les appareils peuvent également être utilisés pour contrôler les alarmes de sécurité à domicile et les prises intelligentes utilisées pour allumer ou éteindre les appareils à distance. La pièce maîtresse de ce système sont des serveurs gérés par Nexx, avec lesquels le téléphone ou l’assistant vocal et l’ouvre-porte de garage communiquent. Le processus en cinq étapes pour enregistrer un nouvel appareil ressemble à ceci :

1. L’utilisateur utilise l’application mobile Nexx Home pour enregistrer le nouvel appareil Nexx avec le Nexx Cloud.
2. Dans les coulisses, Nexx Cloud renvoie un mot de passe d’appareil à utiliser dans les communications sécurisées avec Nexx Cloud.
3. Le mot de passe est envoyé au téléphone de l’utilisateur et envoyé à l’appareil Nexx via Bluetooth ou Wi-Fi.
4. L’appareil Nexx établit une connexion distincte avec le Nexx Cloud à l’aide du mot de passe fourni.
5. L’utilisateur peut désormais faire fonctionner la porte de garage à distance à l’aide de l’application mobile Nexx.

Voici une explication du processus :

Un mot de passe générique facile à trouver

Pour faire tout ce travail, les consoles utilisent un protocole léger appelé MQTT. Abréviation de Message Queuing Remoting, il est utilisé dans les réseaux à faible bande passante, à latence élevée ou autrement instables pour promouvoir une communication efficace et fiable entre les appareils et les services cloud. Pour ce faire, Nexx utilise un Formulaire d’inscriptionoù un seul message est envoyé entre les appareils partagés (téléphone, assistant vocal, ouvre-porte de garage) et un support central (le cloud Nexx).

Le chercheur Sam Sabetan a découvert que les appareils utilisent le même mot de passe pour communiquer avec le cloud Nexx. De plus, ce mot de passe est facilement accessible simplement en analysant le micrologiciel fourni avec l’appareil ou la communication aller-retour entre l’appareil et le cloud Nexx.

« L’utilisation d’un mot de passe commun pour tous les appareils est une vulnérabilité de sécurité majeure, car les utilisateurs non autorisés peuvent accéder à l’ensemble de l’écosystème en obtenant le mot de passe partagé », a écrit le chercheur. « Ce faisant, ils peuvent compromettre non seulement la vie privée mais aussi la sécurité des clients de Nexx en contrôlant leurs portes de garage sans leur consentement. »

Lorsque Sabetan a utilisé ce mot de passe pour accéder au serveur, il a rapidement trouvé non seulement des connexions entre sa machine et le cloud, mais aussi des connexions vers d’autres appareils Nexx et le cloud. Cela signifie qu’il peut passer au crible les adresses e-mail, les noms de famille, les premières initiales et les identifiants d’appareil des autres utilisateurs pour identifier les clients en fonction des informations uniques partagées dans ces messages.

Mais les choses empirent. Sabetan peut copier les messages émis par d’autres utilisateurs pour ouvrir leurs portes et les rejouer à volonté – de n’importe où dans le monde. Cela signifie qu’une simple opération de copier-coller était suffisante pour contrôler n’importe quel appareil Nexx, peu importe où il se trouve.

Voici une vidéo de preuve de concept montrant le hack :

Cet événement rappelle le cliché bien usé selon lequel le S dans IoT – abréviation du terme générique Internet des objets – est synonyme de sécurité. Alors que de nombreux appareils IoT offrent une commodité, un nombre alarmant est conçu avec des protections de sécurité minimales. Un micrologiciel obsolète avec des vulnérabilités connues et une impossibilité de mise à jour est typique, tout comme une myriade de défauts tels que les informations d’identification cryptées, le contournement d’autorisation et les fausses vérifications d’authentification.

Toute personne utilisant un appareil Nexx devrait sérieusement envisager de le désactiver et de le remplacer par autre chose, bien que l’utilité de ces conseils soit limitée car il n’y a aucune garantie que les alternatives seront plus sûres.

Avec autant d’appareils à risque, l’agence américaine de cybersécurité et de sécurité des infrastructures a publié une Conseiller Elle suggère aux utilisateurs de prendre des mesures défensives, notamment :

• Minimisez l’exposition du réseau à tous les dispositifs et/ou systèmes du système de contrôle et assurez-vous qu’ils sont Il n’est pas accessible depuis Internet.
• Localisation des réseaux de systèmes de contrôle et des appareils distants derrière des pare-feu et isolement des réseaux d’entreprise.
• Lorsqu’un accès à distance est requis, utilisez des méthodes sécurisées, telles que les réseaux privés virtuels (VPN), pour identifier les VPN susceptibles de présenter des vulnérabilités et devant être mis à jour vers la dernière version disponible. Sachez également qu’un VPN est aussi sûr que ses appareils connectés.

Bien sûr, il est impossible de déployer ces procédures lors de l’utilisation des consoles Nexx, ce qui nous ramène à l’insécurité générale de l’Internet des objets et au conseil de Sabetan d’abandonner simplement le produit jusqu’à ce qu’un correctif arrive ou jusqu’à ce qu’il arrive.