Patronumuzun akıllı evini nasıl hackleriz

Akıllı ev kavramı bugünlerde gittikçe daha yaygın hale geliyor. Önceleri daha çok zeki ama antisosyal insanlara ve hep en yeni şeylerin peşinde koşanlara cazip gelen akıllı ev kurulumu artık çok yaygınlaştı ve temel bir düzenek de oldukça uygun fiyatlı olabilir.

İş arkadaşlarımızdan biri akıllı ev sahipleri arasındaki yerini aldı ve yeni evine son moda birtakım teknolojik aletler aldı. Her şeyin kurulumunu tamamladıktan sonra, Kaspersky ICS CERT‘ten gelen araştırmacıları bu yeni oyuncağının keyfini çıkarmaya davet etti. Güvenlik alanında araştırma yapanların iyi vakit geçirmekten anladığı şey de yeni oyuncakları bozmaya çalışmaktır tabii. Dolayısıyla onlar da bu fikre bayıldı. Ve elbette, istediklerini aldılar. O akıllı evi nasıl hacklediklerinin ve içeri girdikten sonra da neler yapabildiklerinin kısa bir hikayesini aşağıda okuyacaksınız.

Hackleme başlıyor

Kurgu şöyle: Ücra bir konumdaki evde, kendisine bağlanmış olan akıllı şeylerin tamamının yönetiminden sorumlu bir Fibaro Home Center Lite akıllı merkez var.

Evdeki akıllı şeyler arasında hareket algılayıcı sayesinde otomatik olarak yanıp sönebilen ışıklar; bir buzdolabı, bir stereo sistemi ve uzaktan yönetilebilen ve açılıp kapatılabilen bir sauna ısıtıcı var. Birkaç duman dedektörü ve taşkın algılayıcının yanı sıra evi izlemekle görevli bir grup IP kamera da aynı merkeze bağlanmış durumda. Ve tabii ki ısıtma sistemi ile akıllı videolu bir kapı zilinin takılı olduğu giriş kapısı da yine bu merkezden yönetiliyor.

Bunların tamamı bir kablosuz ev ağına bağlanmış. Güvenlik araştırmacılarına akıllı ev merkezinin modeli ve IP adresi bildirildi.

Nasıl çalışır: Saldırı alanını daraltma

Bu durumda, bir akıllı ev nasıl hacklenebilir? Olay genellikle şöyle gelişir: Güvenlik araştırmacıları ekibi tüm olası saldırı vektörlerini not alarak saldırı alanı denen şeyin modelini oluşturur. Sonra da en umut veren yöntemleri metotlu şekilde dener ve gerçekten işe yarayan, ağın içine girmede kullanabilecekleri bir saldırı yolu bulana kadar da tek tek deneme yoluyla çalışırlar.

Ancak bazı saldırı vektörlerini kullanmak diğerlerinden daha zordur ve bunlar aynı zamanda saldırı alanının modellenmesi sırasında kesintiye uğrarlar — suçluların bunları kullanarak zaman ve çaba harcamaya hiç niyeti yoktur, güvenlik araştırmacılarının da öyle. Ve bazı saldırı vektörlerinin kısıtlamaları vardır — örneğin saldırganın fiziksel olarak hedefine yakın durmasını gerektirirler ve bu vektörler bu durumda kimsenin işine yaramaz.

Kaspersky’nin ICS CERT görevlileri de bu nedenle akıllı ev merkezinin aygıtlarla konuşmak için kullandığı Z-Dalgası protokolüne saldırmakla uğraşmamaya karar verdi çünkü saldırganın fiziksel olarak eve yakın durması gerekiyordu. Programlama dili çevirmeninden yararlanma fikrini de boşverdiler; Fibaro merkezinde bunun yamalı sürümü kullanılıyordu.

Nihayetinde, Fibaro’nun kaçınmak için gösterdiği tüm çabalara rağmen uzak bir SQL-enjeksiyon açığı ve PHP kodunda birtakım uzak kod uygulama açıkları bulmayı başardılar (detaylar için, Securelist’teki raporu okuyun).

Bu açıkların sömürülmesi halinde saldırganlar akıllı merkeze yönetici erişimi haklarını elde eder ki bu da aslında merkezin bütün kontrolünü ele almak demektir. Merkezin sahibinde bile bu tür erişim haklarının bulunmadığını ve dolayısıyla saldırganın eylemlerinin önüne geçilemeyeceğini belirtmekte yarar var. Ama öncelikle, saldırganların aygıta komut göndermeyi başarması gerek.

Akıllı ev madalyonunun diğer yüzü

Fibaro akıllı evle ilgili önemli konulardan biri herhangi bir uzak konumdan bulut aracılığıyla yönetilebileceğidir. Bu da sadece aygıtın kendisinde değil kullandığı bulutta ve yararlandığı iletişim protokollerinde de açıkların bulunabileceği anlamına gelir. Sonunda Fibaro’nun bulutunda ciddi bir açığın mevcut olduğu ve saldırganların da dünyanın her yerindeki bütün Fibaro merkezlerinden yüklenen yedeklere erişebildiği anlaşıldı.

Güvenlik araştırmacıları ekibi de o evde bulunan Fibaro Ev Merkezi tarafından kaydedilmiş yedek verileri işte böyle ele geçirdi. Bu yedekte, başka şeylerin yanında, evin konumu, ev sahibinin akıllı telefonundaki coğrafi konum verileri, Fibaro’ya kaydolmak için kullanılan e-posta adresi, ev sahibinin evindeki (Fibaro veya farklı isimdeki) akıllı cihazlar hakkında bilgi ve hatta ev sahibinin parolası gibi çok sayıda kişisel bilgi içeren bir veri tabanı dosyası var.

Ancak, parola karma ve güvenlikli olarak doğru biçimde kaydedilmişti. Şifresi kolay çözülemedi ve güvenlik araştırmacılarına da hiçbir faydası olmadı. Diğer akıllı aygıtlardan bazılarının da parola gerektirmesi halinde, bu parolaların hiçbir şifreleme olmadan yine aynı veri tabanında saklanacağını da söylemekte fayda var.

Güvenlik araştırmacıları ekibi daha sonra bu yedeğin, ona uzaktan gönderilen gelişigüzel komutları yerine getirecek bir PHP metni biçiminde bir görev yükü içeren özel bir sürümünü oluşturdu. Bunun ardından, bir bulut işlevinden yararlanarak ev sahibine e-posta ve SMS mesajı gönderdiler ve akıllı evinde bir şeylerin ters gittiğini söyleyerek sorunu düzeltmek için bir güncelleme yapması gerektiğini bildirdiler.

Saldırı yapılmasını zaten beklemekte olan teknoloji meraklısı bu talebin aslında bir yem olduğunu anlamakta gecikmedi ama durumdan şüphelenmeyecek ortalama bir kullanıcı olsa büyük olasılıkla bunu anlamazdı. Böylece akıllı ev sahibi de oyuna katıldı ve saldırganlar da akıllı merkeze ve onun kontrolündeki akıllı aygıtların tamamına erişmeyi başardı. En önemlisi, aynı zamanda ev ağına da erişim sağladılar.

Bir akıllı ev hacklendiğinde ne olur?

Saldırganlar bir akıllı eve sanal olarak girmeyi başardıktan sonra, ev ağına bağlı bulunun akıllı alet ve aygıtların tamamını kontrol edebilir. Bu durumda, evin sıcaklığını kumanda edebilir, saunayı açabilir, stereodan yüksek sesle müzik dinleyebilir (bu gerçekten de yapıldı — alarm sesi bir davul ve bas müzikle değiştirildi), ağdaki yazıcıdan herhangi bir şey çıkarabilir ve başka birçok şey yapabilirler.

Daha önemlisi, ön kapıyı uzaktan açabilir, güvenlik kameralarını ve hareket algılayıcıları devreden çıkarabilirler, böylece ev de kolayca soyulabilir. Ev sahibinin telefonundan koordinatları takip de edebildikleri için, bu işlemleri kişinin evden uzakta olduğu bir zamana göre planlayabilirler.

Genel olarak, eğer saldırganlar evinizi soyma niyetiyle güvenlik sistemini devreden çıkarmak için hacklemiş değilse, akıllı evinizin hacklenmesi fazla zarar vermeyebilir. Buradan alınacak ders, bir akıllı ev planlarken güvenlik özelliklerine fazla bel bağlamamaktır — hepsi devreden çıkarılabilir.

Oldukça güvenli bir ürün geliştirmiş olan ve tespit ettikleri açıkları hızla yamamak için ICS Cert araştırmacılarıyla yakın işbirliği yapan Fibaro Grubu da takdir etmek zorundayız. Fibaro Akıllı Ev Merkezleri bu küçük deneyimizin sonucunda daha güvenli hale geldi ve bizce artık güvenle kullanılabilirler.