Los riesgos de la seguridad en dispositivos IoT no son nuevos. ESET Latinoamérica analiza una serie de vulnerabilidades críticas detectadas en estos equipos. El problema de seguridad se ubicaría en la central inteligente (smart hub) que los controla.
Así, los fallos de seguridad en los dispositivos IoT permitirían a un hacker abrir la puerta principal de una casa que cuente con cerradura inteligente.
Riesgos
ESET realizó un análisis de doce dispositivos IoT disponibles en el mercado. Este revela algún problema en cada uno de ellos, desde el punto de vista de la privacidad:
- ESET descubrió que los riesgos son de diseño e implementación de los mecanismos de autenticación de la API de la central inteligente.
- Una vulnerabilidad en la llave privada SSH para ROOT permite que esta pueda ser extraída de la tarjeta de memoria ubicada en el dispositivo.
La llave extraíble es la puerta de entrada a la cuenta del usuario con máximo nivel de acceso. Así, cualquiera que tenga la llave privada puede acceder a dispositivos IoT sin necesidad de tener que crackear la contraseña.
Fallos de la llave privada
Usando la llave privada, los investigadores de ESET usaron una contraseña hasheada (mediante un archivo .json), la cual utilizaron para acceder a la API mediante el uso de la técnica pass the hash. Así, los investigadores engañaron al dispositivo IoT al hacerle creer que eran los propietarios del equipo.
Por lo tanto, basta que un atacante use un comando para enviar una solicitud a una central inteligente vulnerable para desbloquear y bloquear una puerta.
¡Ábrete, sésamo!
Como resultado, un atacante solo necesitaría estar conectado a la misma red Wi-Fi para violar la seguridad, según ESET. En otras palabras, un apartamento permitiría abrir todas las demás puertas de un edificio inteligente.
