Atak na lodówkę Samsunga – napastnicy zdobyli dane logowania do Gmaila

Chcieliście Internetu Rzeczy? Nawet jeśli nie chcieliście, itak go będziecie mieli, więc lepiej przygotować się na nowewspaniałe jutro, w którym poważnym zagrożeniem dla bezpieczeństwastaje się zwykły sprzęt AGD. Przedsmak tkwiących w tym możliwościpokazali badacze z brytyjskiej grupy Pen Test Partners, którzyzdołali wykraść dane logowania z lodówki Samsung RF28HMELBSR.

Jak wiadomo, niezbędnym elementem każdej nowoczesnej lodówkijest wbudowany ekran dotykowy, na którym można oglądać różnerzeczy – nie tylko filmy, ale też np. kalendarze członkówrodziny. Zamiast prymitywnych żółtych karteczek przeglądarka zdostępem do internetowych usług. Samsung zdecydował się nawykorzystanie tu popularnego Kalendarza Google i dlatego jego lodówkawymaga od swojego właściciela jego danych logowania do Gmaila.

Podczas konferencji DEFCON eksperci z grupy Pen Test Partners(znanej m.in. z odkrycia, że telewizory Samsunga przesyłająniezaszyfrowane dane z wbudowanych mikrofonów) pokazali,że lodówka łączy się z usługami Google'a po szyfrowanympołączeniu, ale nie sprawdza otrzymanych certyfikatów SSL, copozwala na atak man-in-the-middle i przejęcie przesyłanych danych.Każdy, kto uzyska dostęp do sieci bezprzewodowej, w którejznajduje się lodówka, stosując np. atak deautentykacji iuruchamiając fałszywy punkt dostępowy, może wówczas relatywniełatwo dane logowania do Gmaila czy Kalendarza przejąć.

Podobno na tym nie koniec problemów z wspomnianą lodówką –hakerzy twierdzą, że znaleźli kilka innych ciekawych błędów,uzyskując fizyczny dostęp do terminala lodówki przez USB orazinterfejs JTAG, ale zabrakło im czasu na opracowanie swoich odkryć.Wygląda jednak na to, że możliwe jest łatwe odszyfrowaniekomunikacji między lodówką a jej aplikacją mobilną, i w tensposób wysłanie do lodówki własnych rozkazów.

Samsung został poinformowany o odkryciu, rzecznik firmy przesłałwięc standardowy komunikat o trosce o bezpieczeństwo i podjęciuwszystkich starań, by zbadać i rozwiązać problem tak szybko, jakto możliwe. Mimo tych deklaracji zaczyna wyglądać na to, że wprzyszłości uzbrojeni w KaliLinuksa na smartfonie nastoletni hakerzy będą doprowadzaćswoich sąsiadów do rozpaczy.