Na kanwie dzisiejszych wydarzen zwiazanych z atakiem hackerskim na lodowki sklepowe w calej Polsce ... pozdrawiam wszystkich, ktorzy maja piece podlaczone do smarthome i inne urzadzenia sterowane przez internet.
#polskiedomy #smarthome #cyberbezpieczenstwo #technologia #internet
@100mph a to co była akcja jak we Francji?
@SaucissonBorderline i Niemczech
kogo zaatakowali?
@DEATH_INTJ Marylę Rodowicz - podobno już śpiewa
@100mph Urządzenie podłączone do internetu =/= urządzenie widziane z internetu.
@Marchew - jak widać w przypadku Francji to nie zawsze
Litera S w IoT oznacza bezpieczenstwo
@Ragnarokk litera A w volvo oznacza Aerodynamiczny
@100mph przecież większość tych domowych urządzeń jest dostępne przez chmurę producenta i nie ma panelu admina wystawionego do neta. Na shodanie swojej lodówki LG nie znajdziesz.
@FoxtrotLima - brak panelu admina dostępnego z internetu nie oznacza braku ekspozycji. Shodan pokazuje głównie usługi, które da się znaleźć i rozpoznać z zewnątrz a urządzenie sterowane przez chmurę może w ogóle nie nasłuchiwać połączeń przychodzących, a mimo to zależeć od aplikacji, API i infrastruktury producenta. Bezpieczeństwo trzeba więc oceniać dla całego produktu, nie tylko samego sprzętu.
Najważniejsze zagrożenia:
Problemy w chmurze lub API producenta - błędy uwierzytelniania i kontroli dostępu mogą ujawnić dane albo pozwolić przejąć konto czy sterowanie urządzeniem. Urządzenie nie musi być bezpośrednio widoczne w internecie.
Przejęcie konta użytkownika - wyłudzone, powtórnie używane lub słabe hasło do aplikacji może dać dostęp do urządzeń i danych przypisanych do konta.
Wyciek danych - urządzenie może wysyłać do chmury informacje o użytkowaniu, harmonogramach, lokalizacji albo stanie domu; ryzyko dotyczy zarówno transmisji, jak i przechowywania danych.
Niebezpieczne aktualizacje lub nieaktualne oprogramowanie - luki w firmware, bibliotekach, aplikacji lub usłudze chmurowej mogą pozostać niezałatane, zwłaszcza gdy producent zakończył wsparcie.
Przejęcie urządzenia przez sieć lokalną - atakujący, który już dostał się do domowej sieci, może szukać słabo zabezpieczonego urządzenia lub wykorzystać je jako punkt wejścia do innych sprzętów. To inne ryzyko niż bezpośredni dostęp z internetu.
Awaria lub przejęcie usługi producenta - może przerwać zdalne sterowanie, ujawnić dane albo - zależnie od projektu - umożliwić nieuprawnione wydawanie poleceń. Zależność od chmury to także ryzyko dostępności, nie tylko poufności.
Botnet lub nadużycie zasobów - zainfekowane urządzenie może zostać użyte do ataków na innych, nawet jeśli właściciel nie wystawił mu publicznego panelu. NIST wymienia zarówno ryzyko botnetów, jak i problem niewystarczającego monitorowania oraz aktualizacji w urządzeniach IoT.
@koszotorobur dzięki za ten ai slop
@FoxtrotLima Nawet jeśli coś słucha tylko lokalnie, to poza wymienionymi powyżej opcjami, "fajnym" patentem na atak jest XSS na jakąś stronkę, który osadza tam skrypt robiący intranet CSRF (atak, gdzie JS preparuje request na 192.168.X.X albo inny lokalny adres, i robi tam niecne rzeczy).
@FoxtrotLima - nie ma za co - zawsze do usług jeśli widzę, że trzeba trochę więcej informacji dla nieświadomków wcisnąć, oczywiście za leniwy jestem by sam pisać, ważne, że z grubsza się info zgadza
@FoxtrotLima a co tam się nie zgadza? Z tego co czytam, to raczej wszystko ok i przykłady też ok. Może tylko pierwszy się dubluje z przedostatnim, chociaż nie do końca.
Pytam, bo jak tam widzisz błędy, to powinienem je też widzieć, bo za kilka tygodni mam egzamin z podstaw cyberbezpieczeństwa.
@100mph piece xd oni mają kamery w pokojach dziecięcych nawet bez hasła albo domyślnym.
Swego czasu zobaczenie co się dzieje u sąsiadów to był banał i w sumie dalej jest. Kiedyś kolega się ze mną kłócił że przecież ma hasło to nic się nie stanie, to mu pokazałem ile podatności ma jego router i jego kamera (aktualizacja firmware nigdy) xD + pokazałem mu na koniec konserwacji ile jest stron dla normików z dostępem do takich kamer, niby pokazują tylko ip i obraz ale wejście to był banał, a nawet można było dźwięki puszczać i straszyć Hindusów.
@Czokowoko kamera w pokoju bobasa nie jest tak grozna jak piec CO i CWU gotujacy wode
@100mph kazdy nowy piec CO ma czujnik ktory go wyłącza. Co wiecej czujnik jest jest mechaniczny wiec tutaj raczej ciezko bedzie cos zjebać
@Bystrygrzes tak ale możesz np. w CWU puścić wodę o temperaturze, którą ktoś się poparzy
@100mph przecież w CWU standardowo płynie woda którą możesz się poparzyć oO
Pasuje żeby się jednak ta Legionella nie panoszyła, a od regulacji temperatury w docelowym odbiorniku jest nie wiem, bateria termostatyczna kranu?
@LaMo.zord nie kazda bateria jest termostatyczna xD jak chcesz z piecem inny przyklad to wystarczy, ze ktos ma piec lub pompe z podlogowka bez zaworu mieszajacego bo nie ma innej formy ogrzewania i ktos podnosi zdalnie temperature na piecu czy pompie i podajesz na podloge 85 stopni ;)
@100mph w sensie, że taka z dwoma kurkami? No to już problem brytoli XD
Co do podłogówki to też raczej bez mieszającego tylko i kogoś kto robił turbo januszerkę.
Rozumiem, że są jakieś MOŻLIWE zagrożenia, ale to tylko w przypadku kiedy instalacja jest robiona naprawdę biednie.
@LaMo.zord chlopie, kazda bateria, ktora nie ma nastawy temperatury na pokretle nie jest termostatyczna xD to sa jedynie baterie mieszalnikowe bazujace na glowicu mieszalnikowek i sprzedaje sie ich przytlaczajaca wiekszosc xD nie wiem skad Ty sie urwales, ze nie slyszales o bateriach mieszalnikowych
*mieszaczowa
@LaMo.zord po co zawor mieszajacy jesli w domu masz jeden system ogrzewania, np podlogowke? co ma Ci dodatkowego dac oprocz zwiekszonych kosztow instalacji i strat ciepla? przeciez na wyjsciu zrodla ciepla juz bedziesz mial ustalona gorna granice temperatury wody/glikolu w instalacji xDDD
@100mph mea culpa, faktycznie bateria mieszająca. Co nie zmienia faktu, że IMHO nawet mój niepełnosprawny syn się jakoś nie poparzył pomimo, że i mnie CWU ma 70°C puszczone.
Po co zawór mieszający?
Właśnie po to, że jak pięć ma awarie elektroniki to nie puści ci wrzątku na instalację?
No ale wiadomo kilka stów za zawór na wyjściu to ogromna oszczędność w skali całej instalacji CO XD
@LaMo.zord no ale przeciez piec ma mechaniczny zawor bezpieczenstwa ;) wyzej padl taki argument ;) zamiast niego mozna dac zawor cisnieniowy a pewnie znajdzie sie jeszcze jakies zabezpieczenie termostatyczne
@100mph Jak kupowałem piekarnik to najważniejsza dla mnie była piroliza i sonda, okazało się, że większość modeli która miała to i to była wyposażona też w wifi. Ja swoje od razu wyłączyłem i nie zamierzam podpinać do ha ale wyobraź sobie, że ktoś zdalnie odpala pirolizę 500*C na 3h i wszystko to co jest w piekarniku zaczyna płonąć.
@Hasti tak z ciekawosci zapytam, po co w piekarniku wifi?
Poodbnie jak pralce czy lodowce....
-----
Ogrzewanie jestem sobie w stanie wyjasnic - bo mieszkam w AT tylko z zona - na swieta wyjezdzamy do polski + zawsze jeszcze w lutym jade na jakies narty.
I zawsze jest ten sam problem - obnizam temperature ogrzewania na ten czas na okolo 16 stopni - wracamy po 2 tygodniach z polski i w domu zimno.
@Hasti Spoko, te apki chyba nie pozwalają włączyć piekarnika zdalnie że względów bezpieczeństwa, ale nie dam sobie ręki uciąć bo zrobiłem tak jak ty i nigdy nie podpiąłem swojego. Co najwyżej dostaniesz powiadomienie, że pieczenie się skończyło co kwestionuje czy w ogóle te podłączenie przez Wi-Fi było potrzebne kiedykolwiek
@Bystrygrzes w samsungu tv moze wyswietlac Ci komunikaty z piekarnika i lodowki :) pewnie zdalnie tez mozna piekarnik zalaczyc czy podejrzec z kamery jego wnetrze
@M_B_A Z tego co sprawdzałem to apka pozwalała sterować piekarnikiem w ograniczony sposób. Więc spokojnie ktoś mógłby dojść do innych ustawień.
@Bystrygrzes Po to też żeby naciągać ludzi i nabijać kabze producentom. Wkładasz moduł wifi za 2$ a do ceny piekarnika doliczasz 1200zł bo jest smart.
@Hasti znam ludzi, ktorzy sobie elektrycznie otwierane szafki w kuchni zrobili a potem ups do nich montowali lol
@100mph Grubo, widziałem takie rozwiązania
@Hasti ja mam tylko swiatelko w smietniku dzialajace jak w lodowce <3
Zaloguj się aby komentować