Taloussanomat

Suomessa myytävä pistorasia kaapattavissa netistä käsin

Tältä näyttää haavoittuva pistorasia.

19.1.2016 11:15 F-Securen Harry Sintonen julkisti Disobey.fi-hakkeritapahtumassa haavoittuvuuden Uni-Elektran valmistamassa kauko-ohjattavassa pistorasiassa, joka päästää ulkopuolisen hyökkääjän kontrolloimaan sen toimintaa.

Olisiko kivaa pistää puhelimesta päälle lamppuja tai oikeastaan mitä tahansa muita pistorasiaan kytkettäviä sähkölaitteita?

Saksalainen Uni-Elektra valmistaa nimellä SilverCrest Wi-Fi-Pistorasia SWS-A1 myytävää puhelimella kauko-ohjattavaa pistorasiaa, jolla voi laittaa sähköt päälle tai pois päältä siihen kiinnitetystä laitteesta. Se täyttää tarpeen, mutta paljastui juuri turvattomaksi.

Kyberturvallisuusasiantuntija Harry Sintonen paljasti lauantaina Disobey.fi-tapahtumassa esityksessään Pwning the power sockets, että SilverCrestin rasia ottaa vastaan komentoja puhelinsovelluksen lisäksi aivan yhtä auliisti myös miltä tahansa muulta laitteelta, joka lähettää sille sopivan komennon.

Kauko-ohjattavaa rasiaa myydään muun muassa Lidl-ketjussa ja sitä on saanut ajoittain ostettua myös Suomen Lidl-myymälöistä.

– Mietin miksi puhelinsovelluksella pitää kirjautua pilveen, kun kerran rasiaa ei kuitenkaan voinut ohjata kuin lähiverkosta. Pilvi ei siis voinut suoraan kontrolloida rasiaa internetin yli. Päättelin, että joko pilvi ohjaa rasiaa puhelimen kautta tai puhelin todellisuudessa kontrolloi rasiaa suoraan ilman pilven apua. Jälkimmäinen osoittautui oikeaksi arvaukseksi, Sintonen kertoi esityksen jälkeen Digitodaylle.

Sintonen selvitti millaisia komentoja rasialle pitää lähettää tutkimalla puhelinsovelluksen toimintaa sen java-koodia lukemalla. Sitten hän kirjoitti työkalun laitteiden etähallintaan.

– Ohjelmani lähettää kaikkiin mahdollisiin lähiverkon osoitteisiin kyselyn laitteen statuksesta kaikilla mahdollisilla autentikointikoodeilla, joita on yhteensä 65536. Kun se osuu oikeaan koodiin, laite palauttaa statuksen, joka kertoo minulle mistä osoitteesta laite löytyy. Tämän jälkeen voin lähettää sille samalla autentikointikoodilla minkä tahansa laitteen tunnistaman komennon, Sintonen kertoo.

Sintonen esitteli löydöstään lavalla kytkemällä kannettavalla tietokoneellaan vieressä olevan lampun päälle ja sitten pois. Pistorasian sai myös silmukkaan, jossa se nopealla aikavälillä kytki sähkön päälle ja pois lampusta. Tarpeeksi nopealla vaihtelulla hyökkääjä voisi helposti rikkoa huonosti suojatun sähkölaitteen.

Näin laite yleensä toimii. Puhelinsovellus kirjautuu pilvipalvelimelle internetissä. Se myös viestii erikseen lähiverkon pistorasioille. Puhelin saa pilvestä tunnistekoodit, joilla rasioita hallitaan. Haavoittuvuus perustuu siihen, että puhelimen voi ko

Sintonen näytti myös komennon, joka kytki lampun pois päältä ja sulki sen uudelleen heti, jos se kytkettiin päälle puhelimesta, sekä komennon joka samaan tapaan kytki lampun takaisin päälle, vaikka sen sammutti puhelimesta.

Mikä pahinta monet näistä laitteista näkyvät internetiin. Sintonen näytti tietoturvahakukone Shodanin paljastaneen verkosta useita pistorasioita, jotka olisivat todennäköisesti totelleet mukisematta samaa komentoa. Sintonen ei muiden laitteisiin koskenut, mutta mikään ei estä pahantahtoista hyökkääjää kirjoittamasta omaa työkaluaan ja käyttämästä sitä samaan.

Mitä sitten pitää tehdä, jos SilverCrestin rasian on ostanut ja sen käyttöön ihastunut? Välitöntä syytä huoleen ei ole, jos verkko on säädetty hyvin. Perustason kuluttajaliittymässä kodin reititin estää verkosta tulevia pyyntöjä pääsemästä kotiverkon laitteille asti. Tällaisen reitittimen takaa Shodan ei löydä laitetta, eikä se myöskään ota hyökkääjän komentoa vastaan. Sintonen ei kuitenkaan suosittele luottamaan tähän.

– Paras ratkaisu on käyttää näitä pistorasioita pelkästään niille eristetyssä langattomassa verkossa, johon liitetään vain pistorasiat ja niitä ohjaava laite, Sintonen linjaa.

Tämä onnistuu hankkimalla laitteita varten erillisen tukiaseman. Kätevämpi ratkaisu on luopua SilverCrestistä ja etsiä turvallisempia ratkaisuja muilta valmistajilta.

Harry Sintonen puhui omasta tahdostaan omalla nimellään. Muuten Disobey-tapahtumassa vallitsi anonymiteetti.

Lidl ei ollut tietoinen haavoittuvuudesta Digitodayn ottaessa kauppaketjuun yhteyttä.

– Tiedossamme ei ole, että tuotteessa SilverCrest Wi-Fi-Pistorasia SWS-A1 olisi mainitsemaasi haavoittuvuutta. Lidlin kansainvälisen oston ja laadunvalvonnan asiantuntijat selvittävät parhaillaan asiaa, kommentoi Kaisa Koivuranta Lidlin viestinnästä.

Koivurannan mukaan kaikki Lidlissä myytävät sähkölaitteet on valmistettu eurooppalaisten standardien mukaan ja ne ovat myös ulkopuolisen instituutin testaamia.

Digitoday julkaisee tiedon haavoittuvuudesta, koska se on mitä todennäköisimmin päätynyt hakkerikanavien kautta myös pahantahtoisten hakkerien tietoon. Näin pistorasian omistajat voivat halutessaan lopettaa sen käyttämisen.

Jutun kirjoitti: Tapio Berschewsky, Henrik Kärkkäinen

Tapio Berschewsky, Henrik Kärkkäinen

Teksti on lisensoitu Creative Commons Nimeä-Ei muutoksia-Epäkaupallinen -lisenssillä.

Kommentit (22)

Sivut: 1 2 3
EdellinenSeuraava

Anonyymi
Saakohan sen lähettämään roskapostia?
Anonyymi: Onnim 19.1.2016 13:05

Anonyymi
Jotenkin tuntuu,että pilvi peittää nyt monen harkintakyvyn...

Älypistorasioita...kännykällä päälle..netissä kaapattavissa..hymhyy...

Herätkääkääpä nyt-kissa tahtoo pihalle.
Anonyymi: Make-123 19.1.2016 13:09

Anonyymi
SilverCrest in Lidlen tuote, ei sitä muut myy.
Anonyymi: TietoaOn 19.1.2016 13:26

Rekisteröitynyt käyttäjä
Ei tule jäämään viimeiseksi vastaavaksi. Menee samaan kategoriaan viime viikkoisen googlen termostaattiuutisen kanssa.

Näissä pilveen liitettävissä esineissä kannattaa todellakin miettiä mitä hyötyä siitä pilvestä oikeasti on. Jos tarve on älypuhelimella tms. laitteella ohjata esinettä suoraan kotoa, kannattaa unohtaa pilvi siitä välistä ja tehdä kuten Sintonen opasti. Rakenna oma verkko tai ainakin varmistu ettei sisäverkkoon pääse suoraan tai välillisesti Internetistä.
Rekisteröitynyt käyttäjä: cgi-bin 19.1.2016 13:37

Anonyymi
UNI-Elektra Gmbh valmistaa melkein mitä tahansa kodin pistorasiaan sopivaa vempelettä monilla merkeillä. Ei ole vain Silver Crest - merkin ongelma. Katso http://www.uni-elektra.de
Anonyymi: LisääTietoaOn 19.1.2016 13:51

Rekisteröitynyt käyttäjä
varmistu ettei sisäverkkoon pääse suoraan tai välillisesti Internetistä.


Salasana voi ihan huoletta olla vaikka 1234 kaikilla pistorasioilla mikäli sinne sisäverkkoon ei pääse internetistä. Tähän ne halvimmankin pään 4G- asdl tai mikäli-reitittimet estävät ihan oletuksena.

Sitten kun laitteen käyttäjä uskoo vaikka lupausta nopeammasta ipv6 verkosta hän vaihtaa sinne ipv6 asetukset tietämättä mitä tekee. Sitten on julkiset ipv6 osoitteet ihan kaikilla ennen turvassa olleilla laitteilla.

Pilvi ei tässä tarkoita oikein muuta kuin jonkun koodin tallennusta. Parinkympin pistorasiasta kuten myös muista "älylaitteista" tulee tietoturvariskejä heti kun ne päästetään suoraan internettiin. Kustannusteknisistä syistä niistä ei koskaan tule niin suojattuja että ne voisi liittää suoraan internetiin.
Rekisteröitynyt käyttäjä: Observer 19.1.2016 14:59

Anonyymi
Pilvipalvelu mainittu, kas siinäpä syypää kaikkiin mahdollisiin ongelmiin. Ja yllätys yllätys: tähänkään asiaan ei (jälleen kerran) oikeasti edes tarvittaisi pilvipalvelua, kuten ei 99% mihinkään muuhunkaan, koska asiat voi tehdä myös järkevällä tavalla.

Kun hommaan ei sotketa pilvipalvelua ensinkään ja pidetään koko touhu pelkästään sisäverkossa (ja ulos pelkästään VPN:llä) niin näitä jatkuvia tietoturvaongelmiakaan ei olisi läheskään siinä määrin kuin nyt on.

Etähallinta on ihan kivaa ja toimivaa, omalla kohdalla harrastellut tätä jo yli 10 vuotta ja ilman ainuttakaan pilvipalvelua. Lisäksi onnistuu niin PC:llä kuin puhelimella - eikä ainoastaan puhelimella.
Anonyymi: Pilvipalveluissa_syy 19.1.2016 15:40

Anonyymi
lasketaan teoreettinen aika jos ei tiedetä
IPnmeroa eikä porttia etukäteen
ping=100 ms
portti= 65536 kpl
IPumero 192.168.0.0---192.168.0.255
aika=0.1s x 65536 x 256 = 1677721.6 s
aika= 19.42 vuorokautta kestää tutkiminen jos
onnistuu viimeisellä kerralla turhapelko on
viitseliäs kaveri on jos jaksaa tutkia
Anonyymi: eitietokoneexpertt 19.1.2016 16:13

Anonyymi
lasketaan teoreettinen aika jos ei tiedetä
IPnmeroa eikä porttia etukäteen
ping=100 ms
portti= 65536 kpl
IPumero 192.168.0.0---192.168.0.255
aika=0.1s x 65536 x 256 = 1677721.6 s
aika= 19.42 vuorokautta kestää tutkiminen jos
onnistuu viimeisellä kerralla turhapelko on
viitseliäs kaveri on jos jaksaa tutkia

Ei kyllä missään (sisä)verkossa ole 100 ms vasteaikoja.
Anonyymi: JaakkoF 19.1.2016 16:27

Anonyymi
lasketaan teoreettinen aika jos ei tiedetä
IPnmeroa eikä porttia etukäteen
ping=100 ms
portti= 65536 kpl
IPumero 192.168.0.0---192.168.0.255
aika=0.1s x 65536 x 256 = 1677721.6 s
aika= 19.42 vuorokautta kestää tutkiminen jos
onnistuu viimeisellä kerralla turhapelko on
viitseliäs kaveri on jos jaksaa tutkia


Eiköhän niissä oletuksena ole joku vakioportti jolloin aika putoaa alle kahden tunnin ja jos vasteaikakin olisi hieman nopeampi niin puhuttaiin minuuteista.
Anonyymi: Portteri 19.1.2016 16:44
Sivut: 1 2 3
EdellinenSeuraava
Ohjeet: Pysy aiheessa ja kirjoita napakasti. Muista, että haastateltavilla, kanssakeskustelijoilla ja toimittajilla on oikeus omaan, eriävään mielipiteeseen. Ole kohtelias, äläkä tarkoituksella provosoi tai hauku muita keskustelijoita. Taloussanomat varaa oikeuden poistaa asiattomat viestit.
Lue koko keskusteluetiketti
Varaa oma nimimerkkisi Taloussanomien uutiskommentointiin rekisteröitymällä käyttäjäksi tai kirjaudu sisään.

Rekisteröityminen ja nimimerkin varaus eivät ole pakollisia.

Nimimerkissä saa käyttää ainoastaan kirjaimia ja numeroita. Sen minimimitta on viisi merkkiä ja maksimi kaksikymmentä merkkiä.
Olet kirjautunut sisään, muttet ole vielä valinnut omaa, muille käyttäjille näkyvää nimimerkkiäsi. Varaa nimimerkki omaksesi kirjoittamalla se nimimerkki-kenttään.

Varauksen jälkeen muut eivät voi käyttää nimimerkkiäsi ja se näkyy automaattisesti kaikissa kirjoittamissasi viesteissä.

Huomioithan, ettei nimimerkkiä ei voi muuttaa jälkikäteen.

Nimimerkissä saa käyttää ainoastaan kirjaimia ja numeroita. Sen minimimitta on viisi merkkiä ja maksimi kaksikymmentä merkkiä.

Uusimmat uutiset

Digiyesterday

2011

Viisi vuotta sitten

LG:n puhelimet jäivät kilpailijoiden vauhdista

27.07.2011 Televisiokauppa nosti LG-ryhmän tuloksen voitolliseksi. Pettymys oli puhelinkauppa, korelaisen LG:n puhelimien myynti notkahti vuodessa rajusti.

.