Aggiornamenti recenti Febbraio 7th, 2025 11:57 AM
Mag 28, 2018 Marco Schiaffino News, RSS, Vulnerabilità 1
L’incubo IoT non ha mai fine. Oltre all’eterna quesitone legata alle vulnerabilità in remoto che hanno fatto la fortuna delle varie botnet (Mirai, Reaper e soci) comparse negli ultimi mesi, ora salta fuori una falla di sicurezza battezzata Z-Shave, che consentirebbe di portare attacchi molto più “ravvicinati” ai dispositivi della Internet of Things.
Il problema, come spiegano i ricercatori di Pen Test Partners in un dettagliato report, si annida nel protocollo Z-Wave e in particolare nel sistema di pairing utilizzato dal diffusissimo protocollo.
Z-Wave, utilizzato da almeno 2.400 produttori, sfruttava in origine un sistema di pairing con protezione decisamente “debole”, chiamato S0 e sostituito in seguito con il più robusto standard S2.
La differenza tra i due standard riguarda la chiave utilizzata per le comunicazioni tra il controller e i vari dispositivi al momento de pairing. Il vecchio standard, infatti, utilizzava una chiave crittografica predefinita (composta da zeri) che permetteva di compromettere il processo.
Purtroppo, però, nei dispositivi questa procedura è stata mantenuta per consentire la compatibilità con i vecchi controller e i ricercatori di Pen Test Partners hanno trovato un modo per forzarne l’utilizzo.
Nel rapporto vengono descritte tre modalità di attacco diverse, che permettono (in maniera più o meno articolata) di prendere il controllo di un dispositivo attraverso il downgrade della procedura di pairing.
Al momento del pairing è possibile alterare le informazioni inviate al controller per forzare l’uso dello standard S0 che consente di violare la sicurezza del protocollo.
Le prime due ipotesi configurano uno scenario in cui l’attaccante è presente al momento del pairing (in caso di installazione del dispositivo o quando viene sostituita la batteria) mentre la terza ipotesi prevede l’uso di un dispositivo in grado di “jammare” le comunicazioni tra il controller e i dispositivi.
Insomma, nulla che consentirebbe un uso della vulnerabilità su larga scala, ma che lascia aperto il pericolo che la tecnica venga utilizzata per portare attacchi mirati da parte di un pirata informatico che abbia abbastanza pazienza (o motivazione) per aspettare il momento giusto e colpire.
Nov 28, 2024 0
Ott 31, 2024 0
Ago 29, 2024 0
Lug 09, 2024 0
Feb 07, 2025 0
Feb 06, 2025 0
Feb 05, 2025 0
Feb 04, 2025 0
Gen 30, 2025 0
Quando si parla di dati e di privacy, gli utenti si dicono...Gen 29, 2025 0
Con l’avvento dell’IA generativa...Gen 15, 2025 0
Gli ultimi giorni dell’anno sono da sempre...Gen 08, 2025 0
Se finora l’FBI e il governo degli Stati Uniti ha...Gen 02, 2025 0
Oggi le aziende italiane non solo devono affrontare nuove e...Gen 29, 2025 0
Con l’avvento dell’IA generativa...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Feb 07, 2025 0
Un bug critico e noto di Outlook è stato sfruttato...Feb 06, 2025 0
Silent Lynx, un gruppo APT di origine kazaka, è tornato...Feb 05, 2025 0
Il team di Threat Hunting della Zero Day Initiative di...Feb 04, 2025 0
Sophos ha completato l’acquisizione di Secureworks,...Feb 03, 2025 0
Meta ha annunciato di aver smantellato una campagna di...
One thought on “Attacco a Z-Wave mette a rischio milioni di dispositivi IoT”