La lampadina smart più venduta su Amazon è piena di vulnerabilità

Ago 28, 2023 Marina Londei Attacchi, Hacking, Minacce, News, RSS, Vulnerabilità 0

Un gruppo di ricercatori di sicurezza, composto dagli italiani Davide Bonaventura, Sergio Esposito e Giampaolo Bella, ha individuato una serie di vulnerabilità nella lampadina smart Tapo L530E di Tp-Link, la più venduta su Amazon Italia.

La lampadina si connette tramite Wi-Fi, senza usare un hub di controllo, e può essere facilmente controllata tramite un’applicazione proprietaria disponibile sia per Android che per iOS.

Durante un penetration test sul dispositivo, i ricercatori hanno individuato ben quattro vulnerabilità che hanno impatti significativi sulla sicurezza degli utenti.

La prima vulnerabilità, considerata a rischio critico, riguarda la mancanza di autenticazione della lampadina smart con l’applicazione: l’app non ha modo di capire se si è collegata a un’effettiva lampadina durante il setup, quindi un attaccante può impostare un access point finto, una falsa lampadina a cui l’utente si connette e con la quale condivide la password del Wi-Fi, oltre ai dettagli dell’account Tp-Link.

Credits: Rawpixel – Depositphotos

La seconda vulnerabilità consente a un attaccante di scoprire la chiave di sicurezza scambiata tra la lampadina e l’applicazione durante la fase di setup: la chiave, spiegano i ricercatori, è corta ed esposta in chiaro nel codice di entrambi gli endpoint, quindi facilmente recuperabile.

La terza e la quarta vulnerabilità riguardano lo scarso livello di sicurezza nella comunicazione tra lampadina e applicazione: in un caso, poiché i vettori di inizializzazione del cifrario sono statici, un attaccante può individuare lo schema crittografico utilizzato; nell’altro caso, né l’app né la lampadina controllano la validità dei messaggi o l’esistenza di duplicati, ma solo la validità della chiave di sessione che ha una durata di 24 ore.

Il gruppo ha individuato e testato cinque differenti scenari di attacco che sfruttano una o più delle vulnerabilità individuate.

Possibili fix

Nelle prove eseguite dai ricercatori la lampadina smart aveva la versione 1.0.0 dell’hardware e la versione 1.1.9 del firmware, mentre la versione dell’applicazione Tapo era la 2.8.14.

Sistemare le vulnerabilità non è semplice, soprattutto la prima. Secondo i ricercatori, andrebbe rivisto l’intero protocollo di comunicazione tra i due endpoint e andrebbe usato un server che si occupi di generare nuove chiavi periodicamente. Sia l’applicazione che la lampadina, inoltre, dovrebbero utilizzare vettori di inizializzazione dinamici e diversi per ogni messaggio. Non per ultimo, i messaggi dovrebbero contenere un timestamp del momento della creazione e un numero sequenziale per prevenire messaggi duplicati.

Pixabay

Nonostante alcuni sforzi iniziali per il setup dell’ambiente di attacco, gli scenari messi in pratica dai ricercatori non sono troppo difficili da replicare. Il mondo dell’IoT soffre ancora di gravi e numerosi problemi di sicurezza a causa della scarsa attenzione alla cybersecurity da parte delle aziende produttrici.

I ricercatori hanno notificato le vulnerabilità a Tp-Link e la compagnia ha comunicato di essere al lavoro per sistemarle, sia a livello di firmware che di applicazione. Al momento non ci sono ancora informazioni riguardo possibili date di rilascio dei fix.

Condividi l'articolo