Уязвимост в системите за домашна сигурност на Shelly застрашава милиони

Сериозен проблем в дизайна на новите устройства за домашна сигурност от поколение 4 на Shelly може да остави милиони домове в Европа уязвими на атаки. Според проучване на Pen Test Partners, компания за киберсигурност, е открито значително уязвимо място в продуктите на Shelly, които в момента се използват в над 5,2 милиона европейски дома.

Тази уязвимост създава невидима „задна врата“ в частните домове, която повечето потребители никога няма да открият. Според Pen Test Partners, новите устройства на Shelly от поколение 4 поддържат постоянно активна открита безжична точка за достъп, необходима за първоначална конфигурация, дори след като устройството бъде свързано към домашната Wi-Fi мрежа. Това оставя скрит мрежов достъп, който работи на заден план, без знанието или съгласието на потребителя.

Предишните модели на Shelly автоматично изключваха тази точка за достъп след свързването с мрежата. Настоящата уязвимост обаче позволява на всеки, стоящ извън дома, да използва Wi-Fi мрежата на жителите, за да отключи вратата, гаража или портата, което създава физически риск от кражби и нахлувания.

По-дълбоки проблеми с безопасността

Разширено проучване, проведено от Pen Test Partners, твърди, че проблемът е много по-сериозен от прост технически недостатък. Уязвимостта на текущото поколение 4 означава, че едно повредено устройство може да се използва като трамплин за достъп до почти всяко умно устройство в дома, независимо дали са на Shelly или не. С множество смарт домове в Европа, които все още работят с мрежи от смесени поколения, това може да доведе до сериозен недостиг на защита – както онлайн, така и офлайн.

Pen Test Partners е уведомила Shelly за този проблем с безопасността, но засега не са предприети действия за разрешаването му. Компанията заяви, че обновление на софтуера Firmware 1.8.0 ще адресира този недостатък, но потребителите в момента трябва ръчно да деактивират точките за достъп, което повечето собственици на домове може и да не знаят, че е необходимо.

Кен Мунро, основател на Pen Test Partners, коментира: „Те трябва да проведат голяма комуникационна кампания, за да обяснят, че точка за достъп е оставена отворена и как да я деактивират. Не са го направили, защото вероятно това ще повлияе на репутацията им.“

Реакция на Shelly и бъдещи подобрения

Представители на Shelly заявиха, че потребителите, които следват официалните методи за настройка чрез мобилното приложение, автоматично имат деактивирана точка за достъп. Потребителите, които избират ръчна конфигурация, получават предупреждения как да осигурят точката за достъп. Очаква се следващата версия на фърмуера да деактивира автоматично точките за достъп след определен период на бездействие.

„Искаме да подчертаем, че всички конфигурационни потоци и цифрови активи в екосистемата на Shelly – включително нашето мобилно приложение и уеб облачен интерфейс – предоставят ясни указания на потребителите за осигуряване на техните устройства,“ заяви представител на компанията.

В последните години броят на умните домове и свързаните устройства, които са подложени на критика за значителни уязвимости, нараства. Примери за подобни проблеми включват Amazon Ring и охранителни камери Dahua. „Нашата област на експертиза са свързаните устройства и тестваме всички видове системи за смарт домове,“ отбеляза Мунро.

Ситуацията изисква внимателно наблюдение и бързи действия от страна на производителите, за да се гарантира безопасността на потребителите.