Tapplock, підтриманий Indiegogo, виявився зламаним і зламаним; виправляє вхідні

Для продукту, який отримав понад 300 000 доларів на Indiegogo – понад 500 відсотків від початкової мети – у Tapplock поганий тиждень у відділі безпеки. Зокрема, деякі дружні хакери з Pen Test Partners змогли зламати смарт-замок з підтримкою Bluetooth за лічені секунди, використовуючи лише мобільний телефон.

Digital Trends писав про замок і його “передовий зашифрований датчик відбитків пальців” ще в 2016 році, але смарт-замок вартістю 100 доларів виявився досить вразливим для злому, як з точки зору його фізичної будови, так і з точки зору його платформи безпеки.

По-перше, його фізична складова дещо скомпрометована. Звичайно, пара болторізів може пройти крізь замок, як гарячий ніж крізь масло, але це вірно для більшості замків споживчого ринку. Не кажучи вже про те, що замок навіть не водонепроникний, а просто “водостійкий”. Виявляється, замок виготовлений з промислового сплаву під назвою Zamak 3, що складається з цинк-алюмінію, який частіше зустрічається в литих іграшках та дверних ручках – елементу, який не є міцним, крихким і плавиться при температурі нижче 800 градусів за Фаренгейтом. Для порівняння, паяльна лампа, що працює тільки на повітрі, горить при температурі понад 3600 градусів за Фаренгейтом, тоді як пальник, що живиться киснем, загоряється при температурі понад 5000 градусів.

• Попередній веб-перегляд Google Home в прямому ефірі – і йому не вистачає більшості функцій
• 7 налаштувань Google Assistant, які слід відключити або налаштувати
• Як зберегти відео з Ring Doorbell без підписки

Але це ще не все на фронті фізичної безпеки. Кілька ютуберів вже виклали відео, що демонструють крихкість замка. 1 червня користувач під ніком JerryRigEverything зміг за допомогою липкого кріплення для GoPro зняти задню частину замка, демонтувати його за допомогою викрутки і відкрити дужку. Згодом CNET спробував той самий трюк і не зміг зламати замок, тому питання про те, чи є замок фізично безпечним, все ще залишається відкритим.

Тим часом, компанія Tapplock зробила заяву, що всі майбутні партії замків будуть використовувати власні гвинти у внутрішніх камерах в якості додаткового захисного механізму. Компанія також пропонує безкоштовну заміну замка будь-якому клієнту, який зможе зламати задню кришку, не пошкодивши замок.

Серія TappLock: Ваш відбиток пальця, ваш TappLock

Тим часом, компанія має справу з ще більшим головним болем для партнерів Pen Test Partners, які можуть зламати внутрішнє програмне забезпечення Tapplock менш ніж за дві секунди. Процес зайняв у тестерів проникнення менше години. Мало того, що програмне забезпечення транслювалося через незашифровані HTTP-лінії, так ще й замки щоразу використовували одні й ті ж дані. Будь-який зловмисник у тій самій мережі може перехопити трафік, перехопити дані для розблокування та використати їх, щоб розблокувати пристрій назавжди. Скидання до заводських налаштувань для блокування не передбачено.

“Такий рівень безпеки є абсолютно неприйнятним, – написав дослідник Pen Test Partners Ендрю Тірні (Andrew Tierny). “Споживачі заслуговують на краще, і поводитися з вашими клієнтами таким чином – це вкрай неповажно. Чесно кажучи, у мене немає слів”.

Коли компанія Tapplock отримала повідомлення про відкликання, компанія Pishon Lab, яка підтримує Tapplock, сказала Тірні: “Ми добре знаємо про ці зауваження”.

Згодом компанія заявила, що модернізує свій процес контролю якості та випускає патч безпеки для усунення вразливості свого програмного забезпечення. Процедури контролю якості тепер включають 2-етапну перевірку для забезпечення ефективності механізму пружинної ручки замка, в той час як програмний патч оновлює протокол безпеки, який включає додаткові кроки аутентифікації. Виправлення включає в себе оновлення програми, а також оновлення мікропрограми, що адмініструється за допомогою фірмового додатку компанії.

Pishon Labs також висловила подяку Pen Test Partners за “своєчасне оперативне та етичне розкриття інформації”.

Рекомендації редакції

• Найкращі поради, підказки та писанки для Google Home
• Додаток Google Home нарешті отримав великий редизайн, на який ви так довго чекали
• Найкращі віджети для Echo Show 15 для підключеної родини
• Як користуватися додатком Google Home на комп’ютері
• Як працює RingCentral? Все, що вам потрібно знати

Source: digitaltrends.com