freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

我家大门常打开,“开放”门锁等黑客?
2020-08-13 14:01:00

Smart Lock漏洞可以使黑客完全访问Wi-Fi网络。

如果你使用了智能门锁,并且使用的是August smart lock Pro + Connect的话,请注意,该门锁中未打补丁的安全漏洞意味着黑客可以完全访问你的Wi-Fi网络。

首先,August smart lock Pro + Connect门锁允许用户控制房屋的大门或其他地方,房主只需轻按即可解锁/锁定门,还能授予客人访问权限,监督其他人进入或离开房屋。

由于缺乏必要的硬件,该设备无法直接连接到互联网,因此,当用户在一定范围内时,可以通过蓝牙低能耗(BLE)控制锁定。而为了满足远程管理的需求,August应用程序形成了一个+ Connect Wi-Fi网桥,与互联网建立连接,再由控制智能锁的用户来回传递命令。

然而,在这种情况下,设备之间的命令用传输层安全(TLS)加密,不能以任何方式修改或利用。除此之外,只有所有者在其帐户中注册了锁,才能配置与无线网络相连的August连接。而用户通过两步验证获得对帐户的访问权限,因此所有者具有完全权限,可以授予访客全部或有限访问权限,接收即时通知并检查状态。

当然,为了实现这些功能,August Smart Lock Pro + Connect会连接到用户的Wi-Fi网络。在没有可用的键盘/输入设备的情况下,August使用一种通用技术来确保连接。该设备进入设置模式,作为接入点启用与智能手机的链接。随后,应用程序会将Wi-Fi登录凭据传递给智能锁,但这个通信是开放的(未加密),因此容易受到攻击。值得注意的是,虽然设备的固件会加密登录凭据,但使用的是ROT13,这是一种简单的密码,很容易被附近的黑客破解。

最后,不得不提一下漏洞从发现到披露的过程:

2019年12月9日:与受影响的供应商进行初步联系,交换了PGP密钥

2019年12月10日:供应商提前收到报告的副本

2019年12月18日:信息再次发送给受影响的供应商

2019年12月18日:漏洞已确认

2019年12月18日:CVE-2019-17098

2020年5月11日:供应商要求在2020年6月上旬安排公开信息

2020年1月16日:Bitdefender准备更新

2020年7月2日:Bitdefender准备另一次更新

2020年8月6日:Bitdefender没有收到供应商的回音,公开漏洞。

将近8个月后,这个漏洞依然存在。

参考来源

hackread

本文作者:, 转载请注明来自FreeBuf.COM

# 漏洞 # 智能门锁
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
评论 按时间排序

登录/注册后在FreeBuf发布内容哦

相关推荐
  • 0 文章数
  • 0 评论数
  • 0 关注者
登录 / 注册后在FreeBuf发布内容哦
收入专辑