Getty Images
Un contrôleur de porte de garage leader sur le marché est si criblé de graves vulnérabilités en matière de sécurité et de confidentialité que le chercheur qui les a découverts conseille à quiconque en utilise un de le déconnecter immédiatement jusqu’à ce qu’il soit corrigé.
Chaque appareil de 80 $ utilisé pour ouvrir et fermer les portes de garage et contrôler les alarmes de sécurité à domicile et les prises de courant intelligentes utilise le même mot de passe universel facile à trouver pour communiquer avec les serveurs Nexx. Les contrôleurs diffusent également l’adresse e-mail non cryptée, l’ID de l’appareil, le prénom et la dernière initiale correspondant à chacun, ainsi que le message requis pour ouvrir ou fermer une porte ou allumer ou éteindre une prise intelligente ou programmer une telle commande pour une date ultérieure. temps.
Débranchez immédiatement tous les appareils Nexx
Le résultat : toute personne ayant une formation technique modérée peut rechercher sur les serveurs Nexx une adresse e-mail, un ID d’appareil ou un nom donné, puis envoyer des commandes au contrôleur associé. (Les contrôleurs Nexx pour les alarmes de sécurité à domicile sont sensibles à une classe similaire de vulnérabilités.) Les commandes permettent d’ouvrir une porte, d’éteindre un appareil connecté à une prise intelligente ou de désarmer une alarme. Pire encore, au cours des trois derniers mois, le personnel de Nexx, basé au Texas, n’a pas répondu aux multiples messages privés avertissant des vulnérabilités.
“Nexx a constamment ignoré les tentatives de communication de ma part, du Département de la sécurité intérieure et des médias”, a écrit le chercheur qui a découvert les vulnérabilités dans un article publié mardi. “Les propriétaires d’appareils doivent immédiatement débrancher tous les appareils Nexx et créer des tickets d’assistance avec l’entreprise leur demandant de résoudre le problème.”
Le chercheur estime que plus de 40 000 appareils, situés dans des propriétés résidentielles et commerciales, sont impactés et plus de 20 000 personnes ont des comptes Nexx actifs.
Les contrôleurs Nexx permettent aux gens d’utiliser leur téléphone ou leurs assistants vocaux pour ouvrir et fermer leurs portes de garage, soit sur commande, soit à des heures programmées de la journée. Les appareils peuvent également être utilisés pour contrôler les alarmes de sécurité à domicile et les prises intelligentes utilisées pour allumer ou éteindre à distance les appareils. Le centre de ce système sont des serveurs exploités par Nexx, auxquels le téléphone ou l’assistant vocal et l’ouvre-porte de garage se connectent. Le processus en cinq étapes pour inscrire un nouvel appareil ressemble à ceci :
Publicité
- L’utilisateur utilise l’application mobile Nexx Home pour enregistrer son nouvel appareil Nexx auprès du Nexx Cloud.
- Dans les coulisses, le Nexx Cloud renvoie un mot de passe que l’appareil doit utiliser pour des communications sécurisées avec le Nexx Cloud.
- Le mot de passe est transmis au téléphone de l’utilisateur et envoyé à l’appareil Nexx via Bluetooth ou Wi-Fi.
- L’appareil Nexx établit une connexion indépendante avec le Nexx Cloud à l’aide du mot de passe fourni.
- L’utilisateur peut désormais faire fonctionner sa porte de garage à distance à l’aide de l’application mobile Nexx.
Voici une illustration du processus :
Sam Sabétan
Un mot de passe universel facile à trouver
Pour que tout cela fonctionne, les contrôleurs utilisent un protocole léger appelé MQTT. Abréviation de Message Queuing Telemetry Transport, il est utilisé dans les réseaux à faible bande passante, à latence élevée ou autrement instables pour favoriser une communication efficace et fiable entre les appareils et les services cloud. Pour ce faire, Nexx utilise un modèle de publication à abonnement, dans lequel un seul message est envoyé entre les appareils abonnés (le téléphone, l’assistant vocal et l’ouvre-porte de garage) et un courtier central (le cloud Nexx).
Le chercheur Sam Sabetan a découvert que les appareils utilisent le même mot de passe pour communiquer avec le cloud Nexx. De plus, ce mot de passe est facilement accessible simplement en analysant le micrologiciel fourni avec l’appareil ou la communication aller-retour entre un appareil et le cloud Nexx.
“L’utilisation d’un mot de passe universel pour tous les appareils présente une vulnérabilité importante, car les utilisateurs non autorisés peuvent accéder à l’ensemble de l’écosystème en obtenant le mot de passe partagé”, a écrit le chercheur. “Ce faisant, ils pourraient compromettre non seulement la vie privée mais aussi la sécurité des clients de Nexx en contrôlant leurs portes de garage sans leur consentement.”
Lorsque Sabetan a utilisé ce mot de passe pour accéder au serveur, il a rapidement trouvé non seulement des communications entre son appareil et le cloud, mais aussi des communications pour d’autres appareils Nexx et le cloud. Cela signifiait qu’il pouvait passer au crible les adresses e-mail, les noms de famille, les initiales et les identifiants d’appareil des autres utilisateurs pour identifier les clients en fonction des informations uniques partagées dans ces messages.
Publicité
Mais c’est encore pire. Sabetan pouvait copier les messages émis par d’autres utilisateurs pour ouvrir leurs portes et les rejouer à volonté, de n’importe où dans le monde. Cela signifiait qu’une simple opération de copier-coller suffisait pour contrôler n’importe quel appareil Nexx, peu importe où il se trouvait.
Une vidéo de preuve de concept démontrant le hack suit :
Vulnérabilité du garage intelligent NexxHome – CVE-2023-1748.
Cet événement rappelle le cliché usé selon lequel le S dans IoT, abréviation du terme générique Internet des objets, est synonyme de sécurité. Alors que de nombreux appareils IoT offrent une commodité, un nombre effrayant d’entre eux sont conçus avec des protections de sécurité minimales. Les micrologiciels obsolètes avec des vulnérabilités connues et l’impossibilité de mettre à jour sont typiques, tout comme une myriade de défauts tels que les informations d’identification codées en dur, les contournements d’autorisation et la vérification d’authentification défectueuse.
Toute personne utilisant un appareil Nexx devrait sérieusement envisager de le désactiver et de le remplacer par autre chose, bien que l’utilité de ces conseils soit limitée car il n’y a aucune garantie que les alternatives seront plus sûres.
Avec autant d’appareils à risque, l’Agence américaine de cybersécurité et de sécurité des infrastructures a publié un avis suggérant aux utilisateurs de prendre des mesures défensives, notamment :
- Minimiser l’exposition du réseau pour tous les dispositifs et/ou systèmes du système de contrôle et s’assurer qu’ils ne sont pas accessibles depuis Internet.
- Localisation des réseaux de systèmes de contrôle et des appareils distants derrière les pare-feu et isolement des réseaux d’entreprise.
- Lorsqu’un accès à distance est requis, utilisez des méthodes sécurisées, telles que les réseaux privés virtuels (VPN), reconnaissant que les VPN peuvent présenter des vulnérabilités et doivent être mis à jour vers la version la plus récente disponible. Reconnaissez également que le VPN est aussi sûr que ses appareils connectés.
Bien sûr, ces mesures sont impossibles à déployer lors de l’utilisation de contrôleurs Nexx, ce qui nous ramène à l’insécurité globale de l’IoT et au conseil de Sabetan de simplement abandonner le produit à moins ou jusqu’à ce qu’un correctif arrive.
