密歇根大学的安全研究人员发现了三星SmartThings平台的许多设计缺陷。这些漏洞可能破坏使用SmartThings生态系统的任何智能家居设置的安全性，从而允许恶意应用程序打开门，错误地发出警报，设置家庭访问代码，将设备从休假模式唤醒以及其他许多攻击媒介。
在某种程度上可以节省一点，攻击之一取决于用户从SmartThings存储区下载恶意应用程序，或者通过跟踪恶意链接。一旦下载了恶意应用程序，攻击者就可以从世界任何地方有效地进行远程攻击。
可以理解，三星一直在防御关键的安全问题，声称它在充分了解安全性的情况下运行。问题，并正在积极地解决这些问题。
足够好了吗？还是跨国技术公司三星（Samsung）应该积极调查其产品似乎带有安全漏洞的原因？让我们看一下。
多个漏洞
密歇根大学的安全研究人员设计了几种概念验证漏洞，重点在于揭示三星SmartThings生态系统中的任何潜在故障。作为最大的物联网就绪（IoT）设备制造商之一，包括冰箱，恒温器，烤箱，安全门，锁，面板，传感器等，其安全证书受到严格审查也就不足为奇了。
研究人员证实，这些错误是由SmartThings生态系统中的两个固有设计缺陷引起的。更重要的是，这两个固有的设计缺陷不一定易于修复。
问题与第三方智能家居控制应用程序如何实现授权协议 OAuth 有关。研究人员发现了一个不合规的应用程序，并且能够围绕该缺陷进行全面的攻击，将单个链接发送到实际的SmartThings登录页面，但同时又窃取了用户的登录令牌。有了令牌，攻击者可以切实创建自己的智能锁PIN，而用户则保持不知情。
另一种利用漏洞的方法包括利用漏洞来关闭“休假模式"，从而表明可以访问高级权限。一旦攻击者获得了进入“度假模式"的权限，他们就可以减轻任何预先设定的假期防御模式，例如在整个房屋中随机骑行照明灯，或打开和关闭百叶窗以模拟居住状态。
这导致了SmartThings安全问题的第二个方面。研究人员开发的大多数应用程序一开始都不应该具有这种级别的操作权限。安全研究人员建立了SmartThings商店，其中包含500多个独立的应用程序，可以对您的房屋进行一定程度的控制或自动化。然后，他们发现这些应用程序中有40％以上为他们有时设计的简单工作授予了太多特权。
这些“过度特权"应用程序会带来严重的安全问题，尽管这通常并不完全是安全的。设计师的错。密歇根大学计算机科学与工程学教授Atul Prakash这样解释：
“默认情况下，SmartThings授予的访问权限是在完整设备级别上进行的，而不是在任何狭窄级别上进行的。打个比方，假设您授予某人允许您更换办公室的灯泡的权限，但此人最终还可以访问整个办公室，包括文件柜中的物品。"
三星回应
正如您所期望的，三星一直在保护其物联网利益。 SmartThings声明如下：
“保护客户的隐私和数据安全是我们在SmartThings所做的一切的基础。我们完全了解密歇根大学/微软研究院的报告，并且在过去几周中一直与该报告的作者合作，探讨随着行业的发展，我们可以继续使智能家居更加安全的方式。
该报告中披露的潜在漏洞主要取决于两种情况-恶意SmartApp的安装或第三方开发人员未能遵循SmartThings准则以确保其代码安全。
关于由于描述了恶意的SmartApp，因此它们不会也永远不会影响我们的客户，因为SmartThings拥有确保未批准发布恶意SmartApp的认证和代码审查流程。为了进一步改善我们的SmartApp批准流程并确保所描述的潜在漏洞继续不影响我们的客户，我们为发布任何SmartApp增加了额外的安全审查要求。
作为一个开放平台，其功能与日俱增作为活跃的开发人员社区，SmartThings提供了有关如何确保所有代码安全并确定什么是受信任源的详细指南。如果代码是从不受信任的来源下载的，则可能会带来潜在的风险，就像PC用户从未知的第三方网站上安装软件时一样，存在软件可能包含恶意代码的风险。根据这份报告，我们更新了已记录的最佳实践，以为开发人员提供更好的安全指导。"
这不是三星第一次遇到物联网安全问题，也不是一个孤立的问题。任何一家技术公司。物联网设备一直是安全问题的根源，并且大多数探索新的，可用于Internet的联网设备的用户并不能完全理解其工作的严重性。
研究团队甚至完成了一项工作。诚然，对使用SmartApps的人的研究非常小，旨在引起他们对所授予权限的关注。
令人震惊的是，在接受采访的22个人中，有20个人将使用电池监控应用程序检查其房屋中安装的智能锁的状态。 ，前提是该应用会将门禁密码发送到远程服务器。可能是用户没有对人身安全进行尽职调查的情况，尤其是在涉及可能造成严重损失或最严重的人身危险的情况下。
但是同样，我对此深表歉意。对于用户而言，一个主要问题是，在私人住宅和企业中安装和实施智能系统的公司无法为用户提供足够的教育支持。
当然，用户可能会了解安装人员在说什么，但他们真的消化了整个房屋都联网的事实吗？他们是否了解冰箱现在处于在线状态？
或者，正如密歇根大学的研究小组写道：
“智能家居设备及其相关的编程平台将继续扩散，并且将会保持对消费者的吸引力，因为它们提供了强大的功能。但是，本文的发现表明，早期采用者和框架设计人员也应谨慎行事。风险是巨大的，并且不可能通过简单的安全补丁轻松解决。"
没有必要惊慌。三星已经开始解决该白皮书中强调的一些主要问题，尽管要花一些时间来确保SmartThings框架确实是一个真正安全的智能家居平台。
您是否使用SmartThings？您会考虑切换到其他框架吗？在下面让我们知道！
标签:
