Il mercato globale delle smart home ammonta a circa 90 miliardi di dollari per il 2019 con una previsione di crescita del 15% (CAGR) su base annua fino al 2024.
Smart Home: +20% nel 2024
A oggi nel mondo circa una casa su 10 possiede un dispositivo IoT completamente integrato, percentuale che salirà al 20% entro il 2024, anche secondo le stime più conservative.
I motivi della popolarità di questi dispositivi? Sempre i soliti indiziati, il ritorno in termini di efficienza energetica e la maggiore comodità per l’utente che si trova in mano la possibilità di poter controllare e monitorare tutti gli aspetti della propria abitazione/ufficio/azienda.
Tutto vero, ma il presupposto, non banale, è che l’impianto e gli strumenti della Smart Home siano sicuri.
Il caso Philips Hue
Recentemente un team di ricercatori, per esempio, è riuscito a dimostrare come utilizzando un semplice device IoT come le lampadine Smart della Philips Hue fosse possibile infettare un intero network con un malware.
In questo caso si è trattato di un esercizio di escalation. Sono coinvolte un paio di vulnerabilità. Una è la CVE-2020-6007 che è un buffer overflow nel firmware del controller Philips Hue Bridge, nella parte del software che aggiunge nuovi dispositivi al controller. In questo tipo di vulnerabilità, che appartiene alla categoria CWE-119, Il software esegue operazioni su un buffer di memoria, ma può leggere o scrivere in una posizione di memoria che si trova al di fuori del confine previsto del buffer.
Se la memoria accessibile dall’attaccante può essere efficacemente controllata, può essere possibile eseguire codice arbitrario, come nel caso di un buffer overflow standard. Se l’attaccante può sovrascrivere la memoria di un puntatore (di solito 32 o 64 bit), sarà in grado di reindirizzare un puntatore di funzione al proprio codice dannoso.
Anche quando l’attaccante può modificare solo un singolo byte, l’esecuzione arbitraria del codice è possibile. A volte questo è dovuto al fatto che lo stesso problema può essere sfruttato ripetutamente con lo stesso effetto. Altre volte è perché l’aggressore può sovrascrivere dati critici per la sicurezza specifici di un’applicazione – come un flag che indica se l’utente è un amministratore.
La seconda vulnerabilità sfruttata dai ricercatori, invece, si basa su una ricerca del 2016 su come persuadere una lampadina Hue a cambiare la sua affinità da un controller all’altro. Per ottenere questo risultato, è necessario un trasmettitore Zigbee in prossimità del bersaglio (Zigbee è lo standard di rete mesh utilizzato dal sistema Hue).
L’attacco così sperimento consisteva nel prendere possesso della lampadina, aggiornarla con un firmware dannoso e poi farla “comportare male”. L’utente segue poi la procedura per resettare la lampada rimuovendola e poi raggiungendola al suo controller Hue.
Questo innesca la vulnerabilità di overflow del buffer attraverso il firmware appositamente realizzato, eseguendo il malware sul bridge Hue. Il bridge è collegato alla rete locale TCP/IP, quindi il malware può ora cercare di compromettere i computer. Nell’esempio portato avanti dai ricercatori, l’exploit EternalBlue viene utilizzato con successo contro un PC Windows.
Applicazioni nel mondo reale e patch
Philips da parte sua ha già messo a disposizione una patch per il suo Hue Bridge, ma il team di ricercatori ha detto che stava posticipando “il rilascio dei dettagli tecnici completi” per dare più tempo al download e all’installazione sui prodotti interessati. Esiste un meccanismo di autoaggiornamento, ma potrebbe non essere sempre abilitato.
Anche se si tratta di un attacco abbastanza complesso, il requisito di attaccare prima una lampadina collegata a Zigbee sembra che limiterà il suo potenziale impatto nella maggior parte dei luoghi dove queste sono installate.
I ricercatori immaginavano però un attacco molto più inusuale. Proponevano l’ipotesi di far volare un drone di a zig-zag sopra una città disattivando tutte le lampade intelligenti Philips Hue nei centri urbani in pochi minuti.
L’azienda, tuttavia, ha risposto con un aggiornamento che riduce il raggio d’infezione a 1m o meno, rendendo l’idea del drone inefficace.
Sfortunatamente non è possibile valutare appieno il rischio fino a quando non saranno pubblicati ulteriori dettagli.
Crisi evitata o meno, ciò che può far riflettere, tuttavia, è che i dispositivi Philips Hue che erano già stati descritti come “obiettivi molto difficili da raggiungere per trovare e sfruttare le vulnerabilità del software” dai ricercatori del 2016, oggi si sono comunque dimostrati vulnerabili.
Ci sono senza dubbio molti obiettivi più facili da raggiungere, tenendo presente la proliferazione di dispositivi IoT a basso costo come le telecamere e gli elettrodomestici.
Domotica e IoT sicuri, non è un miraggio
È sempre più evidente come tutti gli elementi tecnologici che compongo la Smart Home/Office rappresentino un possibile rischio, se non gestiti correttamente.
In realtà dobbiamo aggiungerne un altro elemento per completare il framework: il fattore umano, sia lato l’utente e sia lato installatore.
Affermare che la Smart Home garantisca una maggiore sicurezza credo rappresenti una forzatura perché, per poter essere sicura, deve prevedere una serie di servizi aggiuntivi e integrati che i produttori e/o installatori dovranno necessariamente garantire.
Non dobbiamo solo ragionare nell’ottica della manutenzione come con qualsiasi altro elettrodomestico con cui ormai siamo abituati a convivere.
Accanto alle periodiche attività di manutenzioni tradizionali, risulterà necessario effettuare attività di security prevention attraverso processi di Vulnerability Assessment e Network Scanning.
Il rischio è dietro l’angolo e sottovalutarne le implicazioni anche più remote potrebbe significare la catastrofe, in particolare se queste dimenticanze avvengono in luoghi di lavoro.
Inoltre, tenuto conto che la struttura della Smart Home/Office è di fatto un insieme di diverse tecnologie di differenti brand tutte tra loro collegate, la presenza di un anello debole renderebbe tutto l’impianto vulnerabile e quindi facile preda di Criminal Hacker.
Proprio per questo motivo diventa necessario prevedere la standardizzazione di misure di sicurezza e una Governance condivisa e standardizzata.