Уязвимость в замках August SmartLock позволяет получить доступ к домашнему Wi-Fi

Совместная команда компании Bitdefender и ресурса PCMag провела исследование с целью проверить надежность популярных «умных» дверных замков August Smart Lock Pro + Connect. Как оказалось, устройство не пустит в дом посторонних, но зато может предоставить терпеливому хакеру полный доступ к локальной сети Wi-Fi.

Изучению подверглась недавно выпущенная версия August Smart Lock с интегрированным Wi-Fi-модулем. Управление замком осуществляется с помощью мобильного приложения. Если пользователь находится в радиусе действия, подключение осуществляется через модуль Bluetooth Low Energy (BLE), в противном случае - приложение связывается с устройством посредством моста Connect, который управляет замком. Все команды передаются в зашифрованном виде, а Connect работает только в том случае, если замок привязан к аккаунту пользователя, который защищен с помощью механизма двухфакторной аутентификации.

Новая версия August Smart Lock требует подключения к локальной сети Wi-Fi, учетные данные для которой передаются устройству через приложение. Проблема заключается в том, что этот процесс никак не защищен - злоумышленник «прослушивающий» Wi-Fi-сеть (даже не авторизованный в ней) может перехватить учетные данные и таким образом получить полный доступ к Wi-Fi.

По словам исследователей, успешная атака потребует немало терпения. Во-первых, хакер должен находится вблизи Wi-Fi-сети (например, в припаркованной рядом машине). Кроме того, ему потребуется время на то, чтобы вывести устройство в offline, и дождаться, пока владелец переподключит его.

Хотя разработчики попытались обеспечить защиту от перехвата Wi-Fi, они включили ключ шифрования в прошивку устройства, отметили исследователи.

Специалисты проинформировали производителя о проблеме в декабре минувшего года. Компания отреагировала предложением обоюдно раскрыть информацию об уязвимости в июне 2020 года, однако потом перестала отвечать на сообщения специалистов. В комментарии изданию Сnet August сообщила, что с начала нынешнего месяца работает над патчами для прошивки устройства и Android-приложения.