Abra puertas de garaje en cualquier parte del mundo con este dispositivo «inteligente»

Getty Images Un controlador de puerta de garaje líder en el mercado está tan plagado de graves vulnerabilidades de seguridad y privacidad que el investigador que las descubrió aconseja a cualquiera que use uno que lo desconecte inmediatamente hasta que se arreglen. Cada dispositivo de $80 que se usa para abrir y cerrar las puertas del garaje y controlar las alarmas de seguridad del hogar y los enchufes inteligentes usa la misma contraseña universal fácil de encontrar para comunicarse con los servidores Nexx. Los controladores también envían la dirección de correo electrónico sin cifrar, el ID del dispositivo, el nombre y la última inicial de cada uno junto con el mensaje necesario para abrir o cerrar una puerta, o encender o apagar un enchufe inteligente, o programar dicho comando para una fecha posterior. es hora.

Desconecte todos los dispositivos Nexx de la fuente de alimentación inmediatamente.

El resultado: cualquier persona con una formación técnica moderada puede buscar en los servidores Nexx una dirección de correo electrónico específica, un ID de dispositivo o un nombre, y luego enviar comandos al controlador asociado. (Los controladores de alarma de seguridad para el hogar Nexx son vulnerables a una clase similar de vulnerabilidades de seguridad). Los comandos permiten abrir una puerta, apagar un dispositivo conectado a un enchufe inteligente o desactivar una alarma. Peor aún, en los últimos tres meses, el personal de la empresa Nexx, con sede en Texas, no ha respondido a múltiples mensajes privados que advierten sobre las vulnerabilidades. «Nexx ha ignorado constantemente los intentos de comunicación por parte mía, del Departamento de Seguridad Nacional y de los medios», escribió el investigador que descubrió las vulnerabilidades en una publicación publicada el martes. «Los propietarios de dispositivos deben desconectar inmediatamente todos los dispositivos Nexx y crear tickets de soporte con la empresa para pedirles que solucionen el problema». El investigador estima que más de 40 000 dispositivos en propiedades residenciales y comerciales se han visto afectados y más de 20 000 personas tienen cuentas Nexx activas. Los controladores Nexx permiten a los usuarios usar sus teléfonos o asistentes de voz para abrir y cerrar las puertas de su garaje, ya sea con un comando o en momentos establecidos del día. Los dispositivos también se pueden usar para controlar las alarmas de seguridad del hogar y los enchufes inteligentes que se usan para encender y apagar los dispositivos de forma remota. El eje de este sistema son los servidores operados por Nexx, con los que se conectan tanto el teléfono o el asistente de idiomas como el abrepuertas del garaje. El proceso de cinco pasos para registrar un nuevo dispositivo es el siguiente:

1. El usuario utiliza la aplicación móvil Nexx Home para registrar su nuevo dispositivo Nexx con Nexx Cloud.
2. Detrás de escena, Nexx Cloud devuelve una contraseña que el dispositivo puede usar para comunicarse de forma segura con Nexx Cloud.
3. La contraseña se transfiere al teléfono del usuario y se envía al dispositivo Nexx a través de Bluetooth o Wi-Fi.
4. El dispositivo Nexx establece una conexión autónoma a Nexx Cloud utilizando la contraseña proporcionada.
5. El usuario ahora puede controlar de forma remota la puerta de su garaje utilizando la aplicación móvil Nexx.

Esta es una ilustración del proceso:
sam sabetan

Una contraseña universal fácil de encontrar

Para que todo esto funcione, los controladores utilizan un protocolo ligero llamado MQTT. El acrónimo de Message Queuing Telemetry Transport se usa en redes de bajo ancho de banda, alta latencia o inestables para promover una comunicación eficiente y confiable entre dispositivos y servicios en la nube. Para ello, Nexx utiliza un modelo de publicación a suscripción, en el que se envía un único mensaje entre los dispositivos suscritos (teléfono, asistente de voz y abrepuertas de garaje) y un agente central (la nube de Nexx). El investigador Sam Sabetan descubrió que los dispositivos usan la misma contraseña para comunicarse con la nube Nexx. Además, esta contraseña se obtiene fácilmente simplemente analizando el firmware que viene con el dispositivo o la comunicación de ida y vuelta entre un dispositivo y Nexx Cloud. «Usar una contraseña universal para todos los dispositivos presenta una vulnerabilidad significativa, ya que los usuarios no autorizados pueden acceder a todo el ecosistema al obtener la contraseña común», escribió el investigador. «Al hacerlo, podrían comprometer no solo la privacidad sino también la seguridad de los clientes de Nexx al controlar las puertas de su garaje sin su consentimiento». Cuando Sabetan usó esta contraseña para acceder al servidor, rápidamente encontró no solo comunicación entre su dispositivo y el nube, sino también comunicación para otros dispositivos Nexx y la nube. Eso significaba que podía buscar en las direcciones de correo electrónico, apellidos, nombres e ID de dispositivos de otros usuarios para identificar a los clientes en función de la información única compartida en esos mensajes. Pero se pone peor. Sabetan podría copiar los mensajes emitidos por otros usuarios para abrir sus puertas y reproducirlos a voluntad, desde cualquier parte del mundo. Esto significaba que un simple cortar y pegar era suficiente para controlar cualquier dispositivo Nexx, sin importar dónde estuviera ubicado. A continuación se muestra un video de prueba de concepto que demuestra el truco: NexxHome Smart Garage Vulnerability – CVE-2023-1748. Este evento evoca el cliché muy usado de que la S en IoT, abreviatura del término genérico Internet de las cosas, significa seguridad. Si bien muchos dispositivos IoT ofrecen comodidad, una gran cantidad de ellos vienen con protecciones de seguridad mínimas. El firmware desactualizado con vulnerabilidades conocidas y la incapacidad de actualizar son típicos, al igual que una miríada de errores, como credenciales codificadas, omisiones de autorización y verificación de autenticación defectuosa. Cualquiera que use un dispositivo Nexx debería considerar seriamente desactivarlo y reemplazarlo por otro, aunque la utilidad de este consejo es limitada ya que no hay garantía de que las alternativas sean más seguras. Con tantos dispositivos en riesgo, la Agencia de Seguridad Cibernética y Seguridad de Infraestructura de EE. UU. ha emitido un aviso que sugiere que los usuarios tomen medidas defensivas, que incluyen:

• Minimice la carga de la red en todos los dispositivos y/o sistemas del sistema de control y asegúrese de que no sean accesibles desde Internet.
• Ubique redes de sistemas de control y dispositivos remotos detrás de firewalls y aíslelos de las redes corporativas.
• Si se requiere acceso remoto, use métodos seguros como redes privadas virtuales (VPN), que reconocen que las VPN pueden tener vulnerabilidades y deben actualizarse a la versión más reciente disponible. Además, tenga en cuenta que la VPN es tan segura como sus dispositivos conectados.

Por supuesto, estas medidas no son prácticas cuando se usan controladores Nexx, lo que nos lleva de vuelta a la incertidumbre general de IoT y el consejo de Sabetan de abandonar el producto hasta que llegue una solución.