Cisco waarschuwt voor kwetsbaarheden in slimme thermostaat van Trane

Beveiligingslekken in een slimme thermostaat van Trane maakten het mogelijk om met een standaardwachtwoord in te loggen op het apparaat en om via een bufferoverflow-aanval willekeurige code uit te voeren. Het duurde meer dan een jaar voordat er een oplossing kwam.

Volgens de tijdlijn van het Talos-beveiligingsteam van Cisco werd de eerste kwetsbaarheid in april 2014 aan het Amerikaanse bedrijf Trane gemeld. Het bedrijf had een voorgeprogrammeerd standaardwachtwoord gebruikt in zijn ComfortLink II-thermostaat, waarmee een aanvaller via een ssl-verbinding op afstand op het apparaat kon inloggen. Ook was het mogelijk om via twee bufferoverflow-kwetsbaarheden specifieke geheugensegmenten te overschrijven, waardoor mogelijk willekeurige code kon worden uitgevoerd. Trane kwam echter pas in april 2015 met een oplossing voor twee van de drie kwetsbaarheden en voerde in januari nog een ronde updates door om ook het laatste probleem op te lossen.

Het Cisco-team kon er niet achter komen of Trane zijn klanten op de hoogte had gesteld van de beschikbaarheid van patches. Dit is problematisch, omdat de kwetsbaarheden ervoor kunnen zorgen dat een aanvaller de thermostaat gebruikt om verder het thuisnetwerk van een gebruiker binnen te dringen en het apparaat te gebruiken om malware te verspreiden. De onderzoekers voegen daaraan toe dat het probleem is dat 'slimme' apparaten vaak niet zijn voorzien van een updatemechanisme en dat er bij de gebruikers vaak geen besef aanwezig is om dit soort systemen handmatig van een update te voorzien. Trane verkoopt de ComfortLink II-thermostaten volgens zijn site alleen in de VS.

Reacties (64)

Heel fijn dat Cisco dit bekend maakt, maar sinds wanneer is dit een taak van Cisco geworden? Het melden van beveiligingslekken door Cisco van andere fabrikanten is nieuw voor mij. Met de komst van IoT gaat dit wel steeds meer en meer voorkomen helaas.

Veel IT-bedrijven hebben een eigen onderzoeksafdeling die zich met beveiliging bezighoudt. In dit geval is het Talos-onderzoeksteam onderdeel van Cisco. http://www.cisco.com/c/en/us/products/security/talos.html
Ik heb in de tekst een verduidelijking aangebracht.

Het bekend maken is een taak van iedereen. Als jij ziet dat er ergens wordt ingebroken maak je daar toch ook een melding van? Of denk je dan, ach, dat meldt de politie wel aan de eigenaaar..

Google meldt ook bugs en security zaken in Windows en OS X, net als Microsoft dat andersom doet. Cisco is hier mogelijk achtergekomen door vreemde meldingen op cisco apparatuur bij thuisgebruikers of omdat een werknemer hier achter kwam en het intern bij hun security officer heeft neergelegd om het door te geven aan desbetreffende instantie.

Gezien IoT heel erg leunt op netwerkhardware heeft Cisco hier wat sneller mee te maken.

Het bekend maken is een taak van iedereen. Als jij ziet dat er ergens wordt ingebroken maak je daar toch ook een melding van? Of denk je dan, ach, dat meldt de politie wel aan de eigenaaar..

Volgens mij is het in nederland zelfs strafbaar om hier geen melding van te maken als getuige.

IoT leunt enorm zwaar op hardware en bestaande protocollen. Een lek of kwetsbaarheid kan dus vergaande gevolgen hebben voor de veiligheid op het moment dat iedereen alles aan het internet heeft hangen.

Misschien maken zij zelf gebruik van deze thermostaten en zijn ze er zo per toeval op uit gekomen. Waarom zou je het dan niet melden?

Talos zijn de security researchers die bij SourceFire vandaan komen. SourceFire is al een tijdje onderdeel van Cisco en is o.a. bekend van de opensource IPS Snort. Dit blijft opensource. De betaalde variant heet FirePower en is tegenwoordig te krijgen op de ASA firewalls van Cisco.

Voor mij geen smart home, kijk die ellende dan. Je zal maar net een pasgeborene in je huis hebben en dan is er een grapjas die met je verwarming gaat klooien.

Al dat gedoe alleen maar omdat je de klok van je thermostaat niet kan instellen.

Voor mij ook niet. Nog erger vind ik dat ondertussen alle energiebedrijven er flink mee adverteren, maar dit soort problemen er natuurlijk niet bij vertellen.
Straks krijgen we hetzelfde probleem als met Android dat je met een 'slimme' thermostaat in je huis zit die eenvoudig te hacken is, maar geen updates krijgt omdat de fabrikant te lui is.

Ze noemen het een 'slimme' thermostaat, maar als je de laatste alinea zo leest is er vanalles mis mee, werkelijk de gehele opzet. Hoe durft een bedrijf dit op de markt te zetten?

[Reactie gewijzigd door Vexxon op 9 februari 2016 10:42]

Bij de meeste Slimme thermostaten is de beveiliging wel oke. En in het bijzonder, wij als tweakers maken toch iets zelf of tweaken het? Oftewel, houden we de veiligheid in eigen beheer?

Niet dat dat perse hack-proof betekent, maar voor de meeste thermostaten zou je op zijn minst een tool kunnen bouwen die de temperatuur enigzinds in de gaten houdt en je waarschuwt als iemand hem even in denkt te stellen op 29 graden?

En als er iemand zou zijn die mijn thermostaat op afstand manipuleert en ik heb een pasgeborene, dan heb ik dat echt wel door voordat het gevaarlijk wordt, en gebeurt me dat maar 1 keer. Een poortje dichtzetten, firewallen of (indien zelf ontwikkeld) lek fixen is geen probleem.

Alles heeft een nadeel, koop je een fiets, heb je kans dat hij gestolen wordt. Is dat een reden om maar geen fiets te kopen? Niet als de voordelen hiertegen opwegen.

Bij alles wat je noemt ga je uit van het idee dat je een tweaker bent en het zelf kan oplossen. Echter adverteren de energiebedrijven hier volop mee en zullen ook niet-tweakers (er schijnen er daar zelfs meer van te zijn) zo'n ding aanschaffen.
Het gevolg is dat er een heleboel mensen met een apparaat zitten waarvan ze niet eens weten wat de eventuele gevolgen en problemen daarmee zijn en het ook met geen mogelijkheid kunnen oplossen.
Dat is het probleem dat ik ermee heb.

En daarom heb je cisco die zulke kwetsbaarheden aankaart. Maar goed, is dat veel anders dan een webwinkel die zijn data niet goed beschermt en je creditcardgegevens of soorgelijk op straat komen te liggen?

Wat is erger. Thuis komen en zien dat het 28 graden is binnen, of thuis komen en zien dat er 1000 euro van mijn rekening gehaald is? Ik weet 't wel...

Precies, smartphones zijn al moeilijk te onderhouden, waarom zou je de moeite doen voor een product waar de marge straks waarschijnlijk nog kleiner op is? Oh wacht, we maken het gewoon open source, dan is het niet alleen ons probleem meer...

Waarom een -1 voor jou, als je "gehacked" wordt en je hebt alles op je smarthub dan kunnen ze alles met je huis.

Inderdaad, slecht beveiligde pc's zijn tot daar aan toe, slecht beveiligde 'slimme' thermostaten en andere IoT-apparaten kunnen echt gevaarlijk worden. Dit is ook bepaald niet de eerste keer in de afgelopen maanden dat slecht beveiligde IoT-apparatuur in het nieuws komt. Blijkbaar moet er eerst flink misbruikt van gemaakt worden voordat het serieus genomen wordt.

Dan: ik ben geen beveiligingsexpert, maar ik weet al dat een standaardwachtwoord een slecht idee is. Plus dat blijkbaar remote access standaard aanstaat, in plaats van enkel toegang via het thuisnetwerk.

Buiten dat om. Wtf moet een thermostaat met een ssh host? Ik zie geen enkel voordeel voor extern inloggen via ssh op je thermostaat.

Ik vermoed dat de gedachte van de fabrikant iets is geweest in de trend van: "Op deze manier kan ik makkelijk updates pushen"

Ik kan ook via SSH inloggen op mijn thermostaat. Maar natuurlijk kan iemand dat van buitenaf niet zomaar, dan moet hij eerst een paar andere lagen security door...

Ondertussen heeft ie al een overweldigende aantal +1 gekregen maar een dergelijke voorbeeld gebruiken slaat werkelijk nergens op.
Zo kan je werkelijk alles als gevaarlijk bestempelen.
-Voor jou geen auto want wat als je een pasgeborene vervoert en aangereden wordt door een of ander gek.
-Voor jou geen wandelwagen want wat als je aangereden wordt door een fietser of over vallen wordt.
-Voor jou geen baby voeding uit de supermarkt want wat als er een gevaarlijk bacterie in de voeding terecht komt tijdens het verpakken ervan.
-enz...
Vervolgens durf je niet eens je huis meer uit omdat je alleen maar denkt "maar als?"
In dit voorbeeld is het zelfs zo dat als het kind het koud krijgt hij/zij gaat janken en als het goed is dan is er wel altijd en ouder in de buurt of was het idee dat je met een smarthome je kind achter laat in een leeg huis en op afstand je kind in de gaten houdt???

Je kan ook gewoon remote access uitschakelen als het echt een kopzorg wordt en je probleem is opgelost zonder dat je het gehele concept smarthome de grond in probeert te trappen.

[Reactie gewijzigd door Caelestis op 9 februari 2016 11:24]

Ok, laten we de klassieke auto analogie pakken. Stel dat jij veiligheid hoog in het vaandel stelt. Je hebt het meest geavanceerde babyzitje gekocht en controleert altijd bij het instappen of je spullen nog in orde zijn.

Nu is er een grapjas die op afstand jouw riemen los kan maken en je babyzitje los kan laten schieten wanneer je hard moet remmen met de auto. Dit komt puur omdat de fabrikant van jouw riem nalatig is in het onderhouden van veiligheid. Zou je dan ooit nog een slimme riem halen, puur voor het stompzinnige gemak dat je op je smartphone kan zien of je babyzitje aangesloten zit?

Jij kan gewoon remote access uitschakelen ja. JIJ kan dat, IK kan dat. Maar hier maak je bepaalde aannames waarvan al heel lang wordt aangetoond dat er heel veel mensen zijn die geen weet hebben van deze spullen of op de hoogte zijn van eventuele risico's. Beter nog, hier duurt het een jaar voordat het überhaupt opgelost is.

Je gaat er alleen wel vanuit dat elk geïnstalleerde smart thermostaat bij het plaatsen gelijk SSH remote access aan heeft staan dus ja ik ga ervan uit dat je enigszins weet waar je mee bezig bent als je het configureert en aanzet en dus ook weet hoe je het uitzet.
Ben tot nu toe nog nooit een apparaat tegen gekomen dat remote access out-of-the-box aan heeft staan dus dat is de aanname wat ik maak en niet dat iedereen weet hoe hij/zij zulke zaken kan bedienen.
Dit artikel gaat over een beveiligings gat in een bepaald functie en niet over dat elke huis wat een dergelijk thermostaat geïnstalleerd heeft kwetsbaar is. Mocht dat niet het geval zijn dan trek ik mijn beargumentatie terug.

Vooraf: dat jij nog nooit een apparaat bent tegengekomen dat remote access out-of-box toestaat toont wel aan dat je geen ervaring hebt met "connected devices" er zijn er namelijk genoeg. Van routers tot nas systemen, tot thermostaten.

Zo dus ook deze:

The first vulnerability we’re disclosing today is CVE-2015-2867 (TALOS-2016-0028), which is a hard-coded credential vulnerability in Trane ComfortLink II thermostats. This vulnerability manifests as a design flaw in the Trane ComfortLink II SCC service where, upon system boot, the SCC service installs two sets of user credentials with hardcoded passwords. These credentials can be used to remotely log into the system over SSH. Once a user logs in, the user is given access to a fully functioning BusyBox environment, giving the user full control of the device and the ability to perform a variety of actions, such as downloading, compiling and executing arbitrary code.

Let wel, het hele doel van deze thermostaat is dus dat je hem via het internet kunt bedienen. Logischerwijs heeft dus ook elke thermostaat een internetverbinding tot zijn beschikking. En dan ben je dus per definitie kwetsbaar. En dit valt dus niet op te lossen door een doorsnee gebruiker omdat het gewoon vulnerabilities en ontwerpfouten zijn.

Ook gaat dit verder dan het "omhoogzetten" van je thermostaat. Zodra een aanvaller toegang heeft tot (in dit geval) je thermostaat kan hij/zij dat als entry point gebruiken voor de rest van je netwerk. Eén á twee stappen verder en je zit al te grasduinen door iemands's foto's doordat je de thermostaat als routertje gebruikt. Nog een extra stapje en je voert een man-in the middle attack uit via de router die je makkelijk kon hacken omdat je al op het "interne" netwerk zat.

Punt is dat je router (hopelijk) ontworpen is met security in mind: we willen niet dat iedereen zomaar je router kan benaderen en wat software kan installeren om een man-in-the-middle aanval mogelijk te maken. Maar bij smarthome spullen wordt vaak gedacht "ach, wat heeft iemand er aan om de thermostaat hoger te draaien". Maar daar gaat het dus niet om, het gaat er om dat dit gewoon een toegangspunt is tot je netwerk en dus beveiliging als uitgangspunt zou moeten hebben.

Voorbeeld hiervan is ook Chrysler. Lees dit artikel maar eens en vertel me dan of het niet gevaarlijk is om ogenschijnlijk "handige maar ongevaarlijke" systemen te ontwerpen zonder daarbij aan beveiliging te denken...

[Reactie gewijzigd door Anoniem: 14842 op 9 februari 2016 12:41]

Zo onveilig hoeft dat niet te zijn. Je thermostaat zou ook verbonden kunnen zijn met internet, geen enkele poort open hebben staan, maar gewoon regelmatig een API raadpleegt die hem simpele commando's geeft, zoals "Thermostaat: 20 graden", waarna hij dat uitvoert. En dit dan via HTTPS. Misschien de huidige temperatuur en ingestelde temperatuur als POST data meesturen.

Dan is de kans op hacks e.d. minimaal en is hij toch 'connected'. Zo'n ingewikkelde communicatiestructuur hoeft een thermostaat nou ook weer niet te hebben dat voor de gewone consument er webserverpoorten en ssh poorten los staan.

Zo heeft de Toon thermostaat van Eneco een optie om de lokale webserver open te zetten, met een waarschuwing in het menu en een timer waarna hij automatisch weer gesloten wordt.

Het opzetten van credentials en het werkelijk toegang op het netwerk om een SSH tunnel op te zetten zijn twee heel verschillende zaken.
Er wordt niet aangegeven dat de thermostaat automatisch SSH configureert en aanzet. Er wordt aangegeven dat tijdens het initiële configuratie van het apparaat de credentials klaar gezet worden om te gebruiken mocht je dit functionaliteit willen inschakelen en gebruiken.

Caelestis, ik stel voor dat je het daadwerkelijke artikel even goed leest. Er staat toch echt dat deze credentials kunnen worden gebruikt om toegang te krijgen tot het device. Er staat zelfs dat ze tijdens de boot worden geïnstalleerd en dan kunnen worden gebruikt om toegang te krijgen. Maar goed: als je persé wilt volhouden dat de SSH service uit staat maar er alleen accounts worden gemaakt om standaard toegang te kunnen krijgen: prima.

Dan blijven de twee vulnerabilities over die gebruik maken van de api/interface van het apperaat zelf en een buffer overflow kunnen veroorzaken met remote code execution tot gevolg. Dit is dus dezelfde api waarmee je je thermostaat hoger zet via het internet. Daar kun je toch op geen enkele manier omheen dat dit standaard aan staat en een beveiligingsrisico is voor een thermostaat die als key feature "internet connected" heeft?

Ik denk dat je hoofd in het zand steken of simpelweg "uitgaan van voldoende beveiliging" toch echt heel naïef is in dit geval.

Ik ga helemaal niet uit van voldoende beveiliging en om heel eerlijk te zijn zou ik persoonlijk nooit een thermostaat installeren met SSH want ook al was het helemaal "dicht getimmerd" dan nog is het een risico.
Geeft mij maar gewoon sms control voor remote bediening en de rest blijft lekker binnen mijn eigen netwerk zonder inet toegang.
En ja ook sms kan "gehackt" worden maar dan nog is het onmogelijk om in te breken op een intranet met sms's en kan ik vertrouwen op mijn eigen netwerk beveiliging.

Waar het mij om gaat is wat het werkelijke probleem is en hoe kwetsbaar zijn al die thermostaten die geïnstalleerd zijn. We lezen dat het SSH functie kwetsbaar is door een automatisch configuratie van standaard credentials maar niet dat het SSH remote access automatisch aan staat. Dat is de aanname dat jij maakt en gaat er verder kracht bij zetten met een verhaal over wifi?
Wifi is per definitie onveilig en een wpa2 code is niets meer dan een 10 min delay om te hacken met eventuele een mac adres spoof dus waar hebben we het over?

Gaat dit artikel over een gat in het remote access systeem van een fabrikant of gaat het over dat elke huis met een dergelijk thermostaat per definitie kwetsbaar is?

Dat slaat naast de intentie van mijn argument. Ten eerste is er een grove nalatigheid van de fabrikant, die schijnbaar is op te lossen met streng toezicht.

Ten tweede, zoals Mecallie al demonstreert, is er het geval dat veel van deze toegevoegde connectiviteit nauwelijks waardevolle functies toevoegen terwijl er wel een zeer groot risico geopend wordt.

De laatste paragraaf laat zien dat er een grote groep van mensen geen kennis heeft in betrekking tot IT en beveiliging. Daarbij zullen veel mensen de remote access willen activeren omdat daar natuurlijk ook mee geadverteerd wordt. Zullen zij weten wat de risico's zijn? Ik heb het over groepen mensen die altijd hetzelfde wachtwoord gebruiken, onbekende usb-sticks gebruiken of gemakkelijk ten prooi vallen voor social engineering.

Beter nog, remote access is niet eens nodig. Een stukje malware volstaat al om toegang te krijgen tot je pc, daarmee kan je ook al snel inbreken op de router, die maw bij dit soort huishoudens weer een standaard wachtwoord voert. En aangezien alle thuis routers standaard apparaten met elkaar laat communiceren in het wifi network heb je alsnog hetzelfde probleem.

Ze zijn zeker nalatig dat spreek ik ook echt niet tegen maar om gelijk het hele smarthome project de grond in te trappen omdat 1 fabrikant een ontwerp fout heeft gemaakt vindt ik erg ver gaan vooral als je pasgeborene baby's gebruikt om je punt duidelijk te maken.

Kon je werkelijk niks anders bedenken dan de lezers beïnvloeden met een geladen argument wat eigenlijk helemaal nergens op slaat en menig politici trots op zouden zijn?

Je laatste bericht heeft al heel wat meer interessante waarde dan baby's

Waarom zijn baby's een stap te ver? Het is juist een gevaar omdat een pasgeborene niet de temperatuur kan veranderen, er juist gevoelig voor is en waarschijnlijk niet direct in je opkomt wanneer iemand een geintje probeert uit te halen. Het is een een zeer reëel gegeven van een huishouden en zeker met zulke nalatige technologieën een onnodig risico.

Daarbij is het huidige trackrecord inzake IT gerelateerde bedrijven en security ook niet echt geweldig, laat staan dat gebruikers zelf hier zorgvuldig mee omgaan.

Dat je me nu zo op de persoon probeert te snijden zie ik als een gebrek aan argumenten.

Omdat je gewoon je remote access uit kan zetten en je zorgen zijn verdwenen. Het is werkelijk zo simpel en tijdens installatie heb je geleerd hoe je het aan moet zetten dus kan je het ook uit zetten. Of je belt je installatie bedrijf en die praten je erdoor heen. Heleboel heisa om niks.
Smarthome is niet per definitie remote toegang want dat is gewoon een extra gimmick wat meer hype is dan functioneel en de meeste mensen toch niet in geïnteresseerd zijn.

Dan zijn er genoeg alternatieven die ook bijvoorbeeld op opensource draaien waarvan de "geeks" het helemaal binnenste buiten keren en de kans op zulke domme fouten nagenoeg onmogelijk is terwijl het installatie ervan gewoon door een leek gedaan kan worden of je laat het doen.

Baby's is juist geen argument om te zeggen dat het concept smarthome in zijn geheel gevaarlijk is omdat een functie niet naar behoren werkt.
Je zou het ook om kunnen draaien met een nutteloze argument en zeggen dat als je geen smarthome heb je een extra belasting bent op het milieu en bijdraagt aan het vernietigen van het toekomst van niet alleen je eigen baby maar ook die van al je buren.

Je maakt een hoop aannames. Met IoT heb je al heel veel bedrijven die zeer klein zijn en vanuit andere landen opereren. De enige hoop die ze hebben voor security is de open source methodologie, waarbij je moet vertrouwen dat mensen het oppakken. Zoek maar eens op IoT security risks en je ziet genoeg reports waarbij wordt aangegeven dat heel veel kleine bedrijfjes hun gevoelige data (bv complete token data) gewoon hard coded meesturen over de lijn.

IoT is een prachtig verschijnsel dat komt kijken bij de unieke combinatie van massale, kleinschalige productie. Hierdoor kan iedere idioot met een zak geld meedoen, waarbij er vaak geen geld is voor een goed doordacht security concept. Er is ook nog geen zicht op een goed concept, wellicht met Ethereum maar er moeten nog flinke slagen gemaakt worden.

Daarbij is remote access juist wel een feature van smart home, daar wordt volop mee geadverteerd. Of het standaard aan staat daar kan je over twisten maar zoals ik en anderen al eerder schetsten zijn er genoeg gaten in een netwerk te vinden om heel gemakkelijk toegang te krijgen tot deze apparaten.

En wat je milieu argument betreft; klinklaar een paradox, simpelweg uit te schakelen met de dooddoener dat er in het huishouden helemaal niet zo veel te winnen is voor het milieu. Daar moet je toch echt voor naar de industrie kijken. Dan zou je bovendien kunnen zeggen dat al die slimme gadgets maken voor consumenten juist de werkelijke aanslag is.

IoT gaat over verbinding en communicatie tussen apparaten. Daar is inderdaad nogal het een en ander over te zeggen maar je dwaalt af naar een compleet ander onderwerp en vertelt maar de helft van het verhaal.
Remote access tussen jouw als persoon en je thermostaat is geen IoT en zal het ook nooit worden.
Wil je perse het functionaliteit hebben en toch een smart home gebruiken wat jij "veilig" vindt koop dan een systeem die werkt met sms.

Reclame gebruiken als argument? Ja remote access is een mogelijke functie. Is het en functie wat onderdeel uitmaakt van het basis? Nee
Je gaat toch ook niet je auto radio uit het raam gooien omdat het bluetooth of wifi heeft en je gelezen heb dat Chrysler auto's gehackt kunnen worden?
Als je bang bent dat het een probleem wordt zet je toch gewoon dat functie uit als je zekerheid wil?

Mbt het milieu een miljoen keer een klein beetje = heel veel maar net als ik zei het is een nutteloze argument net als jou baby argument.

Het hele concept smarthome is geen probleem. De mate waarin er om wordt gegaan met beveiliging dan weer wel. Een standaard wachtwoord op remote acces via Ssh? Op je thermostaat? Je snapt toch zelf hoop ik ook wel dat dit niet kan. Zeker niet in een systeem waar later ook beveiliging en sloten aan komen te hangen.

Ik ben niet degene die het concept smarthome een probleem vindt en verdedig het standaard wachtwoord issue ook helemaal niet.
Wat ik echter wel tegen spreek is een geladen argument mbt tot baby's dat berust op de aanname dat elke smarthome systeem volledig open staat voor de wijde wereld terwijl er niet eens is aangetoond dat het systeem in kwestie daadwerkelijk open staat.

Ik lees dat als je het SSH remote access functionaliteit gebruikt je een ernstige beveiliging gat beschikbaar stelt. Niet dat elke huis dat het thermostaat geïnstalleerd heeft gelijk kwetsbaar is en daarom iedereen met een pasgeborene baby geen smarthome zou moeten hebben.

Remote access is geen voorwaarde voor een Smarthome. Dat kan even goed werken als je die alleen binnenshuis kunt bedienen.

-Voor jou geen wandelwagen
-Voor jou geen baby voeding

Enzovoort. Zelfs een baby krijgen is al gevaarlijk voor de gezondheid.
Zelfs het maken van die baby, want wat als haar man ineens thuis komt.. ?

Slimme spullen, maar niet zo slim dat ze eenvoudig te updaten zijn. Laat staan dat iedereen da maar weet of kan ongeacht de leeftijd.
Ik houd mij er zo lang mogelijk verre van.

De zaken die jij aangeeft als dingen die kunnen gebeuren zijn telkens ongevallen. Als je je daardoor laat tegenhouden moet je inderdaad een alu hoedje aandoen.
Hetgeen zwarte _os zegt is dat hij bang is van gericht misbruik door mensen die zeer moeilijk op te sporen zijn. Of hij gelijk heeft met zijn angst of niet laat ik in het midden, maar het is toch duidelijk iets anders vind ik.

Volgens mij is het alvast een kwestie van "wanneer" en niet "of" er een hele wijk plots 40° als ingestelde temperatuur zal hebben door de een of andere puber met te veel tijd.

Buiten het feit om dat mijn lijstje verre van compleet is met zaken om jezelf angst aan te praten kan je makkelijk dat puberaal gedrag plaatsen in de voorbeelden die ik al gaf.
Joyriden, overvallen en stunten op de fiets zijn zaken die met vaste regelmaat gebeuren met pubers dus tja ongevallen die begonnen als een grap?
Wat jij nu beweert is dat een puberaal hack actie niet gewoon dom gedrag is zonder te nadenken over de gevolgen en dus geen ongeval is maar dat ze een wijk in lopen met het intentie om pasgeborene baby's en hun ouders het leven zuur te maken.

Wat keer op keer aangetoond is, en waarom er veel bezwaar is tegen drone strikes: Wanneer je acties kunt uitvoeren via een computer waarvan je de gevolgen niet direct in je gezicht gedrukt krijgt hebben een drempel verlagend effect. Een puber is sneller geneigd om een DDoS aanval uit te voeren omdat hij denkt dat hij daarmee een 1337 hacker is dan dat hij met een skimuts en een wapen een winkel gaat overvallen. Dit heeft puur met psychologie te maken en waarom we ons slecht voelen bij het uitvoeren van bepaalde acties of niet.

Met en wapen een winkel in lopen en gaat overvallen is inderdaad een zware stap maar een moeder die loopt met een kinderwagen of bejaarde in een rolstoel is heel wat minder bedreigend.
100 jaar en langer terug voordat überhaupt iemand ooit een UAV had uitgevonden werden ook al makkelijke doelwitten overvallen door pubers.
Psychologie heeft er inderdaad alles mee te maken maar het kwetsbaarheid van pubers is ook al erg lang bekend. Daarom maken we op wettelijk niveau een onderscheid tussen minderjarigen en volwassenen.
Dat gezegd worden we links en recht gebombardeerd met nieuws op alle media platvormen over hoe iedereen in de gaten gehouden wordt en alles wat je op het internet doet bijgehouden wordt.
Hoezo zouden pubers die nog lang niet wijs genoeg zijn om veel zaken met een korreltje zout te nemen en een eigen mening te vormen het makkelijker vinden om een Ddos attack uit te voeren terwijl ze het idee hebben dat de NSA of FBI ze komt halen als ze het doen ipv gewoon in een verlaten straat een moeder met een kind of bejaarde overvallen zodat ze een nieuwe iPhone kunnen kopen?

Omdat ze door alle tools die online te vinden zijn voor bijvoorbeeld een DDoS alleen maar op een knopje hoeven te drukken.

Als je smart home al eng vind, moet je eens kijken naar dat IoT gebeuren, dat gaat nog voor veel meer problemen zorgen.

[Reactie gewijzigd door wica op 9 februari 2016 10:35]

standaardwachtwoord? Dit zegt toch meer dan genoeg, tijd voor schade claim in te dienen, als je zo'n ding hebt.

Dit soort fouten moeten eens hard afgestraft worden, is eigelijk gewoon crimineel om een standaart wachtwoord in zo'n product te hebben.

Je moet toch ergens mee beginnen? Wat stel je dan voor, starten zonder wachtwoord?
Het is aan de gebruiker om dat standaard wachtwoord onmiddellijk aan te passen.

Wat dacht je van een gegenereerd wachtwoord per device?

En dit is nou een van de rede dat er in mij huis nooit een slimme thermostaat komt, zo lang ik dat kan uitmaken natuurlijk.

Snap het niet waarom mensen zo graag alles maar willen vrijgeven (privacy).

Zo dat je de kachel van tevoren aan kan doen met je mobiel, als je niet thuis bent, zo dat je in een warme huis binnen komt, tjonge jonge.

[Reactie gewijzigd door AmigaWolf op 9 februari 2016 16:37]

Ben ik helemaal met je eens.

Klopt, maar de ontwikkelaar mag zijn software ook wel iets slimmer maken. Zoals het onmogelijk maken in te loggen vanaf een ander netwerk zolang het default password nog niet is gewijzigd.

Het is niet ingewikkeld om bij de eerste ingebruikname de gebruiker te verplichten zelf een wachtwoord in te stellen. Dus inderdaad: starten zonder wachtwoord en verplicht een wachtwoord verzinnen.

Of anders: een random wachtwoord met een stickertje achterop het apparaat. Dat is altijd nog beter dan een standaard wachtwoord. Ik ben het met wica eens: kan echt niet meer.

Elk product kan een ander fabriekswachtwoord hebben, dat is niet lastig. Dat wordt bv. ook gedaan bij de modems die jan-en-alleman tegenwoordig thuis heeft staan.

Ik stel voor, als er geen andere mogelijkheid is, dan een standaart wachtwoord te gebruiken... De gebruiker te dwingen een eigen wachtwoord te kiezen, voordat het betreffende device over gaat tot zijn functie. Is maar een idee. Anders zoals bepaalde Access Point het doen, op een sticker een random string op de achter kant van het device.

En klant gemak staat hier echt niet centraal in, kan je als klant het wachtwoord niet aanpassen. Dan is dit device niet voor je geschikt, mede omdat je dan blijkbaar ook niet het risico kan inschatten.

Er is maar een oplossing: niet vanaf internet bereikbaar maken.
Dat is namelijk het grootste veiligheidslek.

De volgende twee door de IT industrir gepropageerde stellingen spreken elkaar tegen:

* We willen allemaal veilig zijn.
* We willen allemaal alles op afstand bestuurbaar maken en met internet kunnen verbinden.

Dus jouw definitie van veilig is: say nothing, do nothing, be nothing?

Dit is onderdeel van een al veel langer lopende discussie. IoT-apparatuur moet eigenlijk gegarandeerd van worden dat het op zijn minst X-aantal jaren actief wordt voorzien van updates. Bovendien moeten gebruikers op de hoogte zijn van de veiligheidsrisico's en hoe ze de veiligheid kunnen vergroten (middels gastnetwerken of meerdere routers voor gescheiden netwerken)

That said; Indien Cisco Trane van te voren hierover heeft geinformeerd en vervolgens een wachtperiode heeft aangehouden (Zoals de 90dagen termijn van Google) is er niets mis met het vermelden van deze lekken. Natuurlijk kun je vraagtekens zetten als het concurrenten van elkaar zijn. Daarnaast heeft Cisco zelf ook wel aardig wat beveiligingsissues in het verleden gehad maar dat terzijde.

Ipv6 wordt nog vrijwel nergens aangeboden aan consumenten, dus we hebben het hier over vooral IPv4 netwerken. Ik denk dat er slimme thermostaten zijn welke en eigen dedicated internet lijn hebben. Ook zullen er niet veel consumenten zijn welke middels port forwaring (NAT) de thermostaat aan het internet hebben gehangen.

De echte boosdoener zal de upnp-feature op de router zijn en welke de thermostaat om zonder input van de gebruiker een port forwarding opzet. Het eerste wat ik doe als ik bij iemand een router neerzet is upnp uitzetten. Voor consumenten is NAT een zeer belangrijke beveiligings laag, want standaard kunnen apparaten anders dan de router niet rechtstreeks via het internet worden benaderd. Het handmatig moeten instellen van een port forward laat de gebruiker in elke geval minimaal nadenken wat hij aan het doen is. De meeste consumenten zullen echt wel doorhebben dat je thermostaat benaderbaar maken via internet geen goed idee is.

Upnp is wel gebruiksvriendelijk, alleen zal vrijwel nergens staat beschreven wat upnp allemaal openzet namens de gebruiker..

En met IPv6 kan straks elke apparaat zijn eigen internet IP krijgen, net zoals ik in 2000 4 IPv4 IPs op mijn KPN ADSL lijn kreeg. Het speedtouch modem deed destijds geen filtering en mijn computer waren destijds rechtstreeks verbonden met het internet. En het zou mij ook niet verbazen als routers straks IPv6 ongefilterd doorlaten want het is immers niet gebruiksvriendelijk als je router standaard geen (retour) verkeer vanaf het internet accepteert..

Ziggo heeft een paar weken terug een update naar de UBEE routers geschoten met daarin o.a. een ipv6 DHCP server, die daarvoor overigens ook al werkte maar waar geen menu voor was. Heel wat Ziggo thuisnetwerkjes gaan vanzelf en ongemerkt over op ipv6...

KPN ook - mits je de nieuwe routers van hun bezit...

IoT-apparatuur moet eigenlijk gegarandeerd van worden dat het op zijn minst X-aantal jaren actief wordt voorzien van updates.

Waarbij x minstens de levensduur is van het apparaat. Mijn niet zo slimme (oude) meter hangt al zo'n 35 jaar in dit huis. Niks update. Niks modern of 'zo handig'. Gewoon goed.

Met zo'n elektronisch ding zou je hem elke paar jaar moeten laten vervangen door een ding met nieuwe kinderziektes. Zie al onze andere update-benodigde software gestuurde bende.
Als een televisie, fornuis of koelkast 15-20 jaar meegaat moet zo'n meter dat ook kunnen.
Minstens.

Met computersystemen kan dit nog wel eens een uitdaging worden. 15-20 jaar geleden hadden we geen (wijdverspreide) ethernetaansluitingen, toen gebruikten we dial-up. Nu gebruiken we wifi. Wat zullen we dan over 15-20 jaar hebben?

IoT-apparatuur moet eigenlijk gegarandeerd van worden dat het op zijn minst X-aantal jaren actief wordt voorzien van updates.

Hier zie ik dus een probleem, veel IoT device zijn klein en worden ergens gedropt om vergeten te worden. De data verbinding is zodanig laag, dat dit ook weer problemen met zich mee brengt.

Ik stel voor, dat bedrijven verplicht worden, dat ze moeten aantonen dat ze er alles aangedaan hebben om het device veilig te maken. Achteraf kunnen we wel kijken of dat voldoende was en correct.

Niet echt "smart" zo'n standaardwachtwoord.

En dit wordt alleen maar erger met alles wat aan het internet verbonden wordt. Maar een thermostaat, kom op zeg.... zodat je in de auto de verwarming aan kan zetten, zodat het lekker warm is als je thuis komt
Sommige dingen zijn gewoon echt zinloos. Leuk bedacht, maar zinloos.

Ik heb het ook niet nodig, maar totaal zinloos vind ik het ook weer niet.

Als je een heel onregelmatig leven hebt en toch op luxe gesteld zie ik er wel de meerwaarde van.

Menig huis tegenwoordig is gewoon goed geïsoleerd. Hoeft de verwarming niet eens echt aan