Yeni Rapor Adları Ek TappLock Uygulaması Güvenlik Açıkları

TappLock Corp., HiConsumption

PenTest Partners'tan Infosec uzmanları, geçen hafta TappLock’un akıllı asma kilit teknolojisini sadece birkaç saniye içinde açabildikleri bir test gerçekleştirdiler. Bu araştırmacılar, ciddi sorunları olduğunu düşündükleri dijital kimlik doğrulama yöntemindeki güvenlik açıklarından yararlanmayı başardılar. PenTest teknisyenleri, akıllı kilide atanan Bluetooth Düşük Enerji MAC adresini bulabilen bir kişinin kodun kilidini açabileceğine inandıklarını belirttiler.

Bu, çoğu kişi için basit bir görev olmasa da, cihaz bu adresi yayınlar, böylece kablosuz teknoloji konusunda deneyimli kişiler bir yayını keser kesmez kilidi geri alabilir. Böyle bir yayını engellemek için gereken araçları, bu tür becerilere sahip olanlar için bulmak da çok zor olmayacaktır.

Selanik'ten bir IoT araştırmacısı olan Vangelis Stykas, TappLock’un bulut tabanlı yönetim araçlarının da bir güvenlik açığından etkilendiğini bildiren bir rapor yayınladı. Rapor, bir hesaba giriş yapanların, diğer kullanıcıların kimlik adlarını biliyorlarsa, diğer hesapları kontrol etme konusunda işlevsel olarak yetkilendirildiğini belirtir.

TappLock, verileri ana üsse geri iletmek için şu anda güvenli bir HTTPS bağlantısı kullanıyor görünmüyor. Dahası, hesap kimlikleri, onları gerçek kimliklerden ziyade ev adreslerine daha yakın hale getiren artımlı bir formüle dayalıdır.

Stykas, kendisine ait olmayan herhangi bir kilidin yetkili kullanıcısı olarak kendisini ekleyemediğini fark etti; bu, kilidin arkasındaki şirket bir yama yayınlamasa bile güvenlik açığının sınırlamaları olduğu anlamına geliyor.

Bununla birlikte, bir hesaptan bazı kişisel bilgileri okuyabileceğini belirtti. Bu, kilidin açıldığı son konumu içerir. Teoride, bir saldırgan, bir alana fiziksel erişim sağlamak için en iyi zamanın ne olduğunu anlayabilir. Görünüşe göre resmi uygulama ile başka bir kilit açabildi.

Henüz yamalar hakkında herhangi bir duyuru yapılmamış olsa da, diğer güvenlik açıklarını düzeltmek için çok çalıştıklarını düşünürsek, şirketin bazı değişiklikleri yakında yayınlayacağına inanmak zor değil. Yine de araştırmacılar, uygulamada hangi dijital güvenlik işlevlerinin etkinleştirildiğine bakılmaksızın, kilidi bir çift eski moda cıvata kesiciyle kesebildiklerini de buldular.