100 milyonlarca internete bağlanabilen cihaz tehdit altında

Güvenlik araştırmacıları, gelişmiş şifreleme şemalarına rağmen binlerce üreticinin yüz milyonlarca cihazının Z-Wave Downgrade saldırısına karşı savunmasız olduğunu tespit ettiler. Z-Wave Downgrade açığı siber saldırganların internete bağlanabilen cihazları (IoT) kontrol altına alabilmelerini sağlıyor.

Güvenlik açığının kaynağı ise ana kullanım alanı evlerde kullanılan otomasyon cihazlarının birbirleriyle iletişim kullanabilmelerini sağlayan radyo frekansına dayalı kablosuz Z-Wave protokolünün implementasyonu. Z-Wave protokolü, aydınlatma kontrolü, güvenlik sistemleri, termostatlar, pencereler, kilitler, yüzme havuzları ve garaj kapısı açma aygıtları gibi cihazların eşlenmesini ve uzaktan kontrolünü kolaylaştırmak için tasarlanmış.

S2 standardı daha güvenli

Z-Wave protokolü en son güvenlik standardı olarak S2 adı verilen gelişmiş anahtar değişim mekanizmasını kullanıyor. Z-Wave’in geliştiricisi ve sahibi olan Silicon Labs, sertifikalı IoT cihazları için S2 güvenlik standardının kullanımını standart hale getirmesine rağmen halihazırda milyonlarca akıllı cihaz hala eski daha güvensiz S0 standardını kullanıyor. S0 standardında çeşitli açıklar bulunuyor.

Araştırmacılar S2 ve S0 standardını aynı anda kullanan cihazların S2 standardından S0 standardına geçirilebildiğini ve bunun da milyonlarca cihazı siber saldırganlara karşı savunmasız bıraktığını tespit ettiler. Geriye uyumluluk sağlamak için S0 standardı hala bu cihazlarda kullanılıyor ve kullanıcılar eşleme yaparken S0 değil de S2 ile eşleme yapmaları konusunda uyarılmıyorlar. Bu da birçok cihazı saldırılara karşı savunmasız bırakıyor.