Bóng đèn thông minh TP-Link có thể cho phép hacker đánh cắp mật khẩu WiFi của người dùng

TP-Link Tapo L530E là bóng đèn thông minh bán chạy nhất trên nhiều thị trường, bao gồm cả Amazon. TP-link Tapo là ứng dụng quản lý thiết bị thông minh với 10 triệu lượt cài đặt trên Google Play.



Các nhà nghiên cứu từ Đại học Catania và Đại học London đã phân tích sản phẩm này do mức độ phổ biến của nó. Tuy nhiên, mục tiêu bài báo của họ là nhấn mạnh các rủi ro bảo mật trong hàng tỷ thiết bị IoT thông minh được người tiêu dùng sử dụng, có nhiều trong số đó tuân theo quá trình truyền dữ liệu rủi ro và các biện pháp bảo vệ xác thực mờ nhạt.

Lỗ hổng bóng đèn thông minh (smart bulb)

Lỗ hổng đầu tiên liên quan đến xác thực không đúng trên Tapo L503E, cho phép kẻ tấn công mạo danh thiết bị trong bước trao đổi khóa mã phiên (session key).

Lỗ hổng có mức độ nghiêm trọng cao này (CVSS v3.1 score: 8.8) cho phép kẻ tấn công lân cận lấy lại mật khẩu người dùng Tapo và thao túng thiết bị Tapo.

Lỗ hổng thứ hai cũng là một vấn đề có mức độ nghiêm trọng cao (CVSS v3.1 score: 7.6) phát sinh từ bí mật chia sẻ tổng kiểm tra ngắn được mã hóa cứng, mà kẻ tấn công có thể lấy được thông qua brute-force hoặc bằng cách dịch ngược ứng dụng Tapo.

Vấn đề thứ ba là một lỗ hổng có mức độ nghiêm trọng trung bình liên quan đến việc thiếu tính ngẫu nhiên trong quá trình mã hóa đối xứng khiến sơ đồ mã hóa có thể dự đoán được.

Cuối cùng, vấn đề thứ tư bắt nguồn từ việc thiếu kiểm tra độ mới của các tin nhắn đã nhận, giữ cho các khóa phiên hợp lệ trong 24 giờ và cho phép kẻ tấn công phát lại tin nhắn trong khoảng thời gian đó.

Kịch bản tấn công

Kịch bản tấn công đáng lo ngại nhất là hành vi mạo danh bóng đèn thông minh và lấy thông tin chi tiết tài khoản người dùng Tapo bằng cách khai thác lỗ hổng 1 và 2.

Sau đó, bằng cách truy cập ứng dụng Tapo, kẻ tấn công có thể trích xuất SSID và mật khẩu WiFi của nạn nhân và giành quyền truy cập vào tất cả các thiết bị khác được kết nối với mạng đó.

Thiết bị cần ở chế độ thiết lập để cuộc tấn công được thực hiện. Tuy nhiên, kẻ tấn công có thể hủy xác thực bóng đèn, buộc người dùng phải thiết lập lại để khôi phục chức năng của nó.

Sơ đồ mạo danh bóng đèn
(arxiv.org)



Một kiểu tấn công khác được các nhà nghiên cứu khám phá là tấn công MITM (Man-In-The-Middle) với thiết bị Tapo L530E được định cấu hình, khai thác lỗ hổng 1 để chặn và thao túng giao tiếp giữa ứng dụng và bóng đèn, đồng thời chiếm giữ các khóa mã hóa RSA được sử dụng cho các bước tiếp theo để trao đổi dữ liệu.

Các cuộc tấn công MITM cũng có thể xảy ra với các thiết bị Tapo chưa được định cấu hình bằng cách tận dụng lỗ hổng một lần nữa bằng cách kết nối với WiFi trong khi thiết lập, kết nối hai mạng và định tuyến thông báo khám phá, cuối cùng truy xuất mật khẩu Tapo, SSID và mật khẩu WiFi ở dạng mã hóa base64 dễ giải mã.

Sơ đồ tấn công MITM
(arxiv.org)