Умные лампочки TP-Link позволяют вытащить пароль от вашего Wi-Fi

Умные лампочки TP-Link позволяют вытащить пароль от вашего Wi-Fi

Умные лампочки TP-Link позволяют вытащить пароль от вашего Wi-Fi

Итальянские и британские исследователи выявили четыре уязвимости в умных лампочках TP-Link Tapo L530E и соответствующем приложении Tapo. Эксплуатация этих багов позволяет перехватить пароль от Wi-Fi пользователя.

Стоит отметить, что умные лампочки серии Tapo L530E держат лидерство по продажам на зарубежных торговых площадках вроде Amazon. Приложение TP-link Tapo позволят управлять этими лампочками и насчитывает 10 млн установок в Google Play Store.

Именно из-за востребованности Tapo L530E специалисты решили проверить эти девайсы. Выяснилось, что умные лампочки подвергают опасности данные пользователей.

Согласно отчёту (PDF), первая уязвимость представляет собой некорректную аутентификацию в Tapo L503E. Условный атакующий может выдать себя за устройство в процессе обмена ключом сессии.

Брешь получила 8,8 балла по CVSS (высокая степень риска), в случае успешной эксплуатации она позволяет злоумышленнику вытащить пароль от аккаунта в Tapo и, соответственно, управлять умным девайсом.

Ещё один опасный баг получил 7,6 балла по CVSS, а корень его кроется в жёстко заданном в коде общем секрете с короткой контрольной суммой. Этот секрет атакующие могут вытащить с помощью брутфорса или декомпиляции приложения Tapo.

Третья проблема получила среднюю степень опасности. Она существует из-за недостаточной рандомизации в процессе симметричного шифрования. Это делает криптосхему предсказуемой.

Четвёртая уязвимость является следствием недостаточной проверки актуальности полученных сообщений. Поскольку ключи сессии остаются валидными в течение 24 часов, злоумышленники могут повторять сообщения в этом промежутке.

Наиболее опасный вектор атаки в этом случае завязан на маскировке действий атакующего под активность умной лампочки. Он позволяет вытащить из приложения Tapo учётные данные.

В Диске VK WorkSpace появилась корзина домена для случайно удалённых файлов

VK WorkSpace добавила в облачную и серверную версии Диска несколько функций для защиты и восстановления корпоративных данных. Главное — расширенный аудит, поиск по общим папкам и корзина домена. Расширенный аудит должен помочь ИБ-специалистам разбираться, что именно происходило с файлами и кто выполнял действия.

В частности, система теперь подробнее отображает операции администраторов, которые входили от имени пользователя. Это может быть полезно при расследовании инцидентов и проверке соблюдения внутренних регламентов.

Ещё одно нововведение — корзина домена. Если пользователь удаляет файлы или папки из общей папки, они попадают не в никуда, а в отдельную корзину. Срок хранения задаёт администратор. Пока он не истёк, данные можно восстановить вместе со всем содержимым и правами доступа либо удалить окончательно.

Администраторы также получили доступ к корзинам общих папок. Например, если сотрудник случайно удалил отчётность или важные рабочие документы, их можно вернуть без сложных процедур восстановления из резервной копии.

Кроме того, в Диске появился расширенный поиск по всем общим папкам. Папки можно искать по названию, а файлы — по названию, формату, автору, дате создания или изменения и размеру. Это пригодится в ситуациях, когда сотрудник потерял документ, но не помнит, где именно он лежал.

В облачной версии из результатов расширенного поиска администраторы могут также удалять найденные файлы и папки.

Руководитель направления сервисов продуктивности VK Tech Пётр Щеглов отметил, что корпоративные хранилища используют от 80% до 93% компаний — от малого бизнеса до крупных организаций и госсектора.

По его словам, многие из них предъявляют повышенные требования к информационной безопасности, поэтому в Диске VK WorkSpace расширяют инструменты контроля над данными и прозрачности действий пользователей.

RSS: Новости на портале Anti-Malware.ru