|
Посмотрел следующие ролики, посвященные безопасности Z-Wave. http://www.youtube.com/watch?v=KYaEQhvodc8 http://www.youtube.com/watch?v=gn-amPvXn6M Что-то слишком легко у них все получается, особенно во втором видео при помощи программы Z-force. Они сначала отправляют команду замку с заведомо неверным ключом, и замок, естественно, не открывается, но взломщик узнает структуру команды, затем формирует точно такую же структуру, но со своим ключом, и замок открывается. В Z-Wave реализовано шифрование AES-128, чтобы подобрать ключ нужно пару миллиардов лет для подбора правильного ключа. Это, если не знать структуру шифровки. Но эта программа ее знает. P.S. Ссылка на программу - code.google.com/p/z-force |
|
Там была ошибка производителей замка. Она позволяла кому угодно сбросить ключ шифрования и задать новый, грубо говоря, перехватив управление на себя. Вот что они пишут в исследовании: This vulnerability was not due to a flaw in the Z-Wave protocol specification, but because of an implementation error in disabling the use of temporary key after initial network key exchange during inclusion of a node to the network. То есть, это не "дыра" в Z-Wave протоколе, а "кривое" исполнение производителей замка. Но могу вас заверить, что сейчас эта ошибка устранена. |
|
Я конечно не эксперт, но верится с трудом. В комментария на ютубе тоже такие же неверующие. Вроде же установить ключ можно, если замок в Include режиме, который удаленно вообще включить нельзя? А после того, как он прошел интервью и произошел обмен ключами, то сменить ключ можно только зная ключ, либо иметь доступ к контроллеру, который знает ключ, либо иметь физический доступ и включить режим Exclude? Во втором ролике проскакивает фраза, что "замок уже включен в сеть, но ключ не установлен", то есть интервью до конца не прошло что ли? И подозрительно то, что демонстрируют это все в записи. А при том, что вся процедура займет 2-5 минут, можно было бы и вживую показать. Было бы все на руках, наверное выделил бы день, чтоб проверить. Но нет ни компьютера с виндой, ни стика, ни замка :) |
