智能灯泡可被入侵以攻陷你的家庭网络
密码学与安全
2023-08-21 v1
摘要
物联网正变得愈发普及。即便是最简单的设备，如灯泡或电源插头，也被赋予了“智能”特性并可由我们的智能手机控制。本文描述了将 PETIoT 杀伤链应用于对 Tp-Link 的 Tapo L530E 智能灯泡（目前为亚马逊意大利站畅销品）开展漏洞评估与渗透测试所得到的发现。我们发现该灯泡存在四个漏洞，依据 CVSS v3.1 评分系统，其中两个为高危，两个为中危。简而言之，其认证机制考虑不周，且所实现的加密措施未能充分保障机密性。因此，靠近灯泡的攻击者可肆意操控该灯泡以及用户 Tapo 账户下可能拥有的所有 Tapo 系列设备。此外，攻击者还能获取受害者的 Wi-Fi 密码，从而大幅扩张其恶意能力。本文最后给出了可能的修复方案概要。
引用
@article{arxiv.2308.09019,
title = {Smart Bulbs can be Hacked to Hack into your Household},
author = {Davide Bonaventura and Sergio Esposito and Giampaolo Bella},
journal= {arXiv preprint arXiv:2308.09019},
year = {2023}
}