Kerentanan Perangkat IoT Mengekspos Rumah Cerdas Serangan: Ancaman Kompromi Kredensial
Perangkat Internet of Things (IoT)—daripada kulkas cerdas yang mengirim pesan teks ketika susah habis hingga termostat yang mencatat penggunaan di ponsel Anda—telah menjadi elemen dasar rumah modern. Menurut Fleming Shi, CTO Barracuda Networks, setiap perangkat konsumen yang terhubung ke jaringan di luar komputer, ponsel, tablet, atau router pribadi memenuhi syarat sebagai perangkat IoT.
Sementara konektivitas telah memperluas kenyamanan, ini juga telah memperkenalkan risiko keamanan baru. Pekerjaan terbaru Barracuda Labs menunjukkan ancaman baru: kompromi kredensial IoT, di mana penyerang mengeksploitasi kerentanan aplikasi web dan seluler untuk mencuri kredensial dan kemudian mengontrol perangkat secara jarak jauh.
Kompromi kredensial IoT
Setelah penyerang mendapatkan kredensial perangkat, mereka dapat menonton feed video, mengubah pengaturan alarm, menghapus rekaman yang disimpan di cloud, dan bahkan mendorong firmware berbahaya yang dapat digunakan untuk berpindah ke perangkat lain di jaringan yang sama.
Profil kerentanan dari contoh kamera keamanan
Analisis kami terhadap kamera keamanan yang terhubung mengungkapkan kelemahan berikut dalam ekosistem aplikasi web dan selulernya:
Aplikasi seluler menerima sertifikat server yang tidak valid.
Kerentanan cross-site scripting (XSS) dalam aplikasi web.
Kekurangan traversal file di server cloud.
Pengguna dapat menyediakan URL pembaruan perangkat.
Pembaruan firmware tidak ditandatangani.
Perangkat mengabaikan validasi sertifikat server.
Menggunakan celah ini, tim mendemonstrasi rantai ekstraksi kredensial dan kompromi perangkat lengkap tanpa keberadaan fisik di dekat kamera.
Mencuri kredensial melalui aplikasi seluler
Dengan menempatkan hotspot Wi-Fi berbahaya, penyerang dapat menyadap lalu lintas HTTPS antara aplikasi seluler dan server vendor. Gagalnya aplikasi untuk memvalidasi sertifikat server memungkinkan proxy penyerang untuk menangkap hash MD5 tanpa garam dari kata sandi pengguna.
Mencuri kredensial melalui aplikasi web
Banyak vendor IoT memungkinkan berbagi perangkat melalui email. Penyerang dapat menyematkan XSS dalam nama perangkat, membagikannya kepada korban, dan kemudian menangkap token akses korban saat mereka login. Token yang dicuri memberikan penyerang kontrol penuh atas akun korban dan semua perangkat yang terhubung.
Temuan ini menunjukkan bahwa perangkat IoT dapat dikompromikan sepenuhnya melalui infrastruktur cloud vendor—menghilangkan kebutuhan akan alat pemindaian tradisional seperti Shodan. Ancaman ini meluas ke setiap perangkat yang bergantung pada autentikasi berbasis cloud.
Implikasi bagi produsen IoT
Pembuat perangkat harus mengamankan setiap permukaan perangkat lunak—aplikasi seluler, antarmuka web, dan layanan backend. Tindakan kunci meliputi:
Terapkan Web Application Firewall (WAF) untuk melindungi dari serangan lapisan-7.
Kuatkan pertahanan lapisan jaringan dan tindakan antifishing.
Terapkan pembaruan firmware yang ditandatangani dan lakukan validasi sertifikat server.
Adopsi praktik terbaik keamanan cloud untuk visibilitas, perlindungan, dan remediasi cepat.
Tips perlindungan konsumen
Saat membeli perangkat IoT, prioritaskan keamanan bersama dengan harga dan kenyamanan:
Riset catatan keamanan vendor.
Periksa apakah ada kerentanan yang diketahui pada produk lain dari perusahaan yang sama.
Penilai seberapa cepat vendor merespons masalah yang dilaporkan.
Meskipun jumlah perangkat IoT terus meningkat, penilaian keamanan yang tersedia untuk umum masih langka. Masa depan di mana setiap produk IoT menerima penilaian keamanan standar—mirip dengan skor keselamatan otomotif—akan memberdayakan konsumen untuk membuat keputusan yang tepat.
