Pesquisadores da Universidade Estadual da Carolina do Norte identificaram falhas de design em dispositivos de "casa inteligente" de Internet das Coisas (IoT) que permitem que terceiros impeçam os dispositivos de compartilhar informações. As falhas podem ser usadas para evitar que os sistemas de segurança sinalizem que houve uma invasão ou upload de vídeo de intrusos.

"Dispositivos IoT estão se tornando cada vez mais comuns, e há uma expectativa de que eles possam contribuir para nossa segurança e proteção, "diz William Enck, co-autor de um artigo sobre a descoberta e professor associado de ciência da computação na NC State. "Mas descobrimos que existem falhas generalizadas no design desses dispositivos que podem impedi-los de notificar os proprietários sobre os problemas ou de executar outras funções de segurança."

"Essencialmente, os dispositivos são projetados com o pressuposto de que a conectividade sem fio é segura e não será interrompida, o que nem sempre é o caso, "diz Bradley Reaves, co-autor do artigo e professor assistente de ciência da computação na NC State. "Contudo, identificamos soluções potenciais que podem resolver essas vulnerabilidades. "

Especificamente, os pesquisadores descobriram que se terceiros podem hackear o roteador de uma casa - ou já sabem a senha - eles podem carregar malware de supressão de camada de rede para o roteador. O malware permite que os dispositivos carreguem seus sinais de "pulsação", significando que eles estão online e funcionais, mas bloqueia os sinais relacionados à segurança, como quando um sensor de movimento é ativado. Esses ataques de supressão podem ser feitos no local ou remotamente.

"Um dos motivos pelos quais esses ataques são tão problemáticos é que o sistema está dizendo aos proprietários de casas que está tudo bem, independentemente do que realmente está acontecendo em casa, "Diz Enck.

Esses ataques de supressão de camada de rede são possíveis porque, para muitos dispositivos IoT, é fácil distinguir os sinais de batimento cardíaco de outros sinais. E abordar esse recurso de design pode apontar o caminho em direção a uma solução.

"Uma solução potencial seria tornar os sinais de batimento cardíaco indistinguíveis de outros sinais, portanto, o malware não podia permitir a passagem seletiva de sinais de pulsação, "diz TJ O'Connor, primeiro autor do artigo e um Ph.D. estudante na NC State.

"Outra abordagem seria incluir mais informações no sinal de pulsação, "O'Connor diz." Por exemplo, se um dispositivo enviar três alertas de sensor de movimento, o sinal de pulsação subsequente incluiria dados observando que três alertas de sensor foram enviados. Mesmo que o malware de supressão de camada de rede bloqueie os sinais de alerta do sensor, o sistema veria o sinal de pulsação e saberia que três alertas de sensor foram enviados, mas não recebidos. Isso poderia então disparar um aviso do sistema para os proprietários. "

"Nenhum sistema vai ser perfeito, mas dada a ampla adoção de dispositivos IoT, consideramos importante aumentar a conscientização sobre as contramedidas que os designers de dispositivos podem usar para reduzir sua exposição a ataques, "Diz Enck.