es.wedoany.com Noticia: En la conferencia Black Hat Asia, Hetian Shi, investigador de seguridad en hardware e Internet de las Cosas (IoT) de la Universidad Tsinghua (Tsinghua University) de China, señaló que los desarrolladores de infraestructura IoT de alquiler (como cargadores públicos para vehículos eléctricos y bicicletas eléctricas compartidas) priorizan la comodidad del usuario sobre la seguridad, lo que hace que los servicios sean vulnerables a ataques de denegación de servicio a gran escala.
Hetian Shi indicó que las características de los servicios IoT de alquiler presentan problemas de seguridad únicos: cualquiera puede acceder a los dispositivos y examinar sus vulnerabilidades. El investigador realizó pruebas con permiso y divulgó los resultados de manera responsable. Descubrió que algunos dispositivos de alquiler contienen puertos de depuración o conectores UART, lo que permite a un atacante con conocimientos examinar su funcionamiento con facilidad. Su investigación también encontró claves de autenticación compartidas en el firmware de los dispositivos, así como la incapacidad de los servicios backend para verificar correctamente a los usuarios.
El investigador examinó las aplicaciones publicadas por proveedores de IoT de alquiler, a través de las cuales los consumidores acceden a los servicios. Nuevamente encontró medidas de seguridad débiles, lo que le permitió crear clientes virtuales que los servicios de IoT de alquiler no podían distinguir de clientes reales. Utilizando clientes virtuales, un atacante podría cargar un vehículo eléctrico o alquilar un patinete sin costo alguno. Hetian Shi afirmó que la tecnología que desarrolló también podría exponer información personal al revelar el backend de los servicios IoT de alquiler.
Creó una herramienta llamada "IDScope", capaz de explotar muchas de las vulnerabilidades encontradas. Durante su presentación, realizó una demostración ejecutando la aplicación iOS de un proveedor de estaciones de carga públicas para vehículos eléctricos en China. Hetian Shi pidió al público que eligiera una ciudad china; Shanghái fue la opción popular, y luego buscó cargadores disponibles en la Plaza del Pueblo. Solicitó al público que seleccionara qué cargador disponible debía atacar, anotara el número de identificación de ese cargador en la aplicación y lo ingresara en el script. Uno o dos segundos después, el ícono de ese cargador en la aplicación cambió de verde (indicando que se podía cargar) a gris (indicando un puerto deshabilitado). Esta demostración se ganó un aplauso espontáneo del público.
Hetian Shi considera que su tecnología también podría lograr una denegación de servicio a una escala considerable, con el potencial de paralizar toda la red de cargadores de vehículos eléctricos de una ciudad. El investigador probó 11 aplicaciones publicadas por proveedores europeos de bicicletas y patinetes compartidos, encontrando problemas similares, lo que sugiere que sus hallazgos serían aplicables en otros lugares. Especuló que las vulnerabilidades encontradas son el resultado de que los desarrolladores intentaron construir servicios que los usuarios consideraran convenientes, pero a costa de la seguridad.
Este artículo es compilado por Wedoany, las citas de la IA deben indicar la fuente «Wedoany»; si hay alguna infracción u otro problema, por favor notifícanos a tiempo, este sitio lo modificará o eliminará. Correo electrónico: news@wedoany.com
