Quando a scoprire vulnerabilità sono laboratori esperti di sicurezza, tutto bene. Quando sono invece malintenzionati, son dolori. Ciò di cui vi parliamo oggi, fortunatamente, ricade nel primo caso, offrendoci comunque uno spunto di riflessione da condividere coi nostri lettori.
La storia risale a Ottobre 2020 ma è stata resa pubblica solo qualche giorno fa: i Bitdefender Laboratories – realtà per l’appunto impegnata sui temi di sicurezza informatica – hanno individuato un’importante falla sul cloud ITEAD (casa produttrice della nota linea di componenti domotici Sonoff Smart Home) tale da consentire a malintenzionati di prendere il controllo di diversi device ITEAD sparsi per il mondo.
In soldoni, i BitLab hanno contattato anonimamente ITEAD richiedendo una chiave crittografica PGP e, ottenuta, hanno appurato che effettuando tentativi casuali o con tecnica bruteforcing sul campo ID utente sono riusciti a forzare il cloud e ottenere accesso ai dispositivi associati a quegli ID così identificati e forzati. La cosa, una volta confermata, è stata segnalata a ITEAD che ha prontamente provveduto ad applicare una fix al proprio cloud. Tutti i dettagli tecnici legati a questa vulnerabilità sono disponibili sulla white paper rilasciata dai BitLab.
Ma perché si tratta di un caso interessante?
Sostanzialmente, perché serve a rafforzare una volta di più il pensiero, anzi, l’assioma, per il quale durante la realizzazione della propria domotica personale sia sempre più necessario riflettere sulla scelta dei componenti dal punto di visto delle integrazioni cloud o local per poi prediligere, quando possibile, per componenti integrabili localmente.
Già a suo tempo ci siamo spesi spiegando al meglio delle nostre possibilità quali siano le differenze sulle modalità d’integrazione (e quindi di comunicazione) local/cloud: citandoci, si tratta sostanzialmente de:
La classificazione “Local” identifica tutte quelle integrazioni che utilizzano comunicazioni locali con il dispositivo. Per “locale” si intende una comunicazione che avvenga tramite LAN oppure tramite trasmissioni di tipo ZigBee, Z-Wave, Bluetooth, radiofrequenza o comunque che abbiano dignità, per l’appunto, di comunicazione locale. Diversamente, la classificazione “Cloud” prevede l’utilizzo di servizi Cloud via Internet tipicamente messi a disposizione dal produttore. Tale comunicazione col componente o servizio prevede che la propria domotica personale possa accedere ad Internet per raggiungere il servizio Cloud in questione: l’assenza di tale connessione causa per lo più il malfunzionamento di tale integrazione.
Il caso Sonoff di cui sopra (in ottima compagnia di altri centinaia di casi precedenti e che quasi certamente seguiranno) è quindi l’ennesima dimostrazione di come i componenti che debbano necessariamente dialogare col proprio cloud non siano, spesso, la scelta migliore, anzi.
Nel caso di ITEAD, dato che quest’ultima non ha ancora aperto a integrazioni locali, l’unico modo (efficace e stracollaudato) per ottenere l’obiettivo di sganciarsi dal cloud è quello di riprogrammarne facilente il firmware usando soluzioni come ESPHome, Tasmota o altre: tale iniziativa libera il componenti dal cloud proprietario per aprili a integrazioni locali (sfruttando, per esempio, MQTT).
Altri produttori, invece, sono più saggi: dicasi di Allterco, casa madre dei componenti Shelly “Home Automation Systems” nonché diretta rivale di ITEAD, la quale a differenza di quest’ultima consente ai propri componenti un uso via cloud il quale può essere esplicitamente disabilitato per attivarne le comunicazioni unicamente locali.
La morale è sempre la stessa: cloud “male”, local “bene”. Questo ovviamente è un assunto dal quale partire, ma che non può essere l’unico parametro di scelta per un proprio componente. Si pensi per esempio a soluzioni di qualità come gli apparati per gestione clima Netatmo: l’unica modalità di gestione è (come per tanti altri prodotti analoghi) solo e unicamente prevista via cloud, ma questo ovviamente rappresenta un problema di ordine minore rispetto alle tante funzioni offerte da tale modello di funzionamento (si pensi per esempio alla geolocalizzazione, alla gestione dinamica del riscaldamento rispetto al meteo e molto altro ancora).
Chiaramente la domanda da porsi è: quanto è accettabile in rischio di un’intrusione informatica o altri rischi analoghi rispetto alla criticità del componente stesso? Ovviamente, è molto più accettabile l’adozione del cloud per un sistema di illuminazione, piuttosto che per un sistema antifurto…
| Questa pagina è redatta, manutenuta e aggiornata dallo staff di inDomus, un gruppo di persone molto diverse tra loro che trovi, per domande e supporto, sul forum e sulla chat del sito. Se ti sei perso, a tua disposizione c'è la mappa. |