Home Assistant Green היא קופסה קטנה שמנהלת תאורה, מזגנים ומנעולים חכמים בבית אחד. ביום השני של תחרות הפריצה Pwn2Own באירלנד היא הייתה המכשיר המבוקש בלוח הזמנים, חמישה חוקרים נרשמו לנסות אותה, וארבעה מהם הצליחו. הראשון, איב בירי מחברת Xint, קיבל על זה 30 אלף דולר.

מה קרה

Pwn2Own היא תחרות שמארגנת Zero Day Initiative של Trend Micro, ובה חוקרי אבטחה מקבלים כסף על חולשות שהיצרן לא ידע עליהן. מי שמצליח מוסר את הפרטים ליצרן על הבמה, ולו יש 90 יום להוציא עדכון לפני שהחולשה מתפרסמת. ביום הראשון, ב-6 באוקטובר, שילמו המארגנים 388,500 דולר על 32 חולשות יום-אפס, כלומר חולשות שלא היו מוכרות לאף אחד מלבד מי שמצא אותן. ביום שלמחרת היו בלוח 24 ניסיונות ועוד כ-780 אלף דולר על הפרק.

לא כל הצלחה שווה את אותו סכום. אם חולשה שחוקר מביא נמצאה כבר על ידי צוות אחר באותה תחרות או הייתה מוכרת ליצרן, התשלום נחתך, ובשפת התחרות קוראים לזה collision. בגלל זה קיונגמין קים מ-KAIST Hacking Lab קיבל 4,750 דולר בלבד על אותו בקר בית חכם שבירי קיבל עליו 30 אלף.

הטלפון המוביל של סמסונג, Galaxy S26, נפרץ שלוש פעמים באותו יום, בשתיים מהן בלי שהתוקף נגע במכשיר. אחת מהן, של דימיטריוס ולסמאראס וקן גאנון, התבססה על חולשה אחת בלבד. המדפסות ספגו לא פחות: Lexmark CX532adwe נפלה שלוש פעמים, ו-Canon imageFORCE 1643F נפתחה בשרשרת של שלוש חולשות שהראשונה בהן היא סיסמה שהוטמעה בתוכנת המכשיר מראש, השנייה היעדר בדיקת הרשאות בפעולה קריטית, והשלישית אפשרות להחליק פקודות של מערכת ההפעלה דרך שדה קלט שלא סונן, מה שנקרא Command Injection. רמקול Sonos Era 300 נפל אף הוא שלוש פעמים. דגם אחד החזיק מעמד: מדפסת Brother MFC-L8970CDW, שהניסיון היחיד נגדה נכשל.

למה זה חשוב לכם

המכשירים שנשברו ביומיים האלה הם לא ציוד של חדרי שרתים. בקר בית חכם, רמקול, מדפסת וטלפון אנדרואיד נמצאים בהמון בתים בישראל, ושרשרת של שש חולשות שמפילה בקר תאורה היא בדיוק הסוג של דבר שתוקף אמיתי מחפש. הצד המרגיע הוא שהחולשות האלה עוברות ליצרן ולא לשוק השחור, וחלק מהעדכונים יגיעו בחודשים הקרובים בלי שתעשו דבר.

הצד השני הוא ההרגלים שלנו. הטלפון מזכיר לעצמו להתעדכן, ובקר הבית החכם, הרמקול והמדפסת עובדים בשקט שנים, ורוב האנשים לא נכנסים אליהם אף פעם כדי לבדוק אם יש גרסה חדשה. סיסמה שהוטמעה במדפסת מראש לא תיעלם מעצמה.

מה עושים?

פתחו פעם אחת את האפליקציה של כל מכשיר חכם שיש לכם, חפשו בהגדרות את עדכון הקושחה, והדליקו עדכון אוטומטי אם קיימת אפשרות כזאת.

מדפסת שמחוברת לרשת היא מחשב לכל דבר. החליפו את סיסמת הניהול שהגיעה איתה מהקופסה, עדכנו לה את הקושחה, וכבו גישה מרחוק שאתם לא משתמשים בה.

בטלפון, ודאו שההתקנה האוטומטית של עדכוני אבטחה דולקת. באנדרואיד זה בהגדרות תחת עדכון תוכנה, באייפון תחת הגדרות, כללי, עדכון תוכנה.

אם הנתב שלכם תומך ברשת אורחים, חברו אליה את המכשירים החכמים. כך רמקול שנפרץ לא יוכל להגיע מהרשת למחשב או לטלפון שלכם.

החולשות של היומיים האלה הגיעו ליצרנים, והן ייסגרו. בפעם הבאה שמישהו ישרשר שש חולשות בבקר תאורה, זה לא יקרה על במה עם טבלת ניקוד.