{"id":11557,"date":"2023-07-20T12:42:13","date_gmt":"2023-07-20T09:42:13","guid":{"rendered":"https:\/\/www.kaspersky.com.tr\/blog\/?p=11557"},"modified":"2023-08-14T07:39:28","modified_gmt":"2023-08-14T04:39:28","slug":"pet-feeders-vulnerabilities","status":"publish","type":"post","link":"https:\/\/www.kaspersky.com.tr\/blog\/pet-feeders-vulnerabilities\/11557\/","title":{"rendered":"K\u00e2se delik: ak\u0131ll\u0131 mama kab\u0131 s\u0131z\u0131nt\u0131 yap\u0131yor"},"content":{"rendered":"

T\u00fcm hayvan sahipleri evcil hayvanlar\u0131n\u0131 sever. Peki evcil hayvanlar her \u015feyden \u00e7ok neyi sever? TLC ve mama elbette. Ya da tam tersi: \u00f6nce yemek, sonra kar\u0131n masaj\u0131.<\/p>\n

G\u00fcn\u00fcm\u00fcz\u00fcn ak\u0131ll\u0131 mama kaplar\u0131, siz yokken evcil hayvan\u0131n\u0131z\u0131n a\u00e7 kalmas\u0131n\u0131 veya s\u0131k\u0131lmas\u0131n\u0131 \u00f6nlemek i\u00e7in tasarlanm\u0131\u015ft\u0131r. Peki siber g\u00fcvenlik a\u00e7\u0131s\u0131ndan ne durumdalar? Pek de iyi de\u011fil\u2026<\/p>\n

T\u00fcyl\u00fc dostlar\u0131m\u0131z i\u00e7in ak\u0131ll\u0131 mama kab\u0131<\/h2>\n

Ak\u0131ll\u0131 mama kaplar\u0131, t\u00fcm g\u00fcn evde kalamayan evcil hayvan sahipleri i\u00e7in pop\u00fcler bir se\u00e7im haline geliyor. Bir kediye veya k\u00f6pe\u011fe, onlar\u0131 beslemek ve onlarla y\u00fcr\u00fcmek\/oynamak i\u00e7in evde kalmak yerine neden her sabah evden \u00e7\u0131kman\u0131z gerekti\u011fini a\u00e7\u0131klamak zor olsa da ak\u0131ll\u0131 bir mama kab\u0131yla en az\u0131ndan a\u00e7 kalmazlar.<\/p>\n

\u0130lk \u00e7\u0131kan ak\u0131ll\u0131 mama kaplar\u0131, yaln\u0131zca yiyecek porsiyonlar\u0131n\u0131 \u00f6l\u00e7en \u00e7evrimd\u0131\u015f\u0131 zamanlay\u0131c\u0131 kontroll\u00fc cihazlard\u0131. Ancak ak\u0131ll\u0131 ev sistemleri yayg\u0131nla\u015ft\u0131k\u00e7a mama kaplar\u0131 da daha karma\u015f\u0131k hale geldi ve ekstra \u00f6zellikler kazand\u0131. Art\u0131k yaln\u0131zca kuraca\u011f\u0131n\u0131z mama da\u011f\u0131t\u0131m program\u0131n\u0131 uygulamakla kalm\u0131yor, ayn\u0131 zamanda dahili mikrofon, hoparl\u00f6r ve kameray\u0131 kullanarak evcil hayvan\u0131n\u0131z\u0131 uzaktan izleyebilmenizi ve hatta onunla ileti\u015fim kurabilmenizi m\u00fcmk\u00fcn k\u0131l\u0131yorlar. Bir\u00e7o\u011fu, Amazon Alexa gibi harici cihazlar arac\u0131l\u0131\u011f\u0131yla ses kontrol\u00fcn\u00fc de destekliyor. Bunun i\u00e7in evinizdeki Wi-Fi a\u011f\u0131na ba\u011flan\u0131yor ve telefonunuzdaki bir uygulama arac\u0131l\u0131\u011f\u0131yla y\u00f6netiliyorlar.<\/p>\n

Tahmin edebilece\u011finiz \u00fczere, bir ak\u0131ll\u0131 ev cihaz\u0131n\u0131n kameras\u0131, mikrofonu ve internet eri\u015fimi varsa bilgisayar korsanlar\u0131n\u0131n hemen ilgisini \u00e7eker. IP kamera g\u00fcvenli\u011fi (veya g\u00fcvenlik eksikli\u011fi) ile ilgili olarak, \u015fimdiye dek \u00e7ok fazla dijital i\u00e7erik \u00fcrettik<\/a>: bilgisayar korsanlar\u0131 , bebek bak\u0131c\u0131lar\u0131n\u0131 taciz etmek ve \u00e7ocuklar\u0131 korkutmak<\/a> i\u00e7in \u00e7evrimi\u00e7i bebek monit\u00f6rlerini ele ge\u00e7irebilir; robot elektrikli s\u00fcp\u00fcrgeler, sahiplerinin m\u00fcstehcen foto\u011fraflar\u0131n\u0131 veya evlerinin planlar\u0131n\u0131 s\u0131zd\u0131rabilir<\/a>; ev a\u011flar\u0131na yap\u0131lan sald\u0131r\u0131larda<\/a> ak\u0131ll\u0131 ampullerin(!) kullan\u0131ld\u0131\u011f\u0131 bile olmu\u015ftur.<\/p>\n

\u015eimdi s\u0131ra ak\u0131ll\u0131 mama kaplar\u0131nda.<\/p>\n

S\u0131zd\u0131ran k\u00e2se<\/h2>\n

Uzmanlar\u0131m\u0131z, pop\u00fcler Dogness ak\u0131ll\u0131 mama kab\u0131<\/a> \u00fczerinde \u00e7al\u0131\u015ft\u0131 ve bir sald\u0131rgan\u0131n cihaza kurulan besleme program\u0131n\u0131 de\u011fi\u015ftirmesine olanak tan\u0131yan \u2014 evcil hayvan\u0131n\u0131z\u0131n sa\u011fl\u0131\u011f\u0131n\u0131 tehlikeye atabilecek ve hatta mama kab\u0131n\u0131 bir casusluk cihaz\u0131na d\u00f6n\u00fc\u015ft\u00fcrebilecek \u2014 bir\u00e7ok g\u00fcvenlik a\u00e7\u0131\u011f\u0131 buldu. Tespit edilen daha da sinir bozucu g\u00fcvenlik sorunlar\u0131ndan baz\u0131lar\u0131, mama kaplar\u0131n\u0131n sabit kodlanm\u0131\u015f kimlik bilgilerinin kullanmas\u0131, bulutla a\u00e7\u0131k metin olarak ileti\u015fim kurmas\u0131 ve g\u00fcvenli olmayan bir cihaz yaz\u0131l\u0131m\u0131 g\u00fcncelleme s\u00fcreciydi. Bu g\u00fcvenlik a\u00e7\u0131klar\u0131, ak\u0131ll\u0131 mama kab\u0131na yetkisiz eri\u015fim elde etmek ve bu cihaz\u0131 ev a\u011f\u0131ndaki di\u011fer cihazlara sald\u0131rmak i\u00e7in bir ge\u00e7i\u015f noktas\u0131 yapmak amac\u0131yla kullan\u0131labilir. Ara\u015ft\u0131rma metodolojisi hakk\u0131nda ayr\u0131nt\u0131lar i\u00e7in Securelist konusundaki kapsaml\u0131 raporumuza<\/a> bakabilirsiniz. Yine de \u015fimdilik, hangi g\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131n bulundu\u011funa ve bunlar\u0131n do\u011furdu\u011fu risklere k\u0131saca de\u011finece\u011fiz.<\/p>\n

Sorunun k\u00f6k\u00fc<\/h2>\n

Dogness ak\u0131ll\u0131 mama kab\u0131n\u0131n ana g\u00fcvenlik a\u00e7\u0131\u011f\u0131, varsay\u0131lan ba\u011flant\u0131 noktas\u0131 \u00fczerinden uzaktan k\u00f6k eri\u015fimine izin veren Telnet sunucusudur. Ayn\u0131 zamanda, s\u00fcper kullan\u0131c\u0131 parolas\u0131<\/a> cihaz yaz\u0131l\u0131m\u0131na sabit bi\u00e7imde kodlanm\u0131\u015ft\u0131r ve de\u011fi\u015ftirilemez. Bu, cihaz\u0131n sabit yaz\u0131l\u0131m\u0131n\u0131 \u00e7\u00f6zen bir sald\u0131rgan\u0131n parolay\u0131 kolayca kurtarabilece\u011fi ve cihaza \u2014 hatta ayn\u0131 model herhangi bir<\/em> cihaza \u2014 tam eri\u015fim elde edebilece\u011fi anlam\u0131na gelir. \u00c7\u00fcnk\u00fc ayn\u0131 model t\u00fcm cihazlar ayn\u0131 k\u00f6k parolaya sahiptir. Tek yapmalar\u0131 gereken, ayn\u0131 model mama kab\u0131 sat\u0131n almak ve \u00fczerinde biraz u\u011fra\u015fmakt\u0131r.<\/p>\n

Siber sald\u0131rganlar, Telnet \u00fczerinden uzaktan oturum a\u00e7arak (bunun i\u00e7in bilgisayar korsan\u0131n\u0131n ev a\u011f\u0131n\u0131za uzaktan eri\u015fim sa\u011flamas\u0131 gerekir) k\u00f6k parola eri\u015fimiyle cihazda herhangi bir kodu \u00e7al\u0131\u015ft\u0131rabilir, ayarlar\u0131 de\u011fi\u015ftirebilir ve mama kab\u0131n\u0131n kameras\u0131ndan buluta aktar\u0131lan video g\u00f6r\u00fcnt\u00fcleri dahil hassas verileri \u00e7alabilir. B\u00f6ylece, mama kab\u0131, geni\u015f a\u00e7\u0131l\u0131 kameras\u0131 ve iyi bir mikrofonu olmas\u0131 halinde kolayca iyi bir g\u00f6zetleme cihaz\u0131na d\u00f6n\u00fc\u015ft\u00fcr\u00fclebilir.<\/p>\n

\u015eifreleyen var m\u0131?<\/h2>\n

K\u00f6k parolan\u0131n hem cihaz yaz\u0131l\u0131m\u0131na g\u00f6m\u00fcl\u00fc hem de t\u00fcm cihazlar i\u00e7in ortak olmas\u0131na ek olarak, k\u0131smen daha az ciddi olsa da, bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131 daha ke\u015ffettik: mama kab\u0131, bulutla herhangi bir \u015fifreleme olmadan ileti\u015fim kurar. Kimlik do\u011frulama verileri de ayn\u0131 \u015fekilde \u015fifrelenmemi\u015f bi\u00e7imde iletilir. Bu, k\u00f6t\u00fc niyetli birinin, cihaz yaz\u0131l\u0131m\u0131ndan k\u00f6k parolay\u0131 kaz\u0131makla u\u011fra\u015fmas\u0131na bile gerek kalmayaca\u011f\u0131 anlam\u0131na gelir. Mama kab\u0131 ile bulut aras\u0131ndaki trafi\u011fi kesmek, cihaza eri\u015fim sa\u011flamak ve ard\u0131ndan sald\u0131rmak yeterlidir. Akabinde de eri\u015fim elde edilen bu cihaz \u00fczerinden ayn\u0131 a\u011fdaki di\u011fer cihazlar, yani t\u00fcm evin altyap\u0131s\u0131n\u0131 riske girer.<\/p>\n

Alexa, havla!<\/h2>\n

Ancak deliklerine ra\u011fmen k\u00e2se hala s\u00fcrprizlerle dolu. Dogness mama kab\u0131, ses kontrol\u00fc i\u00e7in Amazon Alexa\u2019ya ba\u011flanabilir. Kullan\u0131\u015fl\u0131, de\u011fil mi? Alexa\u2019ya sadece \u201cBesle!\u201d komutu vermeniz yeterlidir. Telefonunuzu \u00e7\u0131karman\u0131za bile gerek yoktur.<\/p>\n

Bir kez daha, tahmin edebilece\u011finiz gibi, cihaz geli\u015ftiricilerin bu t\u00fcr gev\u015fek g\u00fcvenlik uygulamalar\u0131 baz\u0131 ciddi sonu\u00e7lara yol a\u00e7ar. Cihaz, MQTT (Message Queuing Telemetry Transport) arac\u0131l\u0131\u011f\u0131yla Alexa\u2019dan komutlar al\u0131r ve oturum a\u00e7ma kimlik bilgileri, y\u00fcr\u00fct\u00fclebilir dosyaya a\u00e7\u0131k metin olarak yeniden yaz\u0131l\u0131r. Bu, yine piyasadaki t\u00fcm cihazlar i\u00e7in durumun ayn\u0131 oldu\u011fu anlam\u0131na gelir. Yani, ses kontrol\u00fc i\u00e7in mama kab\u0131n\u0131z\u0131 Alexa\u2019ya ba\u011flad\u0131\u011f\u0131n\u0131zda, cihaz art\u0131k sizin<\/em> mama kab\u0131n\u0131z olmaktan \u00e7\u0131kar.<\/p>\n

Bir bilgisayar korsan\u0131, MQTT sunucusuna ba\u011flanarak sunucuya ba\u011fl\u0131 t\u00fcm benzer cihazlar\u0131n, yani sahipleri ses kontrol\u00fcn\u00fc kullanmaya karar veren t\u00fcm mama kaplar\u0131n\u0131n kimlik tan\u0131mlama bilgilerini h\u0131zl\u0131 bir \u015fekilde toplayabilir. Akabinde siber su\u00e7lu, MQTT sunucusundan ses kontrol\u00fc ile mevcut komutlardan herhangi birini, bilinen bir kimlik tan\u0131mlay\u0131c\u0131 arac\u0131l\u0131\u011f\u0131yla Alexa\u2019ya ba\u011fl\u0131 herhangi bir Dogness mama kab\u0131na g\u00f6nderebilir.<\/p>\n

Bir siber su\u00e7lu, besleme program\u0131n\u0131 ve \u00f6l\u00e7\u00fcl\u00fc yiyecek miktarlar\u0131n\u0131 de\u011fi\u015ftirmek i\u00e7in komutlar g\u00f6nderebilir (evcil hayvan\u0131n\u0131za krallara lay\u0131k bir ziyafet de \u00e7ektirebilir, a\u00e7 da b\u0131rakabilir). Di\u011fer bir sorun ise, sald\u0131rgan\u0131n \u00f6zel olarak olu\u015fturulmu\u015f komutlar\u0131 mama kab\u0131na art arda g\u00f6nderebilmesi ve b\u00f6ylece sesli komut aray\u00fcz\u00fcn\u00fc \u00e7al\u0131\u015fmaz hale getirmesidir.<\/p>\n

Canl\u0131 yay\u0131n \u2014 hem de siz isteseniz de istemeseniz de<\/h2>\n

\u00c7al\u0131\u015fmam\u0131z ilerledik\u00e7e, videonun buluta y\u00fcklenmesi ve buradan telefonunuz \u00fczerinden izlenebilmesi konusunda yeni s\u00fcrprizlerle kar\u015f\u0131la\u015ft\u0131k. Mobil uygulama, sunucuya g\u00fcvenli HTTPS protokol\u00fcn\u00fc kullanarak ba\u011flansa da, mama kab\u0131n\u0131n verileri buluta hi\u00e7 \u015fifreleme olmadan ve eski ve g\u00fcvenliksiz HTTP arac\u0131l\u0131\u011f\u0131yla iletti\u011fi ortaya \u00e7\u0131kt\u0131. Dahas\u0131, hem cihaz kimli\u011fi hem de y\u00fckleme anahtar\u0131 (ikili dosyaya sabit kodlanm\u0131\u015ft\u0131r) sunucuya a\u00e7\u0131k metin olarak iletiliyor.<\/p>\n

Mama kab\u0131 kameras\u0131n\u0131n s\u00fcrekli olarak video kaydedecek ve sunucuya iletecek \u015fekilde tasarland\u0131\u011f\u0131 g\u00f6z \u00f6n\u00fcne al\u0131nd\u0131\u011f\u0131nda, bu g\u00fcvenlik a\u00e7\u0131\u011f\u0131, sald\u0131rganlar\u0131n kameran\u0131n g\u00f6r\u00fc\u015f alan\u0131nda olup biten her \u015feyi g\u00f6rmesine ve duymas\u0131na olanak tan\u0131r.<\/p>\n

\u00c7ok da sa\u011flam olmayan bir cihaz yaz\u0131l\u0131m\u0131<\/h2>\n

Son olarak, cihaz yaz\u0131l\u0131m\u0131 g\u00fcncelleme s\u00fcreci \u2014 yani yukar\u0131daki sorunlar\u0131 \u00e7\u00f6zmenin yegane yolu \u2014 da bir o kadar g\u00fcvensizdir! G\u00fcncellemek i\u00e7in mama kab\u0131, g\u00fcvenli olmayan HTTP arac\u0131l\u0131\u011f\u0131yla g\u00fcncelleme sunucusundan yeni cihaz yaz\u0131l\u0131m\u0131n\u0131 i\u00e7eren bir ar\u015fiv dosyas\u0131 indirir. Evet, ar\u015fiv parola korumal\u0131d\u0131r, ancak muhtemelen zaten tahmin etti\u011finiz gibi, bu parola a\u00e7\u0131k metin olarak g\u00fcncelleme komut dosyalar\u0131ndan birinde yaz\u0131lm\u0131\u015ft\u0131r. Ve \u00fcreticinin en g\u00fcncel cihaz yaz\u0131l\u0131m\u0131 s\u00fcr\u00fcm\u00fcn\u00fcn indirildi\u011fi URL, adresi mevcut \u00fcretici yaz\u0131l\u0131m\u0131na eklenmi\u015f olan g\u00fcncelleme sunucusundan al\u0131nan yan\u0131ta g\u00f6re olu\u015fturulur.<\/p>\n

Dijital imzalar ve cihaz yaz\u0131l\u0131m\u0131n\u0131 do\u011frulaman\u0131n ba\u015fka bir y\u00f6ntemi yoktur: cihaz, \u015fifrelenmemi\u015f bir kanal \u00fczerinden \u00fcretici firman\u0131n yeni cihaz yaz\u0131l\u0131m\u0131n\u0131n bulundu\u011fu ar\u015fivi indirir, s\u0131k\u0131\u015ft\u0131r\u0131lm\u0131\u015f dosyadan \u00e7\u0131kar\u0131lan (ve t\u00fcm cihazlarda ortak olan) parolay\u0131 kullanarak ar\u015fivi a\u00e7ar ve hemen y\u00fckler. Bu, bir sald\u0131rgan\u0131n cihaz yaz\u0131l\u0131m\u0131n\u0131 de\u011fi\u015ftirebilece\u011fi ve cihaza diledi\u011fi her \u015feyi y\u00fckleyerek beklenmeyen ve istenmeyen \u00f6zellikler ekleyebilece\u011fi anlam\u0131na gelir.<\/p>\n

Bu cihazlar\u0131 nas\u0131l g\u00fcvenli bir \u015fekilde kullanabiliriz?<\/h2>\n

\u0130deal bir d\u00fcnyada, t\u00fcm bu g\u00fcvenlik kusurlar\u0131, bilgisayar korsanlar\u0131 bunlar\u0131 hen\u00fcz \u00f6\u011frenmeden \u00f6nce, mama kab\u0131 \u00fcreticisi taraf\u0131ndan do\u011fru zamanlamayla yay\u0131nlanacak bir cihaz yaz\u0131l\u0131m\u0131 g\u00fcncellemesiyle giderilmi\u015f olmal\u0131d\u0131r. Ger\u00e7ek d\u00fcnyada ise, tespit etti\u011fimiz kusurlar\u0131 ilgili cihaz \u00fcreticisine defalarca bildirdik, ancak Ekim 2022\u2019den beri herhangi bir yan\u0131t alamad\u0131k. Bu arada, buldu\u011fumuz t\u00fcm g\u00fcvenlik a\u00e7\u0131klar\u0131, sat\u0131\u015f\u0131 devam eden Dogness ak\u0131ll\u0131 mama kab\u0131nda hala mevcut. Bu da evcil hayvanlar\u0131n refah\u0131 ve sahiplerinin mahremiyeti a\u00e7\u0131s\u0131ndan ciddi bir tehdit olu\u015fturuyor.
\nBu nedenle, ak\u0131ll\u0131 ev g\u00fcvenli\u011fini ayarlamak i\u00e7in ayr\u0131nt\u0131l\u0131 k\u0131lavuzumuzu<\/a> okuman\u0131z\u0131 \u00f6neririz. Buradaki tavsiyelerin \u00e7o\u011fu, yukar\u0131da a\u00e7\u0131klanan ak\u0131ll\u0131 mama kab\u0131 sorunlar\u0131 i\u00e7in e\u015fit derecede ge\u00e7erlidir. Her durumda, \u00f6zellikle Dogness mama kab\u0131 sahipleri i\u00e7in baz\u0131 basit ipu\u00e7lar\u0131:<\/p>\n