Le lampadine smart TP-Link Tapo, soprattutto il modello più venduto in Italia su Amazon, sono diventate motivo di preoccupazione a causa di quattro vulnerabilità scoperte dai ricercatori. Queste vulnerabilità potrebbero consentire a malintenzionati di rubare con facilità le password Wi-Fi.
Le soluzioni smart Tapo di TP-Link sono molto popolari su Amazon e l’applicazione di controllo proprietaria è stata scaricata oltre 10 milioni di volte da Google Play. Tuttavia, una ricerca condotta dall’Università di Catania e dall’Università di Londra ha permesso di scoprire quattro vulnerabilità legate all’utilizzo del modello Tapo L530E insieme all’app omonima.
I ricercatori hanno testato appositamente la lampadina smart Tapo L530E, la più venduta su Amazon in Italia. L’obiettivo era valutare la sicurezza dei prodotti IoT di questo tipo, dato che sono sempre più presenti nelle case. Purtroppo i risultati non sono stati positivi. I ricercatori hanno individuato quattro vulnerabilità, di cui la prima ha ricevuto il punteggio di vulnerabilità CVSS v3.1 più alto: 8.8, indicativo di un elevato rischio. La ragione è che manca completamente una modalità di autenticazione tra la lampadina smart e l’app Tapo, il che potrebbe permettere a un attaccante di farsi passare per la lampadina durante lo scambio della chiave di sessione. Questa vulnerabilità è presente in tutti i dispositivi smart Tapo che utilizzano il protocollo TSKEP, consentendo agli hacker di recuperare le password degli utenti di Tapo e manipolare i dispositivi stessi.
La seconda falla, con un punteggio di 7.6, permette di ottenere la chiave “shared secret” utilizzata per l’autenticazione tra la lampadina smart e l’app Tapo attraverso attacchi a forza bruta. Gli attaccanti cercano tutte le possibili combinazioni fino a trovare quella corretta. Inoltre, decompilando l’app Tapo, possono ottenere accesso al “shared secret”, compromettendo così l’autenticazione.
Il terzo problema di sicurezza, con un punteggio di 4.6, è legato alla mancanza di casualità durante la crittografia simmetrica. Questo consente a un attaccante di rendere prevedibile lo schema crittografico. Infine, l’ultima vulnerabilità, con un punteggio di 5.7, riguarda un mancato controllo della freschezza dei messaggi ricevuti dal dispositivo. Il dispositivo mantiene le chiavi di sessione valide per 24 ore.
Le prime due vulnerabilità sono senza dubbio le più pericolose. Tuttavia, è importante sottolineare che, per riuscire a rubare le password Wi-Fi, il dispositivo deve trovarsi in modalità di configurazione.
La buona notizia è che le vulnerabilità sono state segnalate a TP-Link tramite il suo Vulnerability Research Program (VRP) e l’azienda le ha tutte riconosciute. Ha dichiarato di aver già iniziato a lavorare alle correzioni sia a livello di app che di firmware delle lampadine. Non è stata specificata una data per il rilascio delle correzioni, ma TP-Link è consapevole dell’impatto negativo che questa situazione potrebbe avere sulla sua reputazione e quindi ci si aspetta che gli aggiornamenti saranno forniti al più presto.
La lampada smart più venduta su Amazon mette a rischio le password WiFi
Le lampadine smart TP-Link Tapo, in particolare il modello più venduto in Italia su Amazon, sono state oggetto di preoccupazione a causa di quattro vulnerabilità scoperte dai ricercatori, che potrebbero consentire a malintenzionati di rubare facilmente le password Wi-Fi. La ricerca congiunta condotta dall’Università di Catania e dall’Università di Londra ha individuato queste vulnerabilità nell’utilizzo del modello Tapo L530E insieme all’applicazione omonima. I ricercatori hanno appositamente testato la lampadina smart Tapo L530E, la più venduta su Amazon in Italia, per valutarne la sicurezza. I risultati sono stati meno positivi del previsto, con la scoperta di quattro vulnerabilità. La più pericolosa di queste è l’assenza di una modalità di autenticazione tra la lampadina smart e l’app Tapo, che consente agli aggressori di impersonare la lampadina e rubare le password degli utenti di Tapo. Le altre vulnerabilità riguardano la facilità nel ottenere la chiave “shared secret” utilizzata per l’autenticazione, la mancanza di casualità nella crittografia simmetrica e il mancato controllo della freschezza dei messaggi ricevuti dal dispositivo. È importante notare che per rubare le password Wi-Fi, il dispositivo deve essere in modalità di configurazione. Le vulnerabilità sono state segnalate a TP-Link, che ha iniziato a lavorare per correggerle sia a livello di app che di firmware. Non è stato specificato quando saranno rilasciate le correzioni, ma TP-Link è consapevole dell’impatto negativo che questa situazione potrebbe avere e si prevede che l’aggiornamento verrà rilasciato presto.
