Cualquier dispositivo IoT puede ser pirateado, incluso las parrillas

A medida que más y más electrodomésticos y dispositivos domésticos tengan acceso a Internet, también lo harán vulnerable a una posible explotación. Cualquiera que se tome en serio la parrilla ahora corre el riesgo de arruinar su barbacoa, no porque haya elegido el trozo de carne equivocado o no haya prestado suficiente atención a mantener la temperatura ideal, sino porque su parrilla fue pirateada.

Nick Cerne, de Bishop Fox, descubrió varias vulnerabilidades en ciertos tipos de parrillas de Traeger, una conocida marca para asar y ahumar. Los modelos afectados están equipados con el controlador Wi-Fi Traeger Grill D2, un dispositivo integrado que permite controlar la parrilla a través de una aplicación móvil. Las vulnerabilidades podrían permitir a un atacante remoto enviar comandos a la parrilla, como obtener detalles sobre la parrilla, incluido su número de serie, o apagarla por completo.

Aparte de la pregunta de por qué cada parrilla necesita una aplicación móvil, la mayoría de las personas no esperan este tipo de fallas al asar. Tomemos la primera vulnerabilidad con una gravedad de 7,1 (alta). Este es un problema con un control de autorización insuficiente en la API responsable de registrar la parrilla. El equipo de investigación de Bishop Fox pudo apagar de forma remota la parrilla (que pertenecía a un empleado que no formaba parte del equipo de investigación) y también aumentar la temperatura. En este caso, los investigadores cambiaron la temperatura de 165 grados Fahrenheit a 500 grados Fahrenheit.

«En lugar de ser ahumado hasta obtener una comida deliciosa, el tofu se convirtió en una corteza negra no comestible», escribió el equipo de Bishop Fox en una nota de investigación. «La falta de controles de autorización podría usarse para molestar a los propietarios de parrillas Traeger al establecer la temperatura a un máximo de 500 grados Fahrenheit durante el resto del ciclo de cocción, arruinando los alimentos cocinados sin supervisión».

Si bien los investigadores pudieron reactivar la parrilla del modo de espera, manipular la temperatura y apagarla, no pudieron encontrar una manera de encender la parrilla de forma remota. Pero el resultado de esta investigación destaca algo que es crucial para la seguridad del Internet de las cosas: la capacidad de solucionar el problema.

En este caso, Traeger dispone de actualizaciones automáticas de firmware para sus parrillas. Esto significa que todas las parrillas Traeger afectadas por la vulnerabilidad de los controles de autorización insuficiente que están conectadas a Internet ya se han actualizado sin ninguna acción por parte del propietario de la parrilla. El desafío con el Internet de las cosas siempre ha sido qué hacer cuando se encuentran vulnerabilidades de seguridad: los usuarios no descargarán actualizaciones y luego descubrirán cómo cargarlas en dispositivos como refrigeradores, cámaras y, en este caso, parrillas. El hecho de que Traeger se encargue de esta tarea para que los propietarios de parrillas no tengan que hacerlo es crucial. Más fabricantes necesitan desarrollar mecanismos de actualización para hacerlo posible seguro para los usuarios muchos de estos sistemas habilitados para Internet.

Sin embargo, cabe señalar que cualquier atacante potencial necesita primero el identificador único de 48 bits de la parrilla de destino. Esto limita el grupo de atacantes a uno que esté dentro del alcance: lo suficientemente cerca como para interceptar el tráfico de la red mientras la parrilla se empareja con la aplicación, o lo suficientemente cerca como para escanear el código QR en una pegatina en la parrilla. Esto subraya el segundo punto sobre los posibles ataques al Internet de las cosas: estar atento a lo que sucede con sus dispositivos, proteger la red de los invitados y mantener el control físico de los dispositivos puede ayudarle a frustrar los intentos de ataque.

«Bishop Fox también recomienda usar el botón de encendido físico para apagar las parrillas cuando no estén en uso». En general, parece un buen consejo.