Sliedrecht, 17 oktober 2019 – Het ESET Smart Home Research Team heeft onlangs ontdekt dat de populaire Amazon Echo – de originele hardware van Amazon Alexa – openstond voor meerdere van de tien Key Reinstallation Attack (KRACK)-kwetsbaarheden. Dit was ook het geval voor minstens één generatie van Kindle – Amazons veelgebruikte e-readers. De geïdentificeerde kwetsbaarheden werden gerapporteerd aan, en vervolgens gepatcht door, het securityteam van Amazon.
In 2017 vonden twee Belgische onderzoekers, Mathy Vanhoef en Frank Piessens, ernstige kwetsbaarheden in de WPA2-standaard, een protocol dat op dat moment bijna alle moderne WiFi-netwerken beveiligde. KRACK aanvallen werden voornamelijk gericht op de four-way handshake – een mechanisme dat gebruikt wordt voor twee doeleinden: het bevestigen dat de client en het access point de juiste inloggegevens hebben; en onderhandeling van de sleutel gebruikt voor het versleutelen van het verkeer. Zelfs vandaag de dag, twee jaar later, zijn er veel apparaten met WiFi-toegang nog kwetsbaar voor KRACK-aanvallen.
“In de afgelopen jaren hebben miljoenen huishoudens slimme apparaten in huis gehaald dankzij het grote aanbod populaire home assistant-apparaten op de markt. Ondanks de pogingen van enkele fabrikanten om deze apparaten te ontwerpen met security in gedachten, blijven ze vaak kwetsbaar,” zegt ESET-onderzoeker Miloš Čermák. “We hebben meerdere kwetsbaarheden gevonden in minstens drie apparaten van Amazon. Dit had een beveiligingsrisico met grote gevolgen kunnen vormen door de hoeveelheid die ervan in omloop zijn,” legt Čermák uit.
De eerste generatie Echo’s en achtste generatie Amazon Kindles waren kwetsbaar voor twee KRACK-kwetsbaarheden. Deze kwetsbaarheden zijn ernstig aangezien zij de aanvaller in staat stellen om: een DoS-aanval uit te voeren; data of informatie verzonden door het slachtoffer te ontsleutelen; datapakketjes te creëren, het apparaat in staat te stellen pakketjes te negeren of nieuwe pakketjes te injecteren; gevoelige informatie zoals wachtwoorden of sessiecookies te onderscheppen.
“Belangrijk om te vermelden is dat KRACK-aanvallen – net als andere aanvallen op WiFi-netwerken – van dichtbij uitgevoerd moeten worden om effectief te zijn,” voegt Miloš Čermák toe.
ESET rapporteerde alle gevonden kwetsbaarheden in Echo en Kindle en assisteerde het securityteam van Amazon tijdens het oplossen van de problemen.
Lees voor meer informatie over de kwetsbaarheden de blogpost “What was wrong with Alexa? How Amazon Echo and Kindle got KRACKed.”
Over ESET
Al 30 jaar lang ontwikkelt ESET® toonaangevende IT-beveiligingssoftware en -diensten voor bedrijven en consumenten over de hele wereld. Inmiddels is ESET uitgegroeid tot het grootste IT-security bedrijf van de Europese Unie met oplossingen variërend van endpoint en mobile security, tot encryptie en tweefactorauthenticatie. ESET beschermt en monitort 24/7 op de achtergrond en werkt beveiliging in real-time bij om gebruikers veilig te houden en bedrijven zonder onderbreking te laten werken. Gesteund door R&D-centra over de hele wereld, is ESET het eerste IT-beveiligingsbedrijf dat 100 Virus Bulletin VB100-awards heeft verdiend, waarmee elke afzonderlijke “in-the-wild” malware zonder onderbreking werd geïdentificeerd sinds 2003. Ga voor meer informatie naar www.eset.com/nl of volg ons op LinkedIn, Facebook en Twitter.