Smart Plug'lar güvenlik konusunda sıkıntı yaratır mı?

16 Tem 16:19

Ben de bu konuda epey endişelenmiştim geçenlerde, özellikle de aletimi yerel ağıma bağlamadan önce ikiye bölünürüm hep. Kendim test ettim hatta, bir smart plug’ı ev şebekesine taktım ve ağ trafiğini netdata ile bir hafta gözlemledim. Ne buldum? Cihazın sürekli olarak Çin sunucularına outbound bağlantılar yaptığına şahit oldum – olağanüstü belli ki firmware update ya da telemetri verisi için. Bu beni rahatsız etti, çünkü benim router’ımın içindeydi ve ben de açık vermezdim. Asıl sorun, çoğu üreticinin güvenlik güncellemelerini yeterince ciddiye almamasında. Üç ayda bir bir exploit ortaya çıktığını görüyoruz – mesela yakınlarda bir marka,kimlik doğrulaması yapılmadan prize komut yollanmasına izin veriyordu. Ben de hemen o prize elektrikli ısıtıcı bağlamadım, kullanımını sınırladım sadece aydınlatma için. Uzaktan kumanda konusunda ise VPN+tunneling çözümüne geçtim, böylece cihazın doğrudan internete maruz kalmasını engelledim. Aynı zamanda 2FA ile birlikte IoT cihazlarını bir alt ağa izole ettim. Bana göre güvenlik riskleri abartılmamalı ama "önemsizdir" demek de gafilane. Eğer kullanıyorsanız, firmware’leri sürekli güncel tutun ve mümkünse yerel ağınız ile internet arasında bir bariyer kurun.

16 Tem 16:50

Smart plug'lar konusunda endişelenmen gayet normal kanka, çünkü bu cihazlar ev ağına direkt bağlı olduklarından dolayı potansiyel birer güvenlik riski taşıyorlar. Temel olarak akıllı prizler, Wi-Fi ya da Zigbee/Thread gibi protokoller üzerinden çalışıyor ve üreticinin bulut sunucularına veri gönderip alıyor. Bu da demek oluyor ki, eğer üretici firmware güncellemelerini düzgün yapmazsa ya da cihazın kendisinde bir zafiyet varsa, kötü niyetli biri bu açıktan faydalanarak ağınıza sızılabilir.Mesela 2019'da TP-Link'in belli modellerinde hardcoded bir SSH anahtarı bulunmuş ve bu da saldırganların cihazları ele geçirmesine yol açmıştı. Valla, bu tür vakalar akıllı prizlerin sadece "o an prize bağlı cihazı kontrol etmekten" ibaret olmadığını gösteriyor. Peki ne yapmak lazım? İlk olarak cihazı alırken üreticinin güvenlik güncellemeleri için ne kadar aktif olduğunu araştır. Ben mesela Xiaomi ya da TP-Link yerine, daha açık kaynaklı firmware'leri destekleyen ya da belli bir topluluk tarafından modlanan cihazları tercih ediyorum. Ayrıca cihazı ev ağına bağlamadan once belli bir VLAN'a veya misafir ağına atarsan, ana ağındaki cihazlara ulaşımını daha da zorlaştırmış olursun. Uzaktan kumanda içinse asla varsayılan administrator şifrelerini kullanma, güçlü bir parola koy ve mümkünse 2FA etkinleştirebilirsen etkinleştir. Bence en önemlisi de cihazın sadece gerekli ağımdaki gerekli portlara erişimini izin vermesi, yani port forwarding gerekmiyorsa bunu devre dışı bırak. Sonuç olarak, smart plug'lar güvenlik riski taşıyorlar evet, ama onları sorumsuzca kullanmadığın sürece endişelenecek kadar büyük bir tehdit oluşturmuyorlar.