Fallo de seguridad permite el acceso y cambio de firmware en los dispositivos Smart Life / Tuya sin soldar

Domótica

Un importante fallo de seguridad ha saltado a los dispositivos que pertenecen al ecosistema Tuya / Smart Life que permite, teniendo acceso físico, poder extraer y cambiar el firmware de los dispositivos.

Nota: Hemos publicado el tutorial de como se puede usar este fallo de seguridad para cambiar el firmware en un Smart Life o Tuya sin desmotar.

Un informe publicado en Golem.de, una revista alemana de seguridad, la persona que ha descubierto el problema ha mostrado el proceso de cómo consiguió llegar a poder acceder al firmware para poder extraerlo y poder incluso cambiarlo sin necesidad de abrir el dispositivo.

Gracias a que gran parte del tráfico viajaba entre el dispositivo y la nube de Tuya sin cifrar, fue capaz de obtener la clave para el cifrado de la comunicación por medio de MQTT, lo que posteriormente les ha permitido poder acceder al firmware del dispositivo.

Teniendo acceso físico y poniendo el dispositivo en modo emparejamiento, con el software publicado en github, es posible simular los servidores de Tuya de forma local para hacerle creer al dispositivo que se trata de una actualización y, por tanto, poder extraer el firmware actual así como poder poner el que queramos dentro del mismo.

Esto es un arma de doble filo ya que, por un lado tenemos la posibilidad de poner Tasmota/Espurna o cualquier otro en nuestros dispositivos sin necesidad de usar un soldador, pero, por otro lado estamos expuestos a que alguien sea capaz de extraer la información de nuestra conexión a internet que se almacena sin cifrado dentro del ESP8266 que incluyen los dispositivos.

A lo largo del día intentaré explicar como usar este fallo para poder cambiar el firmware a un dispositivo Tuya / Smart haciendo para cambiarlo a Tasmota.

Fuente: Golem.de

¿Quieres montarte tu propio sistema Smart Home?

¿Te gustaría empezar poco a poco teniendo Google Home, Alexa o Home Assistant para controlar las luces, calefacción y otros electrodomésticos de la casa? ¡Te ayudamos! Entra en nuestro Grupo de Telégram de Domótica y también puedes entrar a nuestro Foro de Domótica donde podrás empezar a leer y preguntar tus dudas. Además, si quieres estar al tanto de las ofertas de domótica que salen a diario para poder hacerte un sistema de domótica low cost, entra a nuestro Canal de ofertas de domótica y no te perderás ni una o si lo prefieres y no tienes Telegram, puedes entrar a nuestra página de ofertas de domótica o Smart Home en Facebook. ¡Síguenos también en nuestro Facebook, Twitter o Instagram! ¡Te esperamos!

Comentarios en Facebook

2 Comentarios

Contestar

Tu e-mail no será publicadoRequired fields are marked *

You may use these HTML tags and attributes: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>

*

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.

Lost Password

Registro