Voor een bedrijf dat zo erg met het Internet of Things bezig is, heeft Nest zich vorige week behoorlijk in de nesten gewerkt. De slimme thermostaten van het bedrijf lekten namelijk al maanden adresgegevens van gebruikers. Die liepen over een onversleutelde verbinding over het netwerk.
Dat ontdekten beveiligingsonderzoekers van de Princeton Universiteit, die hun bevindingen openbaar maakten.
Postcodes rondgestuurd
De Nest-thermostaat, het bekendste product van Nest, stuurde onder andere de postcodes en huisnummers van gebruikers rond. De postcode moet worden ingegeven zodat de thermostaat het huidige weer op die locatie kan laten zien.
De adresgegevens werden onversleuteld verstuurd, waardoor iemand ze kon onderscheppen én uitlezen met een man-in-the-middle-aanval. Daarvoor moest de aanvaller overigens wel toegang hebben tot het thuisnetwerk van de gebruiker.
Breder probleem
Nou is het niet echt heel erg dat de postcode werd gelekt - iemand die toegang had tot het netwerk van de gebruiker zit al op die locatie, dus kun je de postcode ook gewoon op internet opzoeken... Het grotere probleem is volgens de onderzoekers alle persoonlijke informatie die lekt uit IoT-apparaten, een probleem waar veel beveiligers en IT'ers al jaren voor waarschuwen.
Internet of Unsecured Things
De onderzoekers keken ook naar andere apparaten, zoals slimme camera's, deurbellen en zelfs fotolijstjes, en vonden dat de meeste van die apparaten op de één of andere manier wel informatie lekten over gebruikers.
Het is bovendien niet de eerste keer dat slimme apparaten persoonlijke gegevens blijken te lekken. Zo was er al eens slimme koelkasten van Samsung die informatie uit je Google-agenda lekten.
Veel gebeuren
Volgens de onderzoekers moet er nog heel wat gebeuren voor IoT-apparaten veiliger kunnen worden. Veel van de processoren leveren bijvoorbeeld nog te weinig rekenkracht om alle informatie ook daadwerkelijk te versleutelen. Ook moeten de fabrikanten veiligheid en privacy een hogere prioriteit geven.