Laporan Baru Menyebutkan Kerentanan Tambahan Aplikasi TappLock

TappLock Corp., HiConsumption

Pakar Infosec dari PenTest Partners melakukan tes sebelumnya minggu lalu di mana mereka dapat membuka kunci teknologi gembok pintar TappLock hanya dalam beberapa detik. Para peneliti ini mampu mengeksploitasi kerentanan dalam metode otentikasi digital, yang mereka rasa memiliki masalah serius. Teknisi dari PenTest berkomentar bahwa mereka yakin seseorang yang dapat mengetahui alamat MAC Bluetooth Low Energy yang ditetapkan ke kunci pintar kemudian dapat membuka kodenya.

Meskipun ini bukan tugas yang mudah bagi kebanyakan individu, perangkat memang menyiarkan alamat ini sehingga mereka yang ahli dengan teknologi nirkabel mungkin dapat membatalkan kunci segera setelah mereka mencegat siaran. Alat yang diperlukan untuk mencegat siaran semacam itu juga tidak akan terlalu sulit ditemukan bagi mereka yang memiliki keterampilan seperti itu.

Vangelis Stykas, peneliti IoT dari Thessaloniki, kini telah merilis laporan bahwa alat administrasi berbasis cloud TappLock juga dipengaruhi oleh kerentanan. Laporan tersebut menyatakan bahwa mereka yang masuk ke akun secara fungsional diberdayakan untuk mengontrol akun lain jika mereka mengetahui nama ID pengguna lain.

TappLock tampaknya saat ini tidak menggunakan koneksi HTTPS yang aman untuk mengirimkan data kembali ke home base. Selain itu, ID akun didasarkan pada rumus inkremental yang membuatnya lebih dekat dengan alamat rumah daripada ID sebenarnya.

Stykas menemukan bahwa dia tidak dapat menambahkan dirinya sebagai pengguna resmi dari kunci apa pun yang bukan miliknya, yang berarti bahwa kerentanan memiliki batasan bahkan tanpa perusahaan di balik kunci tersebut merilis tambalan.

Dia melakukannya, bagaimanapun, menyatakan bahwa dia dapat membaca beberapa bit informasi pribadi dari sebuah akun. Ini termasuk lokasi terakhir di mana kunci dibuka. Secara teori, penyerang dapat mengetahui waktu terbaik untuk mendapatkan akses fisik ke suatu area. Tampaknya dia juga dapat membuka kunci lain dengan aplikasi resmi.

Meskipun belum ada pengumuman tentang tambalan, tidak sulit untuk percaya bahwa perusahaan akan segera merilis beberapa perubahan mengingat mereka telah bekerja keras untuk memperbaiki kerentanan lainnya. Namun demikian, para peneliti juga menemukan bahwa apa pun fungsi keamanan digital yang diaktifkan pada aplikasi, mereka masih dapat memotong kunci dengan sepasang pemotong baut kuno.