Az okosotthon világában egyre népszerűbbek az olcsó, Rockchip processzoros Android tabletek, amelyeket fali vezérlőpanelként vagy digitális kijelzőként használnak. Nemrég egy ilyen eszközt vizsgáltunk meg alaposabban – egy Apolosign márkanév alatt forgalmazott, RK3576 chipre épülő, Android 14-es tabletet, amely Zigbee chippel, RGB LED-ekkel, relékkel és hőmérséklet-szenzorral is rendelkezik. Az eredmények tanulságosak minden okosotthon-rajongó számára.
Miről is van szó? White-label tabletek az okosotthon piacon
Ezek a tabletek jellemzően kínai OEM gyártóktól származnak, és különböző márkanevek alatt kerülnek forgalomba világszerte – esetünkben Apolosign és iiyama címkével is találkoztunk ugyanazon a hardveren. Eredetileg kereskedelmi célra, például tárgyalótermi vezérlőpanelnek vagy digitális kijelzőnek szánták őket, de az okosotthon közösség felfedezte, hogy kiválóan alkalmasak fali Zigbee koordinátornak vagy Home Assistant dashboardnak is.
A beépített Zigbee chip (Silicon Labs EFR32) és az MQTT-n keresztül vezérelhető RGB LED-ek, relék és szenzorok rendkívül vonzóvá teszik ezeket az eszközöket. De vajon megbízhatóak-e biztonsági szempontból?
A hálózati forgalom vizsgálata – első ránézésre tiszta kép
A vizsgálat során az eszköz összes aktív hálózati kapcsolatát feltérképeztük. Az eredmény megnyugtató volt: minden kimenő kapcsolat kizárólag Google infrastruktúrára mutatott – Play Store, Google Mobile Services, Firebase Cloud Messaging (push értesítések) és naptárszinkron. A DNS kizárólag a helyi routert használta, semmilyen gyanús DNS szerver nem volt beállítva.
Tehát első ránézésre az eszköz „tisztának” tűnt. A mélyebb vizsgálat azonban más képet festett.
Amit a felszín alatt találtunk
Gyári távmenedzsment rendszer
A tablet firmware-ébe beépítve találtunk egy komplett eszközkezelő (MDM) rendszert, amely system jogosultsággal fut. Ez az alkalmazás képes:
- Alkalmazásokat telepíteni és törölni a felhasználó tudta nélkül
- Tetszőleges rendszerparancsokat végrehajtani
- Az eszközt újraindítani vagy gyári állapotba visszaállítani
- Képernyőképet készíteni
- Eszközazonosítókat (MAC cím, egyedi azonosítók) kiolvasni
- WiFi és hálózati beállításokat módosítani
Ez a rendszer egy kínai kereskedelmi kijelző-menedzsment platformhoz tartozik, és bár jelenlegi használat során nem láttuk aktívan kommunikálni, a képességei megvannak hozzá, hogy távolról teljes kontrollt gyakoroljon az eszköz felett.
Hardkódolt kínai szerver az MQTT kliensben
A tablet hardverének (LED-ek, relék, szenzorok) vezérléséért felelős MQTT kliens binárisában egy hardkódolt szervercímet találtunk, amely egy nagy kínai felhőszolgáltató (Alibaba Cloud) szerverére mutat. Ez azt jelenti, hogy ha a felhasználó nem állít be saját MQTT brókert, az eszköz automatikusan ehhez a kínai szerverhez próbál kapcsolódni – ráadásul titkosítatlan kapcsolaton keresztül.
Az MQTT kliens nemcsak adatokat küld (szenzor értékek, kapcsoló állapotok), hanem parancsokat is fogad – tehát a szerver oldaláról is vezérelhető az eszköz.
A potenciális kockázat
A fenti két komponens együttesen egy olyan láncot alkot, ahol egy távoli szerver parancsot küldhet az MQTT-n keresztül, amely aktiválhatja a menedzsment rendszert, az pedig tetszőleges műveletet hajthat végre az eszközön. Fontos hangsúlyozni: nem állítjuk, hogy ez aktívan ki van használva, de a technikai lehetőség megvan rá.
A Zigbee chip – pozitív meglepetés
A biztonsági aggályok mellett pozitívumként kell megemlíteni, hogy a beépített Silicon Labs EFR32 Zigbee chip kiválóan használható. Azonban a gyári firmware-ben a Zigbee chip egy olyan gateway alkalmazáshoz volt kötve, amely kizárólag a fent említett problémás MQTT rendszeren keresztül kommunikált – tehát a Zigbee eszközök vezérlése is a kínai szerveren keresztül történt volna.
A Yabune csapata ezt a kötöttséget feloldotta: a gyári gateway alkalmazást egy saját fejlesztésű TCP-soros híddal váltottuk ki, amely közvetlenül elérhetővé teszi a Zigbee chipet a helyi hálózaton. Így a chip a zigbee2mqtt-hoz csatlakoztatható, teljesen megkerülve a gyári felhőszolgáltatást. Az eredmény: egy teljes értékű, fali beépítésű Zigbee koordinátor, amely kizárólag a helyi hálózaton belül kommunikál, és tökéletesen integrálható a Home Assistant rendszerbe.
Tanulságok és javaslatok
Ez az eset jól illusztrálja, hogy az olcsó IoT eszközök – még ha alapvetően jól működnek is – rejtett biztonsági kockázatokat hordozhatnak. Íme néhány általános tanács:
- Vizsgáld meg az eszközöd hálózati forgalmát! Egyszerű eszközökkel (pl. a router naplóival vagy hálózatfigyelő szoftverekkel) ellenőrizheted, hogy az okoseszközeid hova kommunikálnak.
- Használj saját MQTT brókert! Ha az eszközöd támogatja az MQTT-t, mindig állítsd be a saját, helyi brókerhez való csatlakozást. Így elkerülheted, hogy az adataid idegen szerverekre kerüljenek.
- Figyeld a gyári alkalmazásokat! A white-label eszközökön gyakran találhatók olyan előtelepített alkalmazások, amelyek felesleges jogosultságokkal rendelkeznek. Érdemes ezeket átvizsgálni és lehetőség szerint letiltani.
- Szeparáld az IoT eszközöket! Az okoseszközöket érdemes külön VLAN-ba vagy hálózati szegmensbe helyezni, hogy még egy esetleges kompromittálódás esetén se férhessenek hozzá a személyes eszközeinkhez.
- Frissítések és biztonsági javítások: Sajnos az olcsóbb eszközök ritkán kapnak frissítéseket. Érdemes ezt figyelembe venni a vásárláskor.
Összegzés
A vizsgált tablet alapvetően hasznos és sokoldalú eszköz az okosotthonban – a Zigbee chip, az MQTT-vel vezérelhető hardver elemek és az Android rendszer együtt nagyon rugalmas platformot adnak. Azonban a gyári firmware biztonsági vizsgálata rávilágított, hogy érdemes óvatosnak lenni és nem feltétel nélkül megbízni az ilyen eszközökben.
A jó hír az, hogy megfelelő hálózati szintű védelemmel és némi konfigurációval ezek a kockázatok nagymértékben csökkenthetők, miközben az eszköz összes hasznos funkciója megmarad.
Ha hasonló eszközöd van, vagy okosotthon biztonsággal kapcsolatban kérdésed merülne fel, keress minket bizalommal!
English 
Magyar