Quando la Internet delle cose e tutti gli apparecchi di casa saranno connessi in Rete, porte e sistemi di sicurezza compresi, la vita sarà più semplice, anche per i ladri.

Affidare la sicurezza della propria abitazione a dei software che, per loro natura, possono contenere bug sfruttabili da malintenzionati può infatti essere pratico, ma espone agli stessi problemi che oggi vediamo verificarsi con i computer.

Non solo: se per sistemare una serratura difettosa è sufficiente chiamare un fabbro, perché siano risolti i problemi del software che gestisce la "serratura intelligente" si può solo sperare che il produttore sia celere ed efficiente.

Consigliamo la lettura di:

Generatore elettrico italiano comandabile da chiunque via Internet

Aiuto, la mia casa smart è stata posseduta via radio

Mini-centrale idroelettrica francese comandabile da chiunque via Internet

Gli hacker della toilette

Questo scenario è tutt'altro che futuristico. Alcuni ricercatori hanno dimostrato come si sia già verificato con SmartThings, il sistema di domotica sviluppato da Samsung che permette di connettere a Internet serrature elettroniche, termostati, apparecchi di cucina e sistemi di sicurezza.

Secondo gli autori dello studio che descrive le debolezze di SmartThing, nel framework di Samsung ci sono due serie vulnerabilità che non si possono risolvere facilmente: per questo motivo, essi consigliano di pensarci due volte prima di adottare questa soluzione per connettere le serrature e altri sistemi importanti.

«Tutti gli attacchi» - scrivono i ricercatori - «espongono al rischio di danni significativi come scasso, furto e vandalismo».

I sistemi descritti per violare SmartThing comprendono la possibilità di usare un'app per ottenere il PIN che apre le serrature elettroniche e farsi inviare il codice così scoperto via SMS, oppure di adoperare un'app per gestire le impostazioni dei sistemi arrivando a compiere azioni come attivare l'allarme antincendio.

Cuore del problema - spiegano i ricercatori - sta nel fatto che molte app ricevono dalla piattaforma SmartThing più privilegi di quelli di cui effettivamente necessitano, anche se non ne hanno fatto richiesta; inoltre è stata scoperta una falla nell'implementazione di OAuth.

Ciò ha permesso agli studiosi di sfruttare l'app che permette di aprire e chiudere le porte di cambiare il PIN delle serrature.

Delle 499 SmartApps studiate (tutte quelle disponibili al momento della ricerca), il 55% disponeva di più privilegi del necessario, e il 42% disponeva di privilegi che non aveva richiesto.

Dopo la pubblicazione dello studio, Samsung è intervenuta e in un post ufficiale ha affermato di aver apportato dei cambiamenti alla propria implementazione di OAuth, risolvendo i problemi di sicurezza.