Cento dollari per un lucchetto sono una bella cifra, ma quello venduto dalla Tapplock è un lucchetto speciale, perché è "smart": contiene un processore e un sensore d'impronte digitali e si sblocca appoggiando sul sensore un dito autorizzato. Niente chiavi da perdere, nessuna combinazione da ricordare. C'è anche un'app per gestire fino a 500 impronte. Pratico, no?

Praticissimo, e specialmente per i ladri. I ricercatori della Pen Test Partners hanno scoperto infatti che le promesse di sicurezza del lucchetto erano decisamente fantasiose. Hanno scritto un'app che sblocca qualunque lucchetto smart di questa marca in due secondi.

Come hanno fatto? Hanno comprato uno di questi lucchetti e hanno analizzato il traffico Bluetooth fra il lucchetto e l'app. Per prima cosa si sono accorti che il codice di sblocco che veniva trasmesso era uguale per tutti gli utenti autorizzati di quell'esemplare di lucchetto (che già non è una bella cosa). Ma poi hanno scoperto che il codice di sblocco era derivato dal MAC address del dispositivo.

Proposte di lettura:

Android cambia il ripristino di fabbrica per scoraggiare i ladri

Frankenthings, un genocidio nell'Internet delle Cose

Tecnologia ubiqua e analfabetismo tecnologico

WhatsApp ora supporta Passkey

Per fare un paragone, è l'equivalente di usare come password il proprio nome utente.

Spunti di approfondimento:

Google Chrome dirà addio al lucchetto da settembre

Attacco a Norton Password Manager, forse compromessi migliaia di account

Apple, Google e Microsoft svelano il sistema che eliminerà le password

Gli account Microsoft perdono le password

Eppure TappLock viene venduto dicendo che usa "crittografia AES a 128 bit, la stessa usata dai militari".

L'azienda ha confermato la vulnerabilità e ha pubblicato un avviso che raccomanda sibillinamente ai propri clienti di aggiornare il firmware dei lucchetti "per avere la protezione più recente", senza dire che la protezione attuale è un colabrodo.

Come per tanti oggetti dell'Internet delle Cose, a parte la pessima progettazione, il problema è che è molto improbabile che questi avvisi di aggiornamento raggiungano gli utenti e che, se li raggiungono, vengano ascoltati.