Как исследователь вскрыл видеозвонок Eufy — от двери до домашней сети

После двухлетнего перерыва автор блога Adepts of 0xCC вернулся к любимому занятию — взлому гаджетов ради удовольствия. Поводом стал мастер-класс для шурина и обилие видеозвонков на улицах родного города, где квартиры массово сдают туристам. Мишенью он выбрал самую распространённую модель — экосистему Eufy Security Video Doorbell.

Устройство экосистемы

Комплект состоит из двух частей: базовой станции Homebase 2, которая подключается к интернету, и собственно звонка у двери. Общаются они по скрытой Wi-Fi-сети с именем вида OCEAN_XXXXXX, где суффикс — последние 24 бита MAC-адреса базы (префикс всегда 90:bf:d9). База выступает шлюзом, и сеть эта никак не изолирована от домашней.

Три способа атаки

Глушение. Скрытая сеть использует обычный WPA2 без защиты от деаутентификации. Поток пакетов deauth отключает звонок от базы: видео продолжает писаться локально, но не уходит в приложение. Базы легко найти по известному префиксу MAC, после чего можно спокойно подойти к устройству, снять его и вскрыть — никто не заметит.

Протокол синхронизации по звуку. При сопряжении база передаёт данные... звуком. Автор, по собственному признанию не разбирающийся в математике и телекоммуникациях, с помощью друга и реверса прошивки разобрал кодирование: 19 частот с шагом 150 Гц, символы около 70 мс, блоки с коррекцией ошибок Рида — Соломона и проверкой CRC-16. Выяснилось, что звук несёт не реальный пароль скрытой сети, а учётные данные временной точки доступа. Написав обратный кодировщик, автор проиграл синтетический звук рядом со звонком — и тот послушно подключился к его поддельной сети.

Извлечение паролей из флеш-памяти. Дамп памяти звонка снимается за пару минут через интерфейс SPI старого Raspberry Pi. Конфиг es_config зашифрован AES-128-ECB, но ключ выводится из зашитых в прошивку данных (строка, XOR с повторяющимся шаблоном, затем MD5) и потому одинаков на всех устройствах. Расшифровка выдаёт имя и пароль скрытой сети OCEAN открытым текстом.

Чем это грозит

Имея физический доступ к звонку (которого никто не ждёт, если связь предварительно заглушена), за пять минут можно снять дамп и получить ключи от сети. А поскольку сеть базы не изолирована, подключившись к ней, злоумышленник выходит в интернет через домашний канал и дотягивается до других устройств — роутера, внутренних сервисов. Автор признаётся, что главным для него был не результат, а возвращение к хакерству ради чистой радости познания.

Источник: Lobsters