Älykotiratkaisujen tietoliikenne ja tietoturva

Abstract

Insinöörityön tarkoituksena oli perehtyä kuluttajille suunnattuihin halpoihin älykotiratkaisuihin ja siihen, kuinka hyvin valmistajien lupaukset vastaavat todellisuutta.

Työssä perehdyttiin älykotiratkaisujen käyttämiin tekniikoihin ja niiden radiotaajuuksiin, sekä kilpailevien standardien tietoturvan toteutukseen ja tunnettuihin haavoittuvaisuuksiin. Pelkästään tekniikoihin perehtymällä saatiin hyvä käsitys siitä, kuinka hyvää tietoturvan tasoa voi odottaa eri tekniikoita käyttämällä.

Työssä testattiin kolmen eri valmistajan älykotiratkaisuja. Ratkaisujen tietoliikennettä tutkittiin liikennekaappausten avulla. Testien tarkoituksena oli tutkia eri valmistajien omien toteutusten eroja. Testeissä havaittiin suuria eroja toteutusten välillä, erityisesti siinä, miten laitteet kommunikoivat palvelimen kanssa. Testeissä kiinnitettiin huomiota myös laitteiden tietoturvaan ja arvioitiin sen ongelmakohtia. Tietoturvaa tutkittiin ensisijaisesti teknisen toteutuksen kannalta, mutta unohtamatta käyttäjärajapintaa.

Todettiin, että tietoturvallisen älykodin rakentaminen on tekniikkaan perehtymättömälle käyttäjälle lähes mahdoton tehtävä. Standardien tunteminen on hyvä alku, mutta standardien eri sukupolvien ja harhaan johtavien tuotemerkintöjen kanssa on vaikea varmistua suojauksen tasosta. Standardit eivät myöskään kata sitä, miten älykotiratkaisujen keskusyksiköt kommunikoivat valmistajan palvelimien kanssa, ja tämän toteutuksen luotettavuuden arvioinnissa kuluttaja on täysin valmistajan lupausten varassa.

Vaikka työn tarkoitus ei ollutkaan vertailla valmistajia toisiinsa, löytyi työn aikana selviä eroja eri valmistajien välillä.

The goal of this thesis work was to examine some cheap Smart Home solutions, which are widely available to the consumer market and see how well the manufacturers’ promises resonate with reality.

The technologies and radio frequencies used by Smart Home systems were examined, as well as the security level of competing standards and their known vulnerabilities. By examining the technologies, a baseline of expected security levels was formed.

The Smart Home solutions from three different manufacturers were tested and the communication of the devices was analyzed using traffic captures. The main purpose of the tests was to find the differences in implementation between the different manufacturers solutions. Major differences were found. The second purpose of the tests was to identify any security issues or vulnerabilities in the devices themselves, but also to examine the user interface from a security perspective.

It was found, that building a secure Smart Home is nearly impossible for a consumer that is not technically oriented. Knowing the common standards is a good start, but the differences between different generations of said standards and misleading package markings, makes it hard to be sure of the level of security achieved. The standards do not cover the communication between the Smart Home controller and the manufacturers cloud servers, and for the consumer to estimate the trustworthiness of this communication, he has to rely on the information provided by the manufacturer, if any.

While the main purpose of this work was not to directly compare different manufacturers, it came evident during the work, that there are big differences between their solutions.