密歇根大学的研究人员在领先的物联网（IoT）平台之一中暴露了漏洞：三星的智能家庭自动化系统。
根据计算机科学家团队的说法，他们发现的脆弱性使他们能够黑客三星的智能感，这是智能家居和物联网消费者的开放平台。
SmartThings Hub被第三方开发人员和客户用于连接智能家居小工具，例如烹饪设备，恒温器，电子锁和安全警报系统。
研究人员成功地构建了四项概念验证攻击，以暴露三星智慧的脆弱性。这些涉及秘密种植门锁代码，窃取现有的门锁代码，禁用家庭安全系统的度假模式并诱发假火警警报。他们还补充说，远程攻击可以在世界任何地方发动，从而使家庭受到重大伤害。
研究人员创建了自己的静态代码分析工具来评估聪明'安全框架以及499个SmartApps和132个设备管理器。他们发现，系统中的脆弱性是由智能设计结构中的两个基本弱点引起的：SmartApps“过度私有”，而Smartthings子系统没有足够的安全性来保护“事件”，以存储敏感数据，例如密码和锁定代码。
研究人员解释了“过度特权”意味着现有应用程序可以访问设备上的操作，而不是其原始功能所需的操作。一个很好的例子是，当电池管理器应用程序应该用于读取电池级别时，还允许控制同一设备的ON/OFF功能。他们的分析表明，有55％的SmartApps是过分的，而有42％的人被授予他们甚至没有设计的特权。
漏洞测试中最令人震惊的部分也许是“后门PIN代码注入攻击”。研究人员成功地通过现有的智能信息应用程序之一远程选择了用户房屋的门锁。
通过启动HTTPS链接来部署攻击，该链接欺骗了目标用户，以验证其登录信息，如果单击。输入用户名和密码后，Oauth令牌获得的信息从智能网页重定向到攻击者控制的网站。黑客现在可以利用此漏洞来访问家庭用户拥有的锁，引脚和其他密码。
此外，研究人员说，通过构建最初要求特权以监视智能家居设备的电池寿命的概念验证应用程序，他们能够“读取在设备上运行的命令”。恶意应用程序设法实时窥视了毫无戒心的用户输入的锁定代码，这些代码通过短信发送到攻击者。
“所有上述攻击都使家庭遭受了重大伤害，盗窃，错误信息和故意破坏，”研究人员说。
聪明的官员已立即采取行动来解决这些漏洞。该公司的开发人员倡导者蒂姆·斯拉格（Tim Slagle）在博客文章中，宣布最近对OAuth机制进行了修补。
