HomeKit säkerhetshål placerade smarta hem i fara - och Apple ignorerade det i 6 veckor

Apple ignorerade enligt uppgift en sårbarhet inom sin HomeKit smarta hemplattform som gjorde det enkelt att kapa den av alla som har en Apple Watch.

Den häpnadsväckande bristen i vissa versioner av watchOS 4 gjorde det möjligt för obehöriga användare att utlösa HomeKit-enheter som lås, dörrar, kameror och smarta kontakter.

Utvecklaren Khaos Tian, ​​som upptäckte felet i oktober, säger att Apple skulle dela listorna över HomeKit-tillbehör och deras krypteringsnycklar över osäkra sessioner med watchOS 4.0 eller 4.1.

Relaterad: Apple Home och HomeKit recension

Efter att ha fått informationen kunde en angripare med en Apple Watch ta full kontroll över tekniken utan att Apple kontrollerade om de hade auktoriserad åtkomst.

I en posta på Medium (via Engadget), förklarar utvecklaren: "Med dessa unika identifierare kan fjärranfallare be HomeKit att göra nästan vad som helst."

”Normalt borde det vara omöjligt för någon att ta reda på den unika identifieraren för dessa föremål såvida du inte faktiskt har behörighet att komma åt det hemmet i HomeKit.

"Det finns dock två separata buggar, en i watchOS 4 - 4.1, och en annan i iOS 11.2 och watchOS 4.2, tillåter någon att räkna ut de unika identifierarna utan att bemyndiga personen att komma åt hemmet först plats."

Utvecklaren, som antagligen skriver under en pseudonym, säger att han omedelbart rapporterade felet till Apple redan i oktober.

Sex veckor senare

Trots att man kände till sin existens släppte företaget watchOS 4.2 och iOS 11.2 med säkerhetsutnyttjandet fortfarande på plats, vilket breddade problemet.

Apple lanserade äntligen en fix den 13 december med iOS 11.2.1, vilket betyder att det var i spel i sex veckor innan Cupertino gjorde något åt ​​det.

Med tanke på att Apple länge har hävdat att HomeKit var "designat med integritet och säkerhet från början", är detta en pinsam och om utveckling.

Tian sa till och med att han hade större framgång med att få svar när Apples blogg 9to5Mac kontaktade Apples PR-team för hans räkning.

"Jag antar att det är så produktsäkerhet fungerar nu? Jag måste känna någon för att få min säkerhetsproblem hanterad ordentligt? ” sa han.

Har denna incident skadat din tro på Apples hemautomationsplattform? Skicka oss en rad @TrustedReviews på Twitter.