有许多基于ESP8266的低成本智能插头，提供了一种方便的方式来用智能手机控制灯具或家用电器。但是网络安全公司A&O IT Group发现了ITEAD的漏洞Sonoff S26及Ener-J Wi-fi (平顶火山)智能插头，可以让攻击者轻松访问您的无线网络。
第一个安全漏洞非常常见，而且很难利用，因为它只在设置过程中被关注。Sonoff S26以itad -1001xxxxxx SSID启动进入接入点模式，并通过eWelink应用程序设置，用户不需要知道密码。但是在较旧的固件中是需要的，所以ITEAD仍然共享默认密码:12345678在用户手册中，任何人都可以用它来连接智能插头。但是一旦配置好，它就无法访问了，因为智能插头应该处于客户端模式，用你自己的凭证连接到你的路由器上。这并不理想，但也不是什么大问题。
第二个问题更值得关注，因为智能插头通过HTTP而不是HTTPS通信，并共享一些数据，这些数据可以很容易地被WireShark等工具捕获:
|
1
2
3.
|
得到
/
设备
HTTP
/
1．1
｛
“的deviceid”
：
“1001 xxxxxx”
，
“apikey”
：
“e4afxxxx-xxxx-xxxx-xxxx-xxxxxxxx649a”
，
“接受”
：
“职位”
，
“chipid”
：
“000 xxxxx”
｝
|
上面的数据有可能被用来连接云，但是理查德·休斯关心什么作为A&O IT集团的技术网络安全负责人，最重要的是，你路由器的SSID和密码也会通过HTTP以纯文本形式共享。因此，在你路由器范围内的攻击者可以获取加入用户WiFi网络的凭证，并试图利用你家里的其他连接设备或在互联网上发动机器人攻击。
部分缓解这一问题的一种快速方法是为您的IoT设备设置来宾SSID，这样就无法访问具有重要数据的其他设备，并仅使用您的设备所需的服务(如MQTT)配置防火墙。对此作了详细的说明Tasmota网站．
谈到Tasmot亚博体育官下载a，这是另一种使您的设备安全的方法:只需在您的设备上安装开源固件，并配置TLS，如果您的插件支持它(主要是内存/存储需求)。在过去，你甚至不需要打开设备吗，但这个技巧可能不再起作用了，所以设备可能必须是打开的，固件在串行端口上闪烁。
尽管如此，A&O IT集团认为，相当容易刷新固件的能力是一个安全漏洞，但对于CNX Software的许多读者来说，这更像是Tasmota、ESPhome和ESPurna开源固件提供的更安全的替代功能。www.yabo188.vipISPReview他首先发布了这条新闻，列出了一些针对制造商的有趣的“解决方案”，包括:
- 用胶水或焊接塑料外壳，这样就很难在不留下外观损坏外壳的证据的情况下篡改设备。
- 使用需要加密签名的固件镜像的硬件。
- 用环氧树脂涂覆倾倒/闪光固件所需的组件和连接处，移除环氧树脂会损坏组件，使设备无法操作。
希望ITEAD不会遵循这些建议，因为这会对想要刷新自己固件或修复设备的用户产生负面影响，而是会致力于修复固件和本文列出的前两个漏洞。我们昨天联系了ITEAD征求意见，但是还没有收到回复。如果我们得到回复，我一定更新帖子。
感谢TLS提供的消息。
Jean-Luc于2010年开始兼www.yabo188.vip职创办CNX软件，2011年辞去软件工程经理的工作，开始全职撰写每日新闻和评论。
Tasmota不再在Tuya设备上工作，因为他们不再使用浓缩咖啡设备。
在此之前，图雅更新了固件，以避免容易闪烁塔斯莫塔，这有一个可爱的副作用，打破了实时电力监控。
应始终使用适当隔离的物联网wifi网络，句号。不幸的是，设置正确的设置和重复是一件痛苦的事情，这超出了普通用户的范围，更不用说爷爷奶奶了。