Nest kampt al bijna een half jaar met een serieus beveiligings­probleem in de Nest Cam en heeft dit nog niet opgelost. Gevolg is dat iedereen met een Linux-laptop of iOS-apparaat de camera’s van het dochterbedrijf van Google tijdelijk uit kan schakelen.

Onderzoeker Jason Doyle ontdekte de bug vorig jaar. Door een bepaald Bluetooth-commando te sturen, crasht de camera. Ontwikkelaar Troy Stribling heeft als proof of concept een iOS-app genaamd NestPWN gemaakt.

Drie manieren om camera onklaar te maken Het beveiligings­probleem werd op 26 oktober 2016 bij Google (eigenaar van Nest) gemeld. De zoekgigant bevestigde de bevindingen van de onderzoeker. Toen er op 17 maart 2017 nog geen oplossing of update was, besloot de onderzoeker de drie manieren waarop een Nest Cam onklaar te maken is publiek te delen. De app is sinds enkele dagen online.

Door via Bluetooth met de camera te verbinden en een commando voor het instellen van een nieuwe SSID of wachtwoord in te geven, wordt een buffer overflow veroorzaakt. De camera crasht en moet herstarten, waardoor deze ongeveer 60 seconden offline is. De camera kan via Bluetooth ook het commando krijgen om met een nieuw Wi-Fi-netwerk te verbinden. Wanneer dit niet bestaat, komt de Nest Cam pas na 90 seconden weer terug online.

De NestPWN-app – Klik/tap voor groter. Beelden weg tijdens crash De NestPWN-app maakt gebruik van de eerste methode (nieuwe SSID instellen), waardoor de camera ongeveer 60 seconden offline is. Omdat beelden niet lokaal worden opgeslagen, maar alleen naar de cloud worden gestuurd, is er tijdens de crash geen toezicht en achteraf niet te checken wat er tijdens de crash en reboot gebeurde.

De kwetsbaarheid ontstaat doordat Nest de Bluetooth-verbinding van de camera nooit uitschakelt. Deze verbinding wordt alleen gebruikt tijdens het instellen van de camera, maar daarna nooit uitgeschakeld. Wij waren in staat om onze Nest Cam op alle drie de manieren te laten crashen.

Laatste firmware-update jaar oud De laatste firmware-update voor de Nest Cam dateert van 7 januari 2016, wat wil zeggen dat alle camera’s momenteel kwetsbaar zijn. Het is niet bekend waarom Nest een half jaar nadat ze op de hoogte is gesteld van de bug nog steeds geen firmware-update uitgebracht heeft. Op dit moment is het niet verstandig een Nest Cam te gebruiken voor serieuze beveiligings­doeleinden. Een kwaadwillende hoeft alleen maar binnen Bluetooth-bereik te zijn om de camera tijdelijk uit te schakelen.

Klik/tap voor groter. De NestPWN-app is te vinden op Github en kan via Xcode op een iOS-apparaat geïnstalleerd worden. Voor de volledigheid: de app dient slechts als proof of concept en is uiteraard alleen voor educatieve doeleinden.