美国密歇根大学的研究人员发现，三星SmartThings平台存在多个设计缺陷，这些缺陷可能允许恶意应用程序开锁、设置家庭密码、错误地触发烟雾警报、或将设备置于度假模式等攻击。至关重要的是，所有这些攻击都要求用户要么从SmartThings商店安装恶意应用程序，要么单击恶意链接。

研究人员说，SmartThings的框架中存在多个问题，但最紧迫的是应用程序的特权，其中许多应用程序不需要运行。例如，智能锁可能只需要远程锁定自身的功能，但SmartThings API将该命令与解锁命令捆绑在一起，攻击者可以利用该命令执行物理攻击。另一个过度授予权限的问题涉及到智能应用程序连接到物理设备的方式。当用户下载SmartApp时，它会请求特定的权限来执行其预期用途。安装后，SmartThings会列出所有可以与该应用程序一起使用的设备，因为它能够与这些权限同步。但它也给了应用程序更多的访问权限。

应用程序被授予的权限远远超过其需要的权限

研究人员用一个概念验证应用程序证明了这一发现，该应用程序有望监测各种设备的电池寿命。如果用户同意让这个恶意但看似无害的应用程序访问他们的智能锁，那么研究人员不仅可以监控它的电池，还可以执行锁的其他功能，包括开锁。研究人员发现，在499个被分析的智能应用程序中，有42%的程序目前以类似的方式被过度授权。

在另一个概念证明中，研究人员利用一个单独的过度特权缺陷，为智能锁编写自己的PIN码，允许他们创建一个秘密后门。

42%的智能应用程序目前被过度授权

这些攻击确实需要用户交互，但研究人员确定，许多人很容易授予这些特权，或者不知道如何在SmartThings上授予这些特权。研究人员调查了22位SmartThings用户。百分之九十一的人说，他们会让一个电池监测应用程序检查他们的智能锁，从而让应用程序访问其功能。只有14%的人认为，访问可以让电池应用程序向远程服务器发送门访问代码。

这些关键缺陷并不是第一次在互联设备及其各种平台上发现。今年早些时候，康卡斯特的家庭安全系统很容易被骗，让攻击者进入。但SmartThings的问题确实表明，当新的互联业务涌现时，可能会出现固有的安全问题。三星在近两年前购买了SmartThings，当时物联网才刚刚开始蓬勃发展。现在，几乎所有的东西都连接到互联网。

SmartThings在一封电子邮件中发表评论说，这些发现促使它更新文档，让开发人员了解如何保证源代码的安全。

三星称其应用程序监管确保了用户的安全

一位SmartThings代表说：“报告中披露的潜在漏洞主要取决于两种情况——安装恶意SmartApp或第三方开发人员未能遵守SmartThings关于如何确保代码安全的指导原则。”在这份报告之后，我们更新了我们记录在案的最佳实践，以便为开发人员提供更好的安全指导。”SmartThings首席执行官亚历克斯•霍金森（Alex Hawkinson）在随后的一篇博客文章中说，公司已经发布了一系列基于研究的更新。

该公司还表示，它会进行应用程序审查，以阻止恶意应用程序造成伤害，但密歇根大学的研究小组并不相信这些努力是不够的。

研究人员写道：“智能家居设备及其相关的编程平台将继续激增，并将继续吸引消费者，因为它们提供了强大的功能。”然而，本文的研究结果表明，对于早期采用者和框架设计者来说，谨慎也是必要的。风险是巨大的，而且不太可能通过简单的安全补丁轻松解决。”

美国东部时间下午7:48：更新内容包括SmartThings首席执行官的博客文章。