Trygghet i ditt smarta hem

Elektroniska lås, smarta klockor och röststyrda assistenter är exempel på nya prylar vi tar in i våra hem. Men kan hackare ta över kontrollen? Vi har testat säkerheten i uppkopplade produkter. Först ut är robotdammsugaren.

I takt med att våra hem blir allt mer digitala är också fler och fler produkter uppkopplade mot internet. Vad många inte tänker på är att uppkopplade enheter kan vara potentiella säkerhetsrisker. En hackare som får kontroll över en sådan enhet kan skapa en väg förbi brandväggen i ditt hemnätverk. På så sätt kan den användas för att attackera exempelvis datorer eller mobiltelefoner. På den här sidan samlar vi våra granskningar av digitala risker i hemmet. Först ut är en populär nykomling i städskåpet: Robotdammsugaren.

Test: Är din robotdammsugare en spion?

Vi har granskat en av de mest populära robotdammsugarna på marknaden. I testet hittades tre säkerhetsrisker som kan vara bra att känna till om du har eller funderar på att skaffa en robotdammsugare.

Film - test av säkerhet hos robotdammsugare
  1. Enkel att hacka

    Robotdammsugaren vi undersökte kontrollerades av en app. Säkerheten i kommunikationen med appen visade sig vara väldigt låg. Det innebär att det är enkelt att hacka en robotdammsugare och fjärrstyra den i någon annans hem.

  2. Lösenordet kan läcka

    Även kommunikationen av användarnamn och lösenord till appen var osäker vilket gjorde att det var möjligt att få ut dessa i klartext. Om du använder samma lösenord till exempelvis mejl eller andra inloggningar kan det alltså läcka via din robotdammsugare.

  3. Karta över din bostad

    Robotdammsugaren tar fram en karta över ditt hem som skickas till appen. Den som hackar appen kan på så sätt få ut en karta över ditt hem.

Icons/70px/Quotation-mark-70
Det viktigaste tipset till dig som har skaffat en robotdammsugare är att inte ha samma lösenord för dammsugaren som för andra inloggningar. På så sätt minskar du risken för att någon ska komma åt personliga uppgifter i exempelvis din mejl.
Mari Sparr, teknikexpert Länsförsäkringars Forskningsfond

Så gick testet till

Vår granskning genomfördes av Länsförsäkringars Forskningsfond i samarbete med forskningsinstitutet RISE, som lät teknikexperter leta efter säkerhetsrisker med en vanlig robotdammsugare som säljs på den svenska marknaden. Bland annat undersöktes om en hackare kunde lyckas få kontroll över robotdammsugaren och på det sättet ta sig in i hemnätverket och komma åt känslig information.

Risker och problem

Nästan alla uppkopplade enheter kan vara potentiella säkerhetsrisker i hemmet. Som privatperson kan det vara svårt att identifiera och bedöma riskerna. En robotdammsugare är en av alla produkter som kan ge möjlighet för utomstående att ta sig in i nätverk eller komma åt känslig information.
Om en hackare lyckas få kontroll över en uppkopplad enhet som en dammsugare kan det skapa en väg förbi nätverkets brandvägg. På så sätt kan den användas för att attackera andra uppkopplade enheter som datorer eller mobiltelefoner. Det finns flera dokumenterade exempel på dammsugarmodeller där svagheter som tillåter detta har hittats.

Robotdammsugaren själv kan också användas på sätt som kan vara integritetskränkande. Vissa modeller av robotdammsugare har inbyggda kameror som används för att kunna navigera. Om en utomstående får kontroll över en sådan modell kan den få möjlighet att spionera på användaren.
Det är också vanligt att robotdammsugaren skapar en karta över området den dammsuger. En obehörig som får tillgång till roboten kan på så sätt få information om planlösning och möblering.

Vissa modeller av robotdammsugare har en högtalare som används för att meddela användaren när den startar eller har slutfört uppgifter. Med full kontroll över dammsugaren skulle det kunna vara möjligt att använda högtalaren för att spela upp andra ljud. På så sätt skulle en hackare exempelvis kunna kontrollera röststyrda Alexa eller Google Home enheter som finns i hemmet.
En annan funktion som många dammsugarmodeller använder sig av är positionering och navigering med hjälp av laser. Forskare lyckades under ett projekt 2020 visa att system som dessa kan användas för avlyssning. Den kan alltså användas som en mikrofon och det som sägs i närheten av dammsugaren kan spelas in för att skickas till den som tagit kontroll över roboten.

Säkerhetstest av en vanlig robotdammsugare

Vi har testat en av de vanligaste robotdammsugarna på den svenska marknaden. Det är en modell från ett svenskt bolag som säljs hos flera svenska elektronikkedjor. Denna modell är inte utrustad med lasernavigering eller kamera, utan använder sig av IR fysisk kontakt för att navigera.
Till dammsugaren finns också en mobil-app som kan användas för att kontrollera den och göra saker som att börja och sluta städa. Dessutom finns en fjärrkontrollsfunktion som låter användaren styra hur dammsugaren ska köra. I appen kan man även göra inställningar för olika städnings- och navigationslägen. För att robotdammsugaren ska kunna kommunicera med appen krävs att man kopplar upp den till ett WiFi-nätverk. Dammsugaren kan sen kontrolleras från appen var man än befinner sig.

Det största problemet med dammsugaren är hur information och data skickas mellan appen och tillverkarens server samt mellan servern och själva dammsugaren. I båda kommunikationsvägarna skickas data främst okrypterat, vilket betyder att någon kan lyssna på trafiken och styra roboten. Det är exempelvis möjligt för en hacker att fjärrstyra en robots rörelser hemma hos en användare på samma sätt som en radiostyrd bil.

Viss information som skickas är krypterad. Det gäller exempelvis användarnamn, lösenord och namnet (SSID) på WiFi nätverket roboten är ansluten till. Den nyckel som används för att kryptera dessa uppgifter är emellertid hårdkodad som en del av appen. Det innebär att nyckeln är densamma för alla som använder appen. Vi lyckades hitta nyckeln i appen och kunde med hjälp av den få ut både användarnamn och lösenord i klartext. Med dessa uppgifter kan man logga in som en legitim användare för att kontrollera roboten. Det kan innebära mycket stora risker om användaren har samma lösenord även till andra konton och tjänster på nätet.

En annan typ av data som skickas är en karta av området som roboten städar. Kartan används sedan av appen för att visa var roboten befinner sig och var den har varit. Med den informationen går det att återskapa den karta som visas för användaren i appen.

Det här kan du göra själv för att minska riskerna

  • Uppdatera
    Se till att dina enheter är uppdaterade. Om några svagheter för en specifik modell eller tillverkare upptäcks brukar det komma ut uppdateringar som löser problemen. Det är alltså viktigt att man håller allt som är uppkopplat uppdaterat så att man inte lämnar kända säkerhetshål öppna.
  • Avsluta påbörjad installation
    Lämna aldrig roboten i installationsläge eller ”provisioning mode”. Ofta öppnar dessa enheter ett eget trådlöst nätverk som används för att göra inställningar första gången. Dessa nätverk har ofta svaga lösenordsskydd eller saknar dem helt och kan användas för att göra inställningar och i vissa fall även installera mjukvara på enheten.
  • Använd gästnätverk
    Koppla upp enheter till gästnätverk. Robotdammsugarna kräver ofta en internetanslutning för att man ska få tillgång till alla funktioner, men i allmänhet behöver de inte kommunicera med några andra lokala enheter. Ett gästnätverk kan ge den en internetanslutning utan att det innebär någon ökad risk för andra enheter. Det innebär inte att det är svårare att ta kontroll över dammsugaren, men det minskar möjligheten att attackera andra saker i hemmet genom den.
  • Olika lösenord
    Var försiktig med dina lösenord. När du registrerar dig till tjänster är det viktigt att inse vilken information du ger dem tillgång till. Hur uppgifter som lösenord hanteras lämnas upp till företaget som driver tjänsten och kan vara svårt som privatperson att kontrollera. Om man återanvänder lösenord så krävs det bara att en enda tjänst gör misstag med lösenordshanteringen för att flera av dina konton ska äventyras.
  • Kolla tillverkaren
    När du ska köpa något som en robotdammsugare, gör en sökning på nätet för att se om det finns en historia av säkerhetsproblem. Det viktiga är inte om det finns en felfri historia utan det viktiga är att tillverkaren har tagit eventuella problem på allvar och löst dem på ett bra sätt.
  • Behöver den vara uppkopplad?
    Fundera på om den behöver vara uppkopplad. Många robotar fungerar även utan en internetanslutning, men du kan då inte kontrollera dem genom en app eller liknande. Om det inte är en funktion som du har användning för kan det vara värt att överväga om roboten verkligen behöver vara uppkopplad.