Waarom HomeKit veiliger is dan veel andere smart home-oplossingen

Het heeft nogal wat voeten in aarde gehad voordat de eerste HomeKit-producten verschenen. Een jaar na de aankondiging waren er nog maar vijf bedrijven die iets konden laten zien. Inmiddels zijn we tweeënhalf jaar verder en weten we in ieder geval dat er vóór het einde van het jaar meer dan 100 HomeKit-geschikte producten zullen zijn. Tim Cook beloofde dat dinsdagavond bij de presentatie van de kwartaalcijfers. Hij maakte meteen bekend dat HomeKit-apparaten niet betrokken zijn geweest bij de grote aanval op smart home-apparaten van afgelopen vrijdag, waardoor grote delen van internet onbereikbaar waren. Heeft Cook wel recht van spreken en is HomeKit écht veel veiliger? Wij hebben het voor je uitgezocht.

Aanval op smart home-apparaten

Bij de aanval van afgelopen vrijdag waren diensten als Twitter, Spotify en PayPal niet meer bereikbaar. De aanvallen waren gericht op Dyn, een bedrijf dat DNS-toegang levert. Volgens Dyn werd de aanval uitgevoerd via alledaagse apparaten zoals babyfoons, webcams en thermostaten die met internet zijn verbonden. Honderdduizenden smart home-apparaten konden op afstand worden overgenomen, waarna ze een gigantisch botnet vormden dat DDoS-aanvallen uitvoerde. Al eerder werd van deze kwetsbaarheid gebruik gemaakt bij aanvallen. Gezamenlijk hebben ze de naam Mirai-malware gekregen. Volgens experts is het een wake-up call voor bedrijven die Internet of Things-accessoires aanbieden en nog niet goed hebben nagedacht over de beveiliging. En misschien realiseren gebruikers zich nu ook dat hun smart home-producten lang niet altijd veilig zijn.

Maar wat stelt Apple daar tegenover?

In ieder geval een zo sterke beveiliging dat fabrikanten lange tijd met hun handen in het haar zaten. Apple’s encryptieprocessen waren zo processor- en geheugenintensief dat het onmogelijk was om goed werkende accessoires te maken. Als het openen van een slim deurslot een minuut duurt omdat er eerst allerlei berekeningen uitgevoerd moeten worden, heb je er niets aan.

Dat is ook precies de reden waarom HomeKit zo traag op gang kwam. Apple heeft HomeKit zo goed dichtgetimmerd en heeft het goedkeuringsproces zo streng gemaakt dat het niet eenvoudig is om eraan mee te doen. Apple laat alleen accessoires toe die gecertificeerd zijn. Volgens Tim Cook lopen HomeKit-apparaten dan ook geen gevaar als het om de Mirai-malware gaat.

Fabrikanten moeten speciale, goedgekeurde chips gebruiken en de apparaten worden uitgebreid getest voordat ze verkocht mogen worden. Voor de draadloze verbinding wordt gebruik gemaakt van Wi-Fi en Bluetooth LE, op voorwaarde dat er encryptie met 3072-bit sleutels wordt gebruikt. Ook is Curve25519 vereist voor het uitwisselen van encryptiesleutels. Wikipedia zegt hierover:

In cryptography, Curve25519 is an elliptic curve offering 128 bits of security and designed for use with the elliptic curve Diffie–Hellman (ECDH) key agreement scheme. It is one of the fastest ECC curves; it is not covered by any known patents, and it is less susceptible to weak random-number generators.

Voor Wi-Fi-apparaten leverden de beveiligingseisen van Apple weinig problemen op, maar bij apparaten die met Bluetooth LE werkten bleek het onwerkbaar. Het genereren en verzenden van beveiligingssleutels kostte te veel tijd. Waarschijnlijk heeft dit bijgedragen aan de vertraging voordat de eerste bruikbare producten op de markt verschenen. Elgato lukte het wel: dit Duitse bedrijf was er al vroeg bij met een serie sensoren die met Bluetooth LE werken én HomeKit-gecertificeerd zijn. Maar het ging niet vanzelf: toen Elgato de eerste prototypes klaar had duurde het 40 seconden om te bepalen of een deur geopend of gesloten was.

https://www.iculture.nl/reviews/elgato-eve-homekit-accessoires/

Producten waren daardoor niet bruikbaar in de praktijk. Als je een minuut moet wachten op een slim deurslot, kun je beter een traditioneel deurslot blijven gebruiken. Apple was ervan op de hoogte en werkte samen met chipmakers Broadcom en Marvell om hun Bluetooth LE-chips aan te passen aan de eisen van Apple.

Elgato wilde daar niet op wachten en nam twee maatregelen. Ze optimaliseerden de firmware en voegden extra geheugen toe aan de chips, om te zorgen dat de zware encryptie-taken sneller uitgevoerd konden worden. Dat beviel zo goed, dat ze afgelopen zomer Elgato Eve Core aankondigden, waarmee andere fabrikanten ook HomeKit-accessoire kunnen maken.

Lange tijd was Elgato de enige partij die accessoires met Bluetooth LE kon uitbrengen. Daarmee hadden ze een voorsprong, want de energiezuinige verbinding is erg populair bij hedendaagse apparaatjes, maar het protocol van Bluetooth LE biedt op zichzelf onvoldoende voorzieningen voor beveiliging.

Andere factoren waardoor HomeKit traag op gang kwam
Er zijn nog meer redenen waarom HomeKit zo traag op gang kwam. Het gebrek aan documentatie werd door veel fabrikanten genoemd: ze wilden wel aan de slag, maar ze wisten niet hoe. Ook speelde mee dat de code van HomeKit buiten proporties was gegroeid waardoor het te veel geheugen vereiste op de relatief kleine, op batterijen werkende apparaatjes. Apple loste het op door flink in de code te gaan schrappen.

Door al die moeilijkheden, de eisen die Apple stelt en de barrières die ze opwerpen, is HomeKit nog lang niet omarmd door alle grote fabrikanten. Er zijn partijen die niet meedoen, bijvoorbeeld omdat ze het te veel werk vinden. Er zijn ook partijen die vinden dat ze hun eigen beveiliging al prima op orde hebben. En daarnaast zijn er partijen die zelf marktleider zijn op een bepaald gebied en vinden dat Apple zich maar moet aanpassen. Het geldt bijvoorbeeld voor HomeWizard en Luxaflex, die om uiteenlopende redenen niet meedoen. Wel van de partij zijn onder andere Philips, iHome, Velux, Canary, Withings, D-Link, August, Honeywell, Ecobee en uiteraard Elgato.

Veel gedoe
De terughoudendheid bij sommige bedrijven is wel te begrijpen. Als fabrikant moet je behóórlijk gemotiveerd zijn om mee te doen aan het HomeKit-programma. Het kost geld om Apple’s speciale authenticatie-chip in te bouwen, je moet Apple een vergoeding betalen voor elk verkocht product en het product moet uitgebreide tests doorstaan om te worden goedgekeurd. Dat kan zoveel tijd in beslag nemen, dat de concurrentie je inmiddels heeft ingehaald. Bedrijven moeten meerdere prototypes inleveren bij Apple om te worden getest. Daarmee lopen ze het risico dat hun nieuwe productideeën vroegtijdig uitlekken. En omdat er nog weinig grote aanvallen op smart home-toepassingen zijn geweest, is er bij de fabrikanten niet zoveel bezorgdheid over de beveiliging. Hopelijk verandert dat na de Mirai-aanvallen en laten gebruikers de slecht beveiligde (maar wel vaak goedkopere) spullen voortaan links liggen.