安全研究員稱希望人們能停止使用Belkin的WeMo傢庭自動化產品，因為上面存在的各種漏洞可能使傢庭網絡、恒溫器或其他設備遭到惡意控制。
WeMo產品可以讓人們通過智能手機和計算機遠程控制電燈開關、網絡攝像頭、傳感器和其他傢用電器。根據安全公司IOActive人員的研究，通過設置密碼和簽名密匙來保證固件更新，確實行之有效。但是黑客會使用證書繞過WeMo的安全檢查，或者偽裝成Belkin的官方版本植入偽裝固件。
當用戶連接到Belkin服務器，WeMo設備是無法驗證安全證書的正規性的，即使安裝的是最新版本。另外，通過手機或者電腦接收的固件更新通知也沒有使用加密通道。IOActive研究員Mike Davis說，他可以先利用這些漏洞給WeMo產品發送固件更新的假消息，然後在更新時偷偷地給產品裝上惡意固件。
Davis說，這個惡意固件可以進入未加密的WeMo設備並且通過黑客發送的信息來感染其他的傢電。更嚴重的是，攻擊者也可以通過功能方面的漏洞來改變設備的使用狀態。上個月發佈的一個視頻就展示瞭通過惡意攻擊來反復打開和關閉一個臺燈。黑客們也可以用這樣的方法來控制傢中的其他設備，從而破壞傢庭安全系統。
為瞭防止這個問題，Belkin利用GDG加密來進行固件更新。然而不幸的是，Belkin本意可能是使用簽名和公鑰結合的對稱加密方式，卻誤用瞭GPG非對稱加密的功能，結果在他們的固件鏡像裡強行分發瞭一個固件簽名秘鑰。這導致黑客可以輕松利用固件鏡像攻擊現在的WeMo設備。
WeMo產品的另一個漏洞與他們聯網的方式有關，一個監測瞭幾個月的研究員表示，利用WeMo嬰兒監視器上存在的漏洞，可以把它變成一個聯網裝置的監控設備。
IOActive把這些漏洞做成報告發給瞭US-CERT，鑒於Belkin沒有對後者關於這些漏洞的通告作任何回應，US-CERT建議人們馬上停止使用WeMo設備。
目前尚不清楚可以怎樣應對IOActive所描述的這些概念性攻擊。報告省略瞭很多技術性細節，可能是為瞭讓讀到的人難以去模仿這些惡意攻擊。如果黑客真的可以利用這些漏洞而不需要去進行密碼配對，那麼不用IOActive提醒，大傢也會盡快拋棄WeMo產品。但是如果Belkin先通過停止更新等方法來鎖住產品，然後一一修復漏洞，可能會更好地解決這個問題——而不是就此丟棄。
Davis還說，使用防火墻來保護設備是無效的，因為WeMo使用的是繞過網絡地址轉換的協議。
相關：
WeMo：主打綠色和DIY精神的智能傢居方案