拆解 Coway 空气净化器：一张明文 HTTP 下载的根证书让云端被整个旁路
来源：scottjg.com — 2026-11-11
📋 概述
作者想把 Coway Airmega IconS 净化器接进 Apple Home 的「晚安」场景，先用了社区版 Home Assistant 集成——它伪装成手机 App 走 Coway 云。但云端每年挂一两次、公司封号、App 改名 IoCare+ 都会让集成失效，于是他决定自己接管设备。他用树莓派开热点把净化器隔离进独立网络，再用 nftables 把 80/443 转发到 mitmproxy；真正的突破口是设备启动时会用明文 HTTP 从 S3 下载一张亚马逊根证书（固件里根本不含根证书），把这张证书换成自己的，整条 HTTPS 链路就被解开。
🔑 核心要点
- 突破点是一个固件设计错误：设备不自带根证书，开机时用明文 HTTP 去取，等于把信任链交给了中间人。
- 抓包拿到的是 MQTT 配置下发流程，控制指令就是标准 MQTT 报文，改风速时能看到新消息。
- 蓝牙配网被 AI 用 adb 日志加反编译 App 在约 20 分钟里逆出：AES 密钥由 20 位随机小写字母与 MAC 的 12 位大写字符拼成。
- 最后一招最省事：配网载荷里的 caUrl 与 certSvrUrl 由客户端指定，直接指向自己的服务器，从此不再需要中间人。
- 结果是一个 Home Assistant 自定义集成，用 Web Bluetooth 配网，之后局域网直连，云端被彻底移除。
💡 金句
The request is very suspicious. It looks like the fan is downloading the root certificate for Amazon's certificate authority over plain HTTP.
👍 0
👎 0
← 返回 Hacker News 首页