Vorige maand schreven we over het Bluetooth-lek in de Midea PortaSplit waarmee iemand binnen een paar meter afstand je mobiele airco kon overnemen, zonder koppeling, app-login of pincode nodig te hebben. Midea kondigde destijds een update aan. Die update is nu daadwerkelijk onderweg. Het vervolgverhaal is interessanter dan “probleem opgelost.”
Even opfrissen: wat er mis was
De PortaSplit stuurt je normaal aan via de knoppen op het apparaat, de infraroodafstandsbediening, of de app via wifi met een optionele pincode. Daarnaast bleek er een OEM-interface voor Bluetooth Low Energy te bestaan, oorspronkelijk bedoeld voor ontwikkelaars en fabrieksÂpartners, niet voor thuisgebruik. Die interface vroeg weliswaar om AES-versleutelde commando’s, maar de gegevens die nodig zijn om die versleutelingssleutel te berekenen, verzond de PortaSplit gewoon onbeschermd via Bluetooth-broadcast de omgeving in. Wie binnen bereik was en de juiste software had, kon daarmee zonder enige autorisatie de temperatuur wijzigen, schakelen tussen koelen en verwarmen, of het apparaat gewoon uitzetten. De gewone bediening via de app bleef daarnaast prima werken, wat het extra verraderlijk maakte: je zou nooit merken dat er ook iemand anders meekeek.
Midea’s reactie: dit is eigenlijk geen lek
Hier wordt het verhaal opvallend. Toen dit probleem voor het eerst werd gemeld, wuifde Midea het in eerste instantie weg. In de eigen risico-inschatting van het bedrijf kwam ongeautoriseerde toegang via Bluetooth Low Energy destijds simpelweg niet voor als scenario. Pas na aanhoudende druk beloofde de fabrikant een update te ontwikkelen.
Die update is er nu, maar de toon is niet veranderd. Midea heeft het probleem nooit officieel geherclassificeerd als beveiligingslek, geen identificatienummer toegekend, en nergens uitgelegd waarom de eigen risicoanalyse dit scenario destijds miste. Wat er verandert, is puur technisch: het authenticatiemodule wordt aangepast zodat de ongeautoriseerde BLE-toegang via de API niet langer werkt. Een publieke verklaring voor die wijziging blijft uit.
De uitrol is gefaseerd, en dus incompleet
De update verschijnt via OTA (over-the-air) en moet de komende dagen tot weken alle apparaatversies bereiken, onder versienummer V.012634_0000_4000_8000_5006_1012. Midea kiest bewust voor een gefaseerde uitrol, zodat een eventuele fout in de firmware niet meteen de hele vloot aan apparaten platlegt. Dat is op zich een verstandige aanpak, maar het betekent ook dat een deel van de PortaSplits nog weken kwetsbaar blijft terwijl andere al beveiligd zijn.
Nog opvallender: de partij die het lek destijds meldde en zelf onderzoek deed met een eigen testtoestel, kon de werking van de fix tot nu toe niet bevestigen, simpelweg omdat de update op dat specifieke apparaat nog niet was aangekomen. Met andere woorden: op het moment van schrijven heeft niemand onafhankelijk kunnen vaststellen of deze update het probleem daadwerkelijk en volledig oplost. Heb je een PortaSplit, dan is het dus verstandig te checken of de update al is aangekomen, maar ga er niet blind van uit dat je apparaat vanaf vandaag automatisch veilig is.
De ironie voor smarthome-tinkerers
Er zit nog een laagje aan dit verhaal dat de meeste korte nieuwsberichten missen. Eerder dit jaar beperkte Midea al de toegang tot zijn eigen token-API, wat het voor smarthome-enthousiastelingen juist moeilijker maakte om de PortaSplit lokaal te integreren zonder de Midea-cloud. Diezelfde Bluetooth-achterdeur die nu wordt gedicht, was voor een deel van die groep inmiddels een populaire noodoplossing geworden: een Chinese ontwikkelaar publiceerde zelfs opensourcecode voor een command-line-tool en een Android-app om de PortaSplit via deze BLE-route lokaal aan te sturen, zonder cloud en zonder officiële app.
Voor de gemiddelde eigenaar is het dichten van dit lek gewoon goed nieuws. Voor wie de PortaSplit inmiddels via deze omweg in een eigen smarthome-opstelling had geïntegreerd, betekent deze update wel dat die specifieke route waarschijnlijk verdwijnt, zonder dat er een officieel alternatief voor in de plaats komt.
Wat je nu kunt doen
Heb je een PortaSplit, dan hoef je zelf niets te doen: de update komt automatisch binnen via OTA. Controleer in de app of de update al is toegepast, en houd er rekening mee dat dit bij sommige apparaten nog wat langer kan duren. Zoals we eerder schreven, brengt Midea in 2027 ook een nieuwe generatie PortaSplit uit met propaan als koudemiddel en Matter-ondersteuning. Of die nieuwe hardware dit specifieke Bluetooth-probleem ook fundamenteel anders aanpakt, is nog niet bekend, we hielden dat destijds al open in ons stuk over die opvolger.
Wil je onafhankelijk van dit soort fabrikant-specifieke kwesties een airco slim kunnen bedienen, dan werkt de Tado Smart AC Control via infrarood met vrijwel elk merk, inclusief een bestaande PortaSplit, zonder afhankelijk te zijn van de Bluetooth- of cloud-implementatie van de fabrikant zelf.
