Домашните IoT джаджи се използват все по-масово, но това далеч не означава, че дългогодишните проблеми със сигурността и защитата на поверителността в тази сфера са преодолени. Най-новото доказателство идва чак от Индия, но засяга популярен модел прахосмукачка робот, предлаган и у нас.
Главният герой в нашата история се казва Харишанкар Нараянан, като решаващо в случая е, че той по професия е програмист и освен това се интересува от електроника. Както пише в блога си, след година използване на робота iLife A11, един ден той решил да провери как точно работи прахосмукачката му.
След няколко минути следене на интернет трафика от уреда към външния свят, той установил, че се поддържа непрекъсната връзка със сървъри "на другия край на света" - логове и телеметрични данни се изпращали без позволение. Нараянан блокирал достъпа до тези сървъри, но без да пречи на прахосмукачката да комуникира със системите на производителя за софтуерни обновления.
Няколко дни по-късно прахосмукачката спряла да работи. Нещо още по-интересно - при последвалите няколко посещения в сервизен център заключението на техниците било, че уредът работи. Всеки път обаче след буквално часове прахосмукачката спира да се включва. В крайна сметка гаранцията била отказана и това "развързало" ръцете на индийския програмист да реши проблема сам.
След няколко дни на проби и грешки, той стигнал до едно твърде притеснително "откритие" - сервизната функционалност Android Debug Bridge (ADB), която позволява инсталирането на всякакъв софтуер на робота, не била защитена с потребителско име и парола и така реално всеки по веригата от завода до магазина е бил в състояние да манипулира устройството.
Не само това, но на него работел софтуерът Google Cartographer, чрез който се създавали и изпращали към отдалечен сървър триизмерни карти на жилището - сензорите за ориентация на прахосмукачката позволяват създаването на доста точни 3D модели.
За да бъде шпионският сюжет пълен, Нараянан открил скрипт, зареден дистанционно на робота малко след като прекратил предаването на информация към външни сървъри. На практика някой, който има достъп до сървърите за софтуерен ъпдейт, е блокирал уреда в момента, в който "шпионажът" е бил разкрит.
Тук идва и интересният момент - iLife A11 всъщност е просто брандиран по този начин продукт, базиран на модела 3irobotix CRL-200S - това е един от големите ODM производители на прахосмукачки роботи. Според информация от открити онлайн източници същият хардуер и потенциално елементи или изцяло същият софтуер се продават и под познати и у нас брандове.
За момента коментар от страна на iLife няма, но моделът A11 е изчезнал от сайта на компанията.
Съветът на експертите е да не се предоверяваме на IoT устройствата. Струва си да прегледаме внимателно общите условия и да проверим какви възможности за настройка предлагат съответните приложения. За по-сигурно обаче всякакви роботи и "умни" уреди е най-добре да са вързани към своя собствена ограничена Wi-Fi мрежа.
USD
CHF
EUR
GBP
