DEF CON 31: Las aspiradoras robóticas pueden estar haciendo más de lo que afirman

Internet de las Cosas, Privacidad

Cuando se trata de privacidad, sigue siendo complicado y casi imposible para un consumidor tomar una decisión informada.

tony anscombe

Agosto 16 2023  •  , 3 minuto. leer

Una presentación en DEF CON, 10 am un domingo por la mañana en Las Vegas. Mi expectativa era que lo haría estar mal atendido, no podría haber estado más equivocado. Una sala repleta recibió a Dennis Giese, un Reconocido experto en “hackear” robots aspiradores. El tema de la presentación fue cómo evitar que su robot aspirador envíe datos al proveedor, una discusión basada en la privacidad y seguridad.

El mes pasado mi colega Roman Cuprik publicado un artículo en WeLiveSecurity que detalla cómo estos Los dispositivos domésticos de aspiración pueden estar espiando a sus dueños, así que no me meteré en la maleza del problemas potenciales de espionaje aquí, sino más bien discutir las partes sobresalientes de la excelentemente entregada de Dennis presentación.

El investigador liderado por Dennis tenía un objetivo simple: ¿podrían rootear el dispositivo de destino sin desarmarlo? Rootear el dispositivo en términos simplistas significa obtener acceso a la base subyacente software utilizado para controlar el dispositivo, y posiblemente modificarlo. En el caso actual, esto crea una oportunidad de no hacer que el dispositivo se vuelva deshonesto, sino que se modifique el software para no para compartir datos personales y devolver el control final al propietario.

un juego de palabras 

Supongo que en este punto eres lo suficientemente inteligente como para haber leído el artículo de Roman o que tener una idea de los problemas de privacidad, como las aspiradoras robotizadas con cámaras que envían imágenes al servidores en la nube del proveedor, identificando potencialmente todas las cosas que tiene en su hogar.

Uno de los problemas destacados por Dennis es que las afirmaciones de los proveedores pueden no coincidir con la realidad: por ejemplo, una La empresa mencionada en la presentación afirma que no envía ningún dato a la nube, nunca duplica datos y que las cámaras en sus dispositivos solo están ahí para proteger objetos en su hogar de colisiones. Esto suena factible, pero otra característica listada para el mismo dispositivo es que puede acceda a la cámara de forma remota y observe cómo funciona el dispositivo. Entonces, ¿cómo hacen eso si la imagen o la transmisión de video no se comparte a través de los servidores en la nube de la empresa que brindan la funcionalidad; tal vez haya algo de magia genuina involucrada.

Otro tema planteado en la presentación fue la redacción utilizada por las empresas para describir el funcionalidad y características de los productos. Debido a la mala prensa de los últimos años relativa a los dispositivos con cámaras en ellos, y especialmente la posibilidad de abuso, algunos fabricantes supuestamente han cámaras eliminadas; en cambio, su documentación dice que sus dispositivos utilizan "sensores ópticos". Esto es simplemente un juego de palabras; son, por supuesto, cámaras y se demostró en la presentación que son capaces de capturar imágenes: son camaras.

La presentación entró en más detalles y ejemplos que fueron igual de impactantes; también destacó que muchos de los dispositivos probados y que tienen problemas de privacidad y seguridad son certificado por algunos laboratorios de pruebas de renombre; los ejemplos de autoridades certificadoras dados fueron un respetada autoridad alemana de pruebas y, más ampliamente, la certificación de dispositivos de la Unión Europea.

Declaraciones versus realidad 

En la publicación de blog de Roman, él recomienda realizar una investigación previa a la compra de dispositivos, lo cual recomiendo Estoy de acuerdo en la mayoría de los casos si no hubiera escuchado esta presentación en DEF CON. Es claro que mientras ha mejorado la seguridad en el firmware y funcionamiento de estos colectores de polvo, se mantiene complicado y casi imposible para un consumidor tomar una decisión informada.

Un dispositivo que indica que no comparte datos con la nube, no tiene cámaras integradas y lleva certificación para la seguridad y la privacidad de laboratorios de pruebas ampliamente respetados parecería cumplir con todos los requisitos de un consumidor consciente de la privacidad; en realidad, sin embargo, lo que sucede debajo del capó puede ser completamente diferente. La presentación no era sobre un fabricante o modelo, sino que enumeraba numerosos casos de ambos. Hasta que haya claridad, seguiré empujando mi aspiradora de mano alrededor del casa.

Un último comentario: un reconocimiento a Dennis Giese por ofrecer una presentación tan excelente un domingo. mañana en Las Vegas. Pero les insto a que no divulguen los problemas a una audiencia pública y más bien sigan estándares de divulgación coordinados por la industria. Estoy seguro de que las empresas de robots aspiradores apreciar esto, al igual que la mayoría de los consumidores. Nadie quiere tener un dispositivo con una vulnerabilidad que no tiene parche debido a que la divulgación no sigue las mejores prácticas de la industria.