DEF CON 31: I robot aspirapolvere potrebbero fare più di quanto affermano

Internet delle cose, Privacy

Quando si tratta di privacy, rimane complicato e quasi impossibile per un consumatore prendere una decisione informata.

Tony Anscombe

Agosto 16 2023  · XNUMX€  , 3 minuto. leggere

Una presentazione al DEF CON, alle 10 di una domenica mattina a Las Vegas. La mia aspettativa era che sarebbe successo essere scarsamente frequentato – non avrei potuto sbagliarmi di più. Una sala gremita ha accolto Dennis Giese, a rinomato esperto di robot aspirapolvere "hacking". Il tema della presentazione era come impedisci al tuo robot aspirapolvere di inviare dati al fornitore, una discussione basata sulla privacy e sicurezza.

Il mese scorso il mio collega Roman Cuprik pubblicato un articolo su WeLiveSecurity che descrive in dettaglio come questi i dispositivi di aspirazione domestica potrebbero spiare i loro proprietari, quindi non entrerò nelle erbacce del potenziali problemi di spionaggio qui, ma piuttosto discutere le parti straordinarie dell'eccellente consegna di Dennis presentazione.

Il ricercatore guidato da Dennis aveva un obiettivo semplice: poter eseguire il root del dispositivo di destinazione senza smontarlo? Il rooting del dispositivo in termini semplicistici significa ottenere l'accesso al sottostante software utilizzato per controllare il dispositivo, ed eventualmente modificarlo. Nel caso attuale, questo crea un file opportunità di non far diventare canaglia il dispositivo ma piuttosto di modificare il software per non farlo condividere i dati personali e restituire il controllo finale al proprietario.

Un gioco di parole 

Presumo che a questo punto tu sia abbastanza esperto da aver letto l'articolo di Roman o che tu avere una comprensione dei problemi di privacy, come i robot aspirapolvere con le telecamere che inviano le immagini al server cloud del fornitore, identificando potenzialmente tutte le cose che hai in casa.

Uno dei problemi evidenziati da Dennis è che le affermazioni dei fornitori potrebbero non corrispondere alla realtà: ad esempio una la società chiamata nella presentazione afferma di non inviare alcun dato al cloud, mai duplica i dati e che le telecamere sui suoi dispositivi sono lì solo per proteggere gli oggetti nella tua casa dalle collisioni. Sembra fattibile, ma un'altra caratteristica elencata per lo stesso dispositivo è che puoi accedi alla videocamera da remoto e guarda il dispositivo in funzione. Quindi come lo fanno se l'immagine o il flusso video non è condiviso tramite i server cloud dell'azienda che forniscono la funzionalità; forse c'è qualche vera magia coinvolta.

Un'altra questione sollevata nella presentazione è stata la formulazione utilizzata dalle aziende per descrivere il funzionalità e caratteristiche dei prodotti. A causa della cattiva stampa negli ultimi anni relativa ai dispositivi con telecamere su di loro, e in particolare la possibilità di abuso, alcuni produttori hanno reputato telecamere rimosse; la loro documentazione dice invece che i loro dispositivi utilizzano "sensori ottici". Questo è solo un gioco di parole; sono - ovviamente - macchine fotografiche ed è stato dimostrato nella presentazione che sono in grado di catturare immagini: sono macchine fotografiche.

La presentazione è entrata in maggiori dettagli ed esempi altrettanto scioccanti; anche ha evidenziato che molti dei dispositivi testati e riscontrati con problemi di privacy e sicurezza lo sono certificato da alcuni rinomati laboratori di prova; gli esempi di autorità di certificazione forniti sono stati a rispettata autorità di collaudo tedesca e, più in generale, la certificazione dei dispositivi dell'Unione Europea.

Dichiarazioni contro realtà 

Nel post sul blog di Roman, consiglia di condurre un'indagine pre-acquisto dei dispositivi, cosa che io pienamente d'accordo con nella maggior parte dei casi se non avessi ascoltato questa presentazione al DEF CON. È chiaro che mentre la sicurezza è migliorata nel firmware e nel funzionamento di questi dispositivi di raccolta della polvere, rimane complicato e quasi impossibile per un consumatore prendere una decisione informata.

Un dispositivo che dichiara di non condividere dati nel cloud, di non avere telecamere integrate e di essere certificato per la sicurezza e la privacy da laboratori di test ampiamente rispettati sembrerebbe soddisfare tutti i requisiti di un consumatore attento alla privacy; in realtà, però, ciò che sta accadendo sotto il cofano potrebbe esserlo completamente differente. La presentazione non riguardava un produttore o un modello, ma elencava numerosi casi di entrambi. Fino a quando non ci sarà chiarezza, continuerò a spingere il mio aspirapolvere portatile intorno al casa.

Un ultimo commento: un richiamo a Dennis Giese per aver tenuto una presentazione così eccezionale di domenica mattina a Las Vegas. Ma ti esorto a non divulgare i problemi a un pubblico pubblico e piuttosto a seguire standard di divulgazione coordinati dal settore. Sono sicuro che le aziende di robot aspirapolvere lo farebbero apprezzarlo, come farebbe la maggior parte dei consumatori. Nessuno vuole possedere un dispositivo con una vulnerabilità che non ha patch a causa della divulgazione che non segue le migliori pratiche del settore.