DEF CON 31: Aspiradores de robôs podem estar fazendo mais do que afirmam

Internet das Coisas, Privacidade

Quando se trata de privacidade, continua complicado e quase impossível para um consumidor tomar uma decisão informada.

Tony Anscombe

Agosto 16 2023  .  , 3 minutos. ler

Uma apresentação na DEF CON, às 10h da manhã de um domingo em Las Vegas. minha expectativa era que ser mal atendido – não poderia estar mais errado. Uma sala lotada recebeu Dennis Giese, um renomado especialista em “hackear” robôs aspiradores. O tema da apresentação foi como impedir que seu robô aspirador envie dados de volta ao fornecedor, uma discussão baseada em privacidade e segurança.

No mês passado, meu colega Roman Cuprik publicado um artigo no WeLiveSecurity detalhando como esses dispositivos de aspiração domésticos podem estar espionando seus proprietários, então não vou entrar no assunto problemas potenciais de espionagem aqui, mas sim discutir as partes de destaque da excelente entrega de Dennis apresentação.

O pesquisador liderado por Dennis tinha um objetivo simples - eles poderiam fazer root no dispositivo de destino sem desmontá-lo? Enraizar o dispositivo em termos simplistas significa obter acesso ao subjacente software usado para controlar o dispositivo e, possivelmente, modificá-lo. No caso atual, isso cria um oportunidade não de fazer com que o dispositivo fique desonesto, mas sim de modificar o software para não para compartilhar dados pessoais e devolver o controle final ao proprietário.

Um jogo de palavras 

Estou assumindo que neste ponto você é experiente o suficiente para ter lido o artigo de Roman ou que você ter uma noção das questões de privacidade, como robôs aspiradores com câmeras enviando fotos de volta para o servidores de nuvem do fornecedor, potencialmente identificando todas as coisas que você tem em sua casa.

Um dos problemas destacados por Dennis é que as reivindicações do fornecedor podem não corresponder à realidade: por exemplo, um empresa citada na apresentação afirma que não envia nenhum dado de volta para a nuvem, nunca duplica dados e que as câmeras em seus dispositivos estão lá apenas para proteger objetos em sua casa de colisões. Isso parece viável, mas outro recurso listado para o mesmo dispositivo é que você pode acesse a câmera remotamente e observe o funcionamento do dispositivo. Então, como eles fazem isso se a imagem ou o fluxo de vídeo não é compartilhado por meio dos servidores em nuvem da empresa que fornecem a funcionalidade; talvez haja alguma magia genuína envolvida.

Outra questão levantada na apresentação foi a redação utilizada pelas empresas para descrever o funcionalidade e características dos produtos. Devido à má imprensa nos últimos anos em relação a dispositivos com câmeras neles e, especialmente, a possibilidade de abuso, alguns fabricantes supostamente câmeras removidas; em vez disso, sua documentação diz que seus dispositivos utilizam “sensores ópticos”. Isso é apenas um jogo de palavras; são — claro — câmeras e ficou demonstrado na apresentação que eles são capazes de capturar imagens: eles são câmeras.

A apresentação entrou em mais detalhes e exemplos que foram igualmente chocantes; isso também destacou que muitos dos dispositivos testados e com problemas de privacidade e segurança são certificado por alguns laboratórios de testes renomados; os exemplos de autoridades certificadoras dados foram uma respeitada autoridade alemã de testes e, mais amplamente, a certificação de dispositivos da União Européia.

Declarações versus realidade 

Na postagem do blog de Roman, ele recomenda realizar uma investigação pré-compra de dispositivos, que eu totalmente concordaria na maioria dos casos se eu não tivesse ouvido esta apresentação na DEF CON. É claro que enquanto a segurança melhorou no firmware e na operação desses dispositivos de coleta de poeira, permanece complicado e quase impossível para um consumidor tomar uma decisão informada.

Um dispositivo que declara que não compartilha dados com a nuvem, não possui câmeras integradas e possui certificação para segurança e privacidade de laboratórios de testes amplamente respeitados parecem atender a todos os requisitos de um consumidor preocupado com a privacidade; na realidade, porém, o que está acontecendo sob o capô pode ser completamente diferente. A apresentação não foi sobre um fabricante ou modelo, mas listado numerosos casos de ambos. Até que haja clareza, continuarei empurrando meu aspirador de mão ao redor do casa.

Um último comentário - um elogio a Dennis Giese por fazer uma apresentação tão boa em um domingo manhã em Las Vegas. Mas eu exorto você a não divulgar problemas para uma audiência pública e sim seguir padrões de divulgação coordenados pela indústria. Tenho certeza de que as empresas de aspiradores de robôs aprecio isso, assim como a maioria dos consumidores. Ninguém quer possuir um dispositivo com uma vulnerabilidade que não tem patch devido à divulgação não seguindo as melhores práticas da indústria.