DEF CON 31: Robotski sesalniki morda delajo več, kot trdijo

Internet stvari, zasebnost

Ko gre za zasebnost, je za potrošnika še vedno zapleteno in skoraj nemogoče sprejeti premišljeno odločitev.

Tony Anscombe

Avgust 16 2023  •  , 3 min. prebrati

Predstavitev na DEF CON, 10:XNUMX v nedeljo zjutraj v Las Vegasu. Moje pričakovanje je bilo, da bo biti slabo obiskan – ne bi se mogel bolj motiti. Nabito polna soba je pozdravila Dennisa Gieseja, a priznani strokovnjak za "hekanje" robotskih sesalnikov. Tema predstavitve je bila, kako preprečite, da bi vaš robotski sesalnik pošiljal podatke nazaj prodajalcu, razprava, ki temelji na zasebnosti in varnost.

Prejšnji mesec kolega Roman Cuprik objavljeno članek o WeLiveSecurity, ki podrobno opisuje, kako te domače sesalne naprave morda vohunijo za svojimi lastniki, zato se ne bom spuščal v plevel morebitne težave z vohunjenjem tukaj, ampak raje razpravljajte o izstopajočih delih Dennisove odlično podane predstavitev.

Raziskovalec, ki ga je vodil Dennis, je imel preprost cilj – ali bi lahko izkoreninili ciljno napravo brez ga razstaviti? Rootiranje naprave poenostavljeno pomeni pridobitev dostopa do osnovnega programsko opremo, ki se uporablja za nadzor naprave, in njeno morebitno spreminjanje. V trenutnem primeru to ustvari možnost, da naprava ne postane lažna, temveč da se programska oprema spremeni, da ne deliti osebne podatke in vrniti končni nadzor lastniku.

Igra besed 

Predvidevam, da ste na tej točki ali dovolj pametni, da ste prebrali Romanov članek, ali da ste razumejo vprašanja zasebnosti, kot so robotski sesalniki s kamerami, ki pošiljajo slike nazaj ponudnikove strežnike v oblaku, ki potencialno identificirajo vse stvari, ki jih imate doma.

Eno od vprašanj, ki jih je izpostavil Dennis, je, da se trditve prodajalcev morda ne ujemajo z resničnostjo: na primer ena podjetje, imenovano v predstavitvi, trdi, da ne pošilja nobenih podatkov nazaj v oblak, nikoli podvaja podatke in da so kamere na njegovih napravah samo za zaščito predmetov v vašem domu od trkov. To se sliši izvedljivo, vendar je za isto napravo navedena še ena funkcija, ki jo lahko dostopajte do kamere na daljavo in opazujte delovanje naprave. Kako jim torej to uspe, če slika oz video tok se ne deli prek strežnikov v oblaku podjetja, ki zagotavljajo funkcionalnost; morda gre za nekaj pristnega čarovništva.

Drugo vprašanje, izpostavljeno v predstavitvi, je bilo besedilo, ki ga uporabljajo podjetja za opis funkcionalnost in lastnosti izdelkov. Zaradi slabega tiska v zadnjih letih v zvezi z napravami z kamere na njih, predvsem pa možnost zlorabe, imajo nekateri proizvajalci menda odstranjene kamere; njihova dokumentacija namesto tega pravi, da njihove naprave uporabljajo "optične senzorje". To je samo igra besed; so – seveda – kamere in v predstavitvi je bilo prikazano, da sposobni so zajemati slike: so kamere.

Predstavitev je šla v več podrobnosti in primerov, ki so bili prav tako šokantni; tudi poudaril, da je veliko testiranih naprav, za katere je bilo ugotovljeno, da imajo težave z zasebnostjo in varnostjo certificirano s strani nekaterih priznanih preskusnih laboratorijev; navedeni primeri organov za potrjevanje so bili a ugleden nemški organ za testiranje in širše certificiranje naprav Evropske unije.

Izjave proti resničnosti 

V Romanovi objavi na blogu priporoča preiskavo naprav pred nakupom, kar sem v celoti strinjam v večini primerov, če ne bi poslušal te predstavitve na DEF CON. Jasno je, da medtem varnost se je izboljšala pri vdelani programski opremi in delovanju teh naprav za zbiranje prahu, ostaja zapleteno in skoraj nemogoče, da bi potrošnik sprejel odločitev na podlagi informacij.

Naprava, ki navaja, da ne deli podatkov v oblak, nima vgrajenih kamer in ima certifikat za varnost in zasebnost iz splošno cenjenih preskusnih laboratorijev se zdi, da izpolnjujejo vse zahteve potrošnika, ki se zaveda zasebnosti; v resnici pa je lahko tisto, kar se dogaja pod pokrovom popolnoma drugačen. Predstavitev ni govorila o enem proizvajalcu ali modelu, ampak o naštetih številni primeri obojega. Dokler ne bo jasnosti, se bom držal svojega ročnega sesalnika hišo.

Še zadnji komentar – pohvala Dennisu Gieseju za tako odlično predstavitev v nedeljo jutro v Vegasu. Vendar vas pozivam, da vprašanj ne razkrivate javnosti in raje sledite panožno usklajeni standardi razkritja. Prepričan sem, da bi podjetja za robotske sesalnike cenijo to, tako kot večina potrošnikov. Nihče si ne želi imeti naprave z ranljivostjo, ki nima popravka, ker razkritje ne upošteva najboljših praks v industriji.