DEF CON 31: Robotdammsugare kan göra mer än de påstår

Internet of Things, Sekretess

När det kommer till integritet är det fortfarande komplicerat och nästan omöjligt för en konsument att fatta ett välgrundat beslut.

Tony Anscombe

Augusti 16 2023  •  , 3 min. läsa

En presentation på DEF CON, kl 10 på en söndagsmorgon i Las Vegas. Min förväntan var att det skulle göra det vara dåligt besökt – jag kunde inte ha haft mer fel. Ett fullsatt rum hälsade Dennis Giese, en känd expert på att "hacka" robotdammsugare. Temat för presentationen var hur man stoppa din robotdammsugare från att skicka tillbaka data till leverantören, en diskussion baserad på integritet och säkerhet.

Förra månaden min kollega Roman Cuprik publicerade en artikel om WeLiveSecurity som beskriver hur dessa Hemdammsugningsenheter kan spionera på sina ägare, så jag kommer inte in på ogräset i potentiella problem med spioneri här utan diskutera de framstående delarna av Dennis utmärkt levererade presentation.

Forskaren som Dennis ledde hade ett enkelt mål – kunde de rota målenheten utan plocka isär den? Att rota enheten i förenklade termer innebär att få tillgång till det underliggande programvara som används för att styra enheten och eventuellt modifiera den. I det aktuella fallet skapar detta en möjlighet att inte få enheten att bli oseriös utan snarare för att programvaran ska modifieras för att inte att dela personuppgifter och ge den ultimata kontrollen tillbaka till ägaren.

En lek med ord 

Jag antar att du vid det här laget antingen är kunnig nog att ha läst Romans artikel eller att du ha ett grepp om integritetsfrågorna, som robotdammsugare med kameror som skickar bilder tillbaka till leverantörens molnservrar, som potentiellt identifierar alla saker du har i ditt hem.

En av de problem som Dennis lyfter fram är att säljarens anspråk kanske inte stämmer överens med verkligheten: till exempel ett företag som ropades ut i presentationen hävdar att det inte skickar någon data tillbaka till molnet, det aldrig duplicerar data, och att kamerorna på dess enheter endast är till för att skydda föremål i ditt hem från kollisioner. Detta låter möjligt, men en annan funktion som listas för samma enhet är att du kan komma åt kameran på distans och se hur enheten fungerar. Så hur gör de det om bilden eller videoström delas inte via företagets molnservrar som tillhandahåller funktionen; kanske är det någon genuin trolldom inblandad.

En annan fråga som togs upp i presentationen var formuleringen som används av företag för att beskriva produkternas funktionalitet och egenskaper. På grund av dålig press de senaste åren rörande enheter med kameror på dem, och särskilt risken för missbruk, har vissa tillverkare sägs ha borttagna kameror; deras dokumentation säger istället att deras enheter använder "optiska sensorer". Det här är bara en lek med ord; de är – naturligtvis – kameror och det visades i presentationen att de kan ta bilder: de är kameror.

Presentationen gick in på fler detaljer och exempel som alla var lika chockerande; det är också betonade att många av de enheter som testats och befunnits ha integritets- och säkerhetsproblem certifierad av några kända testlabb; exemplen på attesterande myndigheter som gavs var a respekterad tysk testmyndighet och, mer allmänt, EU:s certifiering av enheter.

Påståenden kontra verkligheten 

I Romans blogginlägg rekommenderar han att man gör en förköpsundersökning av enheter, vilket jag fullt ut håller med i de flesta fall om jag inte lyssnat på denna presentation på DEF CON. Det är klart att medan säkerheten har förbättrats i den fasta programvaran och driften av dessa dammuppsamlande enheter, den kvarstår komplicerat och nästan omöjligt för en konsument att fatta ett välgrundat beslut.

En enhet som säger att den inte delar data till molnet, har inga kameror ombord och har certifiering för säkerhet och integritet från allmänt respekterade testlabb verkar uppfylla alla krav av en integritetsmedveten konsument; i verkligheten kan dock det som händer under huven vara helt annorlunda. Presentationen handlade inte om en tillverkare eller modell utan listad många fall av båda. Tills det blir klarhet kommer jag att hålla mig till att skjuta runt min handdammsugare hus.

En sista kommentar – en uppmaning till Dennis Giese för att han levererade en så bra presentation på en söndag morgon i Vegas. Men jag uppmanar er att inte avslöja frågor till en offentlig publik och hellre följa efter branschkoordinerade upplysningsstandarder. Jag är säker på att robotdammsugarföretagen skulle göra det uppskattar detta, liksom de flesta konsumenter. Ingen vill äga en enhet med en sårbarhet som har ingen patch på grund av avslöjande som inte följer branschens bästa praxis.