Pozor na čínske produkty - robotický vysavač posielal domov údaje, no keď ich majiteľ zablokoval, firma produkt znefunkčnila

Prípad programátora Harishankara Narayanana ukazuje, aké riziká môže predstavovať bežné zariadenie z kategórie „smart home“. Narayanan používal robotický vysávač iLife A11, ktorý na prvý pohľad fungoval úplne štandardne - vysával, mopoval a dal sa ovládať cez aplikáciu. Ako technicky zdatného používateľa ho však začalo zaujímať, ako presne vysávač komunikuje s domovskými servermi výrobcu.

Pomocou vlastných nástrojov začal analyzovať sieťovú komunikáciu vysávača a čoskoro zistil, že zariadenie pravidelne odosiela telemetrické dáta - teda informácie o svojom stave, polohe či dokončených cykloch - priamo na servery výrobcu v Číne. Aby zistil, aký význam tieto dáta majú, zablokoval túto časť komunikácie vo svojej domácej sieti. Očakával, že vysávač bude fungovať ďalej, len bez zdieľania nadbytočných údajov. Ale nestalo sa tak.

Nasledovalo prekvapenie - po niekoľkých dňoch vysávač úplne prestal fungovať. Po reklamácii v servise sa zariadenie opäť rozbehlo, no po čase sa situácia zopakovala. Po tretej neúspešnej oprave prestal výrobca reklamáciu uznávať, čo Narayanana prinútilo rozobrať zariadenie a podrobiť ho reverznému inžinierstvu.

Kill Command

Pomocou jednoduchého vybavenia pripojil riadiacu dosku vysávača k počítaču a získal prístup k jeho firmvéru aj kompletným záznamom komunikácie so servermi. V nich objavil dôkaz, že výrobca zariadenie na diaľku deaktivoval vždy, keď bola zablokovaná telemetria. Zároveň zistil, že zariadenie má nainštalovaný RRT softvér na vzdialený root prístup.

Našiel totiž modifikovaný spúšťací súbor, ktorý zabránil spusteniu hlavnej aplikácie vysávača a v logoch našiel dôkaz o vzdialenom príkaze RS_CTRL_REMOTE_EVENT presne v čase, keď zariadenie prestalo fungovať.

Vysávač teda vôbec nebol pokazený - jednoducho sa vypol na pokyn z centrálneho servera a to úmyselne. Následne po obnovení pôvodného skriptu vysávač okamžite ožil.

Pri ďalšej analýze odhalil aj vážne bezpečnostné nedostatky.

Komunikácia prebiehala bez akéhokoľvek šifrovania, pričom na servery sa posielali aj prístupové heslá k domácej Wi-Fi sieti v čitateľnej podobe.

Najznepokojivejším zistením však bolo, že zariadenie odosielalo kompletnú mapu domácnosti, ktorú vytvorilo počas vysávania, opäť v nešifrovanej forme (aj keď konkrétne toto odosielanie je štandard pre vysávače s aplikáciou, kde sa to aj vizualizuje, s tým treba rátať.)

Narayanan tak odhalil, že lacný čínsky produkt, bežne predávaný aj pod inými značkami ako Xiaomi či Wyze, môže zbierať a prenášať mimoriadne citlivé údaje.

Pozor hlavne na lacné čínske veci a aj autá

Z jeho skúsenosti vyplýva jasné poučenie: pri výbere smart zariadení do domácnosti sa treba vyhýbať lacným produktom z čínskych trhovísk, ktorých bezpečnosť nie je zaručená, a uprednostňovať overených výrobcov s transparentným prístupom k ochrane dát.

Odborníci odporúčajú tiež vytvoriť samostatnú Wi-Fi sieť pre smart zariadenia, aby v prípade ich napadnutia nemohlo dôjsť k úniku ďalších citlivých údajov.

Prípad s vysávačom iLife tak zapadá do širšieho obrazu technológií, ktoré sa môžu nepozorovane meniť na nástroj vzdialeného sledovania používateľov. 

Zaujímavé je, že podobné obavy z prenosu dát viedli nedávno Izrael k postupnému obmedzeniu dovozu čínskych áut, ktoré rovnako zhromažďujú a posielajú domov veľké množstvo informácií o pohybe a prostredí. Čo môže byť veľmi nebezpečné, hlavne v ich krajine. Tu je samozrejme otázka, prečo ich Izrael vôbec kupoval, keď toto sú aj známe veci. Cena tam vtedy spravila svoje, možno vládne dohody. Teraz však zrušia 700 áut za 17 miliónov.

Keď sme spomínali ten Kill Command, teraz keď už trh začínajú dostávať aj čínske roboty, môže ich vzdialený Kill Command vyzerať úplne inak.