Viedās mājas tumšā puse: Shark putekļsūcēji zem lupas
Viedās ierīces arvien biežāk kļūst par mūsu ikdienas neatņemamu sastāvdaļu, solot ērtības un efektivitāti, taču ar šīm priekšrocībām bieži nāk līdzi arī jauni drošības riski. Nesen kāds IT drošības pētnieks atklāja satraucošu ievainojamību populārajos Shark ražotāja robotizētajos putekļsūcējos, kas var ļaut hakeriem pārņemt kontroli pār tām tiešsaistē. Šis atklājums liek nopietni aizdomāties par viedās mājas drošību un mūsu privātumu.
Kā hakeri iegūst kontroli? Vienkāršoti paskaidrojumi
Pētnieks, cenšoties izprast sava Shark putekļsūcēja darbību, ieguva piekļuvi ierīces kodolam, izmantojot seriālo atkļūdošanas saskarni (U-Boot bootloader). Tas viņam deva pilnas “root” tiesības. No turienes viņš “izraka” informāciju par API piekļuves punktu, ko Shark ierīces izmanto saziņai ar mākoņpakalpojumu (AWS IoT Core MQTT broker).
Lai gan katrai ierīcei ir unikāla privātā atslēga, izrādījās, ka ar to var reģistrēties uz citiem ierīču kanāliem, izmantojot “wildcard” funkciju. Tas nozīmē, ka kļūst redzamas miljoniem ziņojumu starp serveriem un citām ierīcēm. Vēl bīstamāk, ar šo piekļuvi var izsaukt funkciju, kas ļauj izpildīt komandas jebkurā ierīcē, ja vien ir zināms tās sērijas numurs - informācija, ko nav grūti iegūt. Pētnieks pat veiksmīgi ievietoja savā putekļsūcējā “webshell” - rīku attālinātai vadībai.
Kāpēc šis atklājums ir svarīgs tieši jums?
Šī ievainojamība nav tikai abstrakta teorija. Tā nozīmē, ka hakeri potenciāli var iegūt kontroli pār jūsu putekļsūcēju. Iedomājieties, ka kāds attālināti kontrolē ierīci, kas pārvietojas pa jūsu māju. Tehnoloģija var tikt izmantota ne tikai nevainīgiem jociņiem, bet arī, lai iegūtu informāciju par jūsu mājas plānojumu vai pat piekļūtu citām viedās mājas tīklā esošām ierīcēm. Tas ir tiešs drauds jūsu privātumam un mājas drošībai.
Ražotāja klusēšana un sekas
Saskaņā ar pētnieka publicēto laika grafiku, viņš mēģināja sazināties ar SharkNinja, lai atbildīgi ziņotu par atklāto problēmu. Diemžēl, neskatoties uz solījumiem, ražotājs nedēļas laikā nesniedza atbildi. Tas nozīmē, ka šobrīd ievainojamība joprojām pastāv, un miljoniem ierīču ir pakļautas riskam. Lai pasargātu sevi, vienīgais ieteikums ir atvienot putekļsūcēju no interneta, kas, protams, ierobežo tā viedās funkcijas.
Plaša problēma: Shark nav vienīgais upuris
Šis nav pirmais gadījums, kad viedajās mājas ierīcēs tiek atklātas šādas nopietnas drošības nepilnības. Jau 2024. gada februārī tika ziņots par līdzīgu ievainojamību DJI putekļsūcējos, kas deva piekļuvi tūkstošiem ierīču. Tāpat arī Ecovacs robotizētajos putekļsūcējos tika atklāta vēl viena ievainojamība, kas ļāva hakeriem attālināti pārņemt kontroli. Tas liecina par plašāku problēmu IoT ierīču drošības jomā.
Ko var darīt lietotājs?
Pirmkārt, ja jums ir Shark robotizētais putekļsūcējs, apsveriet iespēju to atvienot no interneta, līdz ražotājs izlaiž drošības atjauninājumu. Otrkārt, regulāri pārbaudiet programmatūras atjauninājumus visām savām viedajām ierīcēm un instalējiet tos nekavējoties. Visbeidzot, vienmēr kritiski izvērtējiet viedierīču priekšrocības pret potenciālajiem drošības riskiem, pirms tās iegādājaties un pieslēdzat savam tīklam.
Viedās tehnoloģijas ir paredzētas, lai atvieglotu dzīvi, taču mēs nedrīkstam aizmirst par to drošības aspektiem. Šark putekļsūcēju gadījums ir spilgts atgādinājums par to. Kādas viedierīces tu izmanto savās mājās un kā tu rūpējies par to drošību?
Iezīmē tekstu un spied ziņot par kļūdu.
