Компания ESET — лидер в области информационной безопасности — сообщает об обнаружении уязвимостей в двух популярных интимных игрушках. В частности, недостатки безопасности выявлены в приложениях, с помощью которых осуществляется управление девайсами.
Уязвимости позволяют установить вредоносный код на телефон, изменить встроенное программное обеспечение в игрушке или даже намеренно модифицировать устройство, чтобы причинить физический вред пользователю.
В рамках исследования специалисты ESET проанализировали две популярные игрушки на рынке — Jive производства компании We-Vibe и Max поставщика Lovense. Для этого исследователи загрузили из магазина Google Play программы для управления девайсами (We-Connect и Lovense Remote) и использовали методы прямого анализа и поиска уязвимостей.
We-Vibe
Jive компании We-Vibe является портативным устройством, поэтому может использоваться в незащищенных средах. В ходе анализа выявлено, что игрушка постоянно сообщает о своем присутствии для упрощения соединения. Это означает, что каждый, кто имеет Bluetooth-сканер может найти девайс в своем радиусе на расстоянии до восьми метров. Таким образом потенциальные злоумышленники могли идентифицировать устройство и использовать мощность сигнала. Для получения контроля даже нет необходимости в официальном приложении производителя, поскольку в большинстве браузеров есть соответствующие функции для упрощения управления.
Игрушка Jive использует наименее защищенный метод соединения BLE, поэтому временный код ключа, который используется девайсами, равен нулю. Таким образом подключиться к ним может любое устройство, используя ноль как ключ. Игрушка уязвима к MitM-атакам, поскольку неподключенный Jive может автоматически соединяться с любым мобильным телефоном, планшетом или компьютером, который требует этого, без проверки и аутентификации.
Хотя мультимедийные файлы, которыми пользователи совместно пользуются во время сеансов чата, сохраняются в папках частного хранилища программы, метаданные файлов остаются в общем доступе. Это означает, что каждый раз, когда пользователи присылают фотографию на другой телефон, они также могут делиться информацией о своих устройствах и их точной геолокации.
Lovense
Поскольку Max производства компании Lovense синхронизируется с удаленным аналогом, злоумышленник может взять под контроль оба устройства после заражения только одного из них. Однако мультимедийные файлы, полученные с удаленного устройства, не содержат метаданных. Также приложение предлагает возможность настроить четырехзначный код разблокировки с помощью сетки кнопок, что затрудняет атаки методом подбора пароля.
Угрозу для конфиденциальности данных пользователей могут представлять некоторые особенности программы, например, возможность пересылки изображений третьим лицам без согласия собственника, а удаленные или заблокированные пользователи имеют доступ к истории чата и всех ранее совместных мультимедийных файлов. Max также не использует аутентификацию для соединений BLE, поэтому с помощью MitM-атаки злоумышленники могут перехватить соединение и отправлять команды для управления девайсом.
Обоим разработчикам было отправлено подробный отчет об уязвимостях и предложение по их устранению, и на момент публикации все недостатки были исправлены.
«Хотя безопасность на данный момент, вероятно, не является приоритетной задачей для многих производителей интимных игрушек, владельцы таких девайсов могут применить дополнительные меры для своей защиты, например, избегать использования устройств в общественных местах. Пользователи должны оставлять умную игрушку подключенной к своему мобильному приложению при использовании, поскольку это не позволит девайсу сообщать о своем присутствии потенциальным киберпреступникам, —отмечают исследователи ESET. — С развитием рынка интимных игрушек производители должны уделять больше внимания проблемам кибербезопасности, поскольку каждый имеет право использовать безопасные и надежные технологии».
Чтобы минимизировать риски при использовании умных интимных девайсов специалисты ESET рекомендуют придерживаться таких советов:
- Некоторые программы предлагают возможность локального управления устройствами через BLE без создания учетной записи пользователя. Если вы не планируете позволять другим пользователям удаленно управлять игрушкой через Интернет, подберите одно из таких приложений.
- Избегайте обмена фотографиями или видео и не публикуйте токены дистанционного управления в Интернете.
- Во время регистрации в подобных приложениях не используйте настоящие имя и фамилию или адрес электронной почты, которая может вас идентифицировать. Подумайте о создании новой учетной записи исключительно для этих программ.
- Всегда просматривайте условия использования программ и веб-сайтов, на которых вы регистрируетесь. Обратите особое внимание на разделы, в которых говорится о собранных данных и их обработке.
- Выключайте игрушку и Bluetooth, когда они не используются.
- Обеспечьте защиту мобильных устройств, с помощью которых управляете игрушкой, загрузив надежное решение по безопасности.
- Защитите домашнюю сеть Wi-Fi, используя надежные пароли, безопасные алгоритмы шифрования и применяя регулярные обновления встроенного программного обеспечения роутера.
Подробное исследование безопасности смарт-игрушек доступно по ссылке.