Компанія ESET — лідер у галузі інформаційної безпеки — повідомляє про виявлення уразливостей у двох популярних інтимних іграшках. Зокрема недоліки безпеки наявні у додатках, за допомогою яких відбувається управління девайсами.
Читайте такожТисячі поштових серверів опинилися під загрозою через уразливості в Microsoft ExchangeУразливості дозволяють встановити шкідливий код на телефон, змінити вбудоване програмне забезпечення в іграшці або навіть навмисно модифікувати пристрій, щоб заподіяти фізичну шкоду користувачеві.
У рамках дослідження спеціалісти ESET проаналізували дві популярні іграшки на ринку — Jive виробництва компанії We-Vibe та Max постачальника Lovense. Для цього дослідники завантажили з магазину Google Play програми для управління девайсами (We-Connect та Lovense Remote) та використали методи прямого аналізу та пошуку уразливостей.
We-Vibe
Jive компанії We-Vibe є портативним пристроєм, тому може використовуватися в незахищених середовищах. У ході аналізу виявлено, що іграшка постійно повідомляє про свою присутність для полегшення з’єднання. Це означає, що кожен, хто має Bluetooth-сканер, може знайти девайс у своєму радіусі на відстані до восьми метрів. Таким чином потенційні зловмисники могли ідентифікувати пристрій і використовувати потужність сигналу. Для отримання контролю навіть непотрібний офіційний додаток виробника, оскільки у більшості браузерів є відповідні функції для спрощення управління.
Іграшка Jive використовує найменш захищений метод з’єднання BLE, тому тимчасовий код ключа, що використовується девайсами, дорівняє нулю. Таким чином підключитися до них може будь-який пристрій, використовуючи нуль як ключ. Іграшка уразлива до MitM-атак, оскільки непідключений Jive може автоматично з’єднуватися з будь-яким мобільним телефоном, планшетом або комп’ютером, який вимагає цього, без перевірки та аутентифікації.
Хоча мультимедійні файли, якими користувачі спільно користуються під час сеансів чату, зберігаються у папках приватного сховища програми, метадані файлів залишаються у спільному доступі. Це означає, що кожного разу, коли користувачі надсилають фотографію на інший телефон, вони також можуть ділитися інформацією про свої пристрої та їх точну геолокацію.
Lovense
Оскільки Max виробництва компанії Lovense синхронізується з віддаленим аналогом, зловмисник може взяти під контроль обидва пристрої після інфікування лише одного з них. Однак мультимедійні файли, отримані з віддаленого пристрою, не містять метаданих. Також додаток пропонує можливість налаштувати чотиризначний код розблокування за допомогою сітки кнопок, що ускладнює атаки методом підбору пароля.
Загрозу для конфіденційності даних користувачів можуть становити деякі особливості програми, наприклад, можливість пересилання зображень третім особам без відома власника, а видалені або заблоковані користувачі мають доступ до історії чату та всіх раніше спільних мультимедійних файлів. Max також не використовує аутентифікацію для з’єднань BLE, тому за допомогою MitM-атаки зловмисники можуть перехопити з’єднання та надсилати команди для управління девайсом.
Обом розробникам було надіслано детальний звіт про уразливості та пропозиції щодо їх усунення, і на момент публікації всі недоліки були виправлені.
«Хоча безпека зараз, ймовірно, не є пріоритетним завданням для багатьох виробників інтимних іграшок, власники таких девайсів можуть застосувати додаткові заходи для власного захисту, наприклад, уникати використання пристроїв у громадських місцях. Користувачі повинні залишати розумну іграшку підключеною до свого мобільного додатка під час використання, оскільки це не дозволить девайсу повідомляти про свою присутність потенційним кіберзлочинцям, — зазначають дослідники ESET. — З розвитком ринку інтимних іграшок виробники повинні приділяти більше уваги проблемам кібербезпеки, оскільки кожен має право використовувати безпечні та надійні технології».
Щоб мінімізувати ризики під час використання розумних інтимних девайсів спеціалісти ESET рекомендують дотримуватися таких порад:
- Деякі програми пропонують можливість локального управління пристроями через BLE без створення облікового запису користувача. Якщо ви не плануєте дозволяти іншим користувачам віддалено керувати іграшкою через Інтернет, підберіть один з таких додатків.
- Уникайте обміну фотографіями чи відео і не публікуйте токени дистанційного управління в Інтернеті.
- Під час реєстрації в подібних додатках уникайте використання справжнього ім’я та прізвища або електронної адреси, яка може вас ідентифікувати. Подумайте про створення нового облікового запису виключно для цих програм.
- Завжди переглядайте умови використання програм та веб-сайтів, на яких ви реєструєтесь. Зверніть особливу увагу на розділи, в яких йдеться про зібрані дані та їх обробку.
- Вимикайте іграшку і Bluetooth, коли вони не використовуються.
- Забезпечте захист мобільних пристроїв, за допомогою яких управляєте іграшкою, завантаживши надійне рішення з безпеки.
- Захистіть домашню мережу Wi-Fi, використовуючи надійні паролі, безпечні алгоритми шифрування та застосовуючи регулярні оновлення вбудованого програмного забезпечення роутера.
Довідка. ESET — експерт у сфері захисту від кіберзлочинності та комп'ютерних загроз, міжнародний розробник антивірусного програмного забезпечення, провідний постачальник в галузі створення технологій виявлення загроз. Заснована у 1992 році, компанія ESET сьогодні має розширену партнерську мережу й представництва в більш ніж 180 країнах світу. Головний офіс компанії знаходиться у Братиславі, Словаччина.
Понад 15 років продукти ESET офіційно представлені на території України. Починаючи з 2005 року, користувачі мають можливість безкоштовно звернутися за допомогою до служби технічної підтримки ESET в Україні, а також пройти курси навчання продуктам компанії ESET. Користувачами ESET є найбільші українські та міжнародні компанії та організації.
