Jak wiadomo do internetu można już podłączyć wszystko. Nic dziwnego, że ktoś wpadł na pomysł, by podłączyć także wibrator. Nie powinno także dziwić to, że ktoś inny spróbował takie urządzenie zhakować.
Dzień, w którym świat obiegnie wiadomość o hakowaniu erotycznych zabawek podłączonych do sieci musiał kiedyś nadejść. Co prawda odkryte do tej pory błędy nie wróżą katastrofy, ale wpadki o poważniejszych konsekwencjach są tylko kwestią czasu.
Teledildonics, czyli rozkosz na odległość
Skoro erotyczne zabawki dla pań i panów mogą być sterowane zdalnie, to pewnie niejedna firma wpadła na pomysł, by podłączyć je do internetu. Jeden z producentów takich gadżetów działający pod marką Lovense nazwał swój biznes „teledildonics”. Oferuje on dwa modele: Nora, czyli wibrator kobiecy oraz Max, czyli męski masturbator. Oba urządzenia mogą być zarówno sterowane bezprzewodowo za pomocą smartfonów jak i mogą zostać „sparowane” i korzystając z łącza internetowego mogą przenosić nawzajem swoje ruchy. Oszczędzimy już szczegółów anatomicznych, bo to w końcu nie jest blog „lajfstajlowy”, a jeśli kogoś temat głębiej interesuje to polecamy odwiedziny na stronie producenta.
Nora oraz Max (źródło: Forbes)
Oczywiście każde urządzenie podłączone do internetu prędzej czy później musiało znaleźć się w rękach specjalisty zajmującego się bezpieczeństwem. Niejaki Ken Munro z firmy Pen Test Partners postanowił przyjrzeć się zabezpieczeniom erotycznych gadżetów i podzielił się swoimi odkryciami z producentem oraz magazynem Forbes.
Niebezpieczny seks
Jedną z funkcji oferowanych przez producenta jest usługa „Body Chat”. Jej użytkownicy mogą zarejestrować się na specjalnym portalu i połączyć się nie tylko przez czat wideo, ale także swoje dodatkowe gadżety. Niestety program obsługujący czat przesyła login i hasło użytkownika bez szyfrowania. Jedynie hasło jest zapisane w formie funkcji skrótu – lecz tylko MD5. Oznacza to, że w razie skutecznego ataku MiTM (np. przez słabo zabezpieczoną sieć WiFi) przejęcie konta użytkownika nie powinno być dużym problemem.
Drugim obszarem ryzyka są nagrania wideo. W razie gdy użytkownik zdecyduje się zapisać fragment sesji z gadżetem, pliki wideo zapisywane są na zewnętrznej karcie pamięci. Rozwiązanie to ma wiele wad. O ile odzyskiwanie plików z pamięci wewnętrznej urządzeń mobilnych nie jest trywialnym zadaniem, o tyle odczytanie skasowanych plików z karty pamięci nie stanowi problemu. W razie zgubienia lub sprzedania smartfona nie jest trudno przez przypadek ujawnić nagrania swoje lub swojego partnera/partnerki. Oczywiście kartę pamięci można szyfrować, jednak pokażcie nam użytkownika, który to robi…
Konsekwencje i przyszłość
Producent szybko zareagował na zgłoszenia i w najbliższej aktualizacji aplikacji wprowadzi obsługę HTTPS i zamieni MD5 na funkcję RSA (warto pewnie sprawdzić, gdzie będzie zapisany klucz prywatny). Odkrycia badacza nie wyglądają na bardzo poważne – dużo gorzej mogło brzmieć np. zdalne przejmowanie sterowania erotycznym gadżetem. Nie wiemy jednak, czy brak takiej informacji oznacza dobry poziom zabezpieczeń aplikacji czy tylko brak wystarczających umiejętności osoby aplikację testującej. Spodziewany się jednak, że w ślady wspomnianego badacza szybko pójdą inni specjaliści i będziemy mieli okazję przeczytać jeszcze niejeden sensacyjny artykuł na temat testów penetracyjnych.
Komentarze
„Testy penetracyjne” w tym wypadku brzmią szczególnie dwuznacznie ;-)
Thank you Capitan!
Czekam na komentarz miłej Pani 90 – 60 – 90 w stylu:
„mam ten wibrator. Jak żyć?”
Mogę podjechać i pokazać :P
Zabrzmiało prawie jak ogłoszenie towarzyskie… lol
Ja tam mam włączone szyfrowanie smartfona. Ale cóż, chyba nie jestem zwyczajnym użytkownikiem…
A wibratora? :)
Szyfrowanie smartfona to nie to samo co szyfrowanie karty SD.
Kacper: To nie niebezpiecznik z pudelkowo-onetowymi tytułami. Idź pytać „jak żyć?” tam.
Nie rozumiem tej całej nagonki na Niebezpiecznika.
Też tego nie rozumiem. Czasem Piotr wrzuca na luz i trochę się powygłupia a ludzie od razu hejtują. Życie jest za krótkie żeby być ciągle poważnym na maxa.
.
Niebezpiecznika szanuję podobnie jak Sekuraka i Z3S. Każdy z nich ma specyficzny sposób prezentowania treści. No i dobrze że jest różnorodność.
Konkurencja przecież ! ;) Poza tym, w sumie ten tekst potarzał się tam tak często, jak reklama MediaExpert z Lisowską. Co do pudelkowo-onetowych tytułów to kwestia zachęcenia użytkownika do skorzystania z produktu jakim jest artykuł. Jakoś np Heartbleed brzmi lepiej (i straszniej) jak CVE-2014-0160 – nieprawdaż ? Ba.Niektórzy nawet się przestraszyli,że tych krytycznych bugów jakby więcej. Oczywiście z tym przesadzać nie należy,jak onet i pudelek – ale akurat odwiedzam oba serwisy i powiem że się trochę uzupełniają jak dla mnie.
Z3S ma na pewno w porównaniu z Niebezpiecznikiem olbrzymią zaletę: większą aktywność redakcji w wyszukiwaniu NOWYCH informacji i chyba dokładniejsze podejście do czytania omawianych treści – a jednocześnie na luzie. Jak dla mnie – szybciej i przyjemniej się czyta… Co do niebezpiecznika to nie będę pisał,bo po co.
Obecny klimat Z3S mi się podoba.
Aha – na temat. No co tu mówić: „Co prawda odkryte do tej pory błędy nie wróżą katastrofy, ale wpadki o poważniejszych konsekwencjach są tylko kwestią czasu” – w kontekście wibratora całkiem dwuznaczne też. No i nazwa firmy „Pen Test Partners” też bliska dwuznaczności ;)
Ale bez żartów. Osoby które z tego korzystają w przypadku ataku hackera-szantażysty będą mieć PROBLEM. Odwiedziłem na krótko tak z ciekawości TORowe fora (bez logowania i krótko więc pewnie wszystkiego nie widziałem), a i czytałem o sprawie PBMu. Sprawa bynajmniej nie będzie zabawna,będą ofiary,to kwestia czasu.
Ale @Ktos ma ból dupska… w sumie adekwatnie do tematu :)
Spodziewałem się podatności BadUSB.
.
Adamie, może napiszesz coś o (nie)bezpieczeństwie płatności komórką?
Inspirujący artykuł z ostatniej „Polityki”: http://www.polityka.pl/tygodnikpolityka/rynek/1605975,1,zamiast-gotowki-karta-czy-komorka.read
„Skandal! Elektroniczne dildosy przenoszą wirusy!!1one” xdd
Trudny temat mu zadałeś,to kompletny research w sumie i zbyt nieprecyzyjne pytanie.
Ja sam prowadząc bloga mimo sporej ilości wolnego czasu (póki co: still unemployed :/ ) nie podejmowałbym się rozgryzania tego bez rozsądnego terminu i za darmo – mając co innego do zrobienia, ostatnio u siebie na blogu pisuję tylko o podstawach. Wgłębienie się w takie rzeczy to klasyczny „biały wywiad”.Duży Pies,same artykuły o Bliku nie wspominają rodzaju aplikacji,ograniczeń – czy tylko smartfony czy wszystkie ? Kto napisał / ma napisać tą aplikację ? Jak ona ma działać ? Jaka to klasa systemu płatności dokładnie ? Bez tego ani rusz,a system nie jest nawet wdrożony – więc szukaj tu czegoś pewnego o bezpieczeństwie czegoś takiego ! Będzie miał pod górke.
Adam może spróbować jeśli zechce,ale obawiam się,że będzie to dla niego dłuższe wyzwanie i bez gwarancji sukcesu.
Ponieważ wbrew temu co się twierdzi – nie wszystko jest w internecie czy nawet dobrze zabezpieczonych sieciach i odłączonych od sieci komputerach. A poza tym znalezienie niektórych informacji trochę kosztuje.I to nie płacę szukającego…
Temat trudny, bo nowy i rozległy – przyznaję, że tak.
.
To może zaproponuję coś lżejszego: jak wyprać lewe pieniądze lub ukryć przed fiskusem i służbami celnymi płatności elektroniczne?
.
Nie trzeba od razu BTC, wystarczą elektroniczne karty pre-paydowe. Bez rejestracji, bez skanu dowodu osobistego, dla przestępców to raj! Co prawda, są ograniczenia w dziennym saldzie (czy zawsze?) i na pewno nie jest oferta dla wielkich mafiozów, ale drobne szujki i tak ładne sumki mogą wyprać. No i zawsze można te operacje zwielokrotnić, bo tych kart/kont można posiadać w cholerę, nie ma ograniczeń. Można kupić sobie np. 100 takich kart pre-paydowych do których jest przypisane konto elektroniczne i jazda z praniem!
Jestem ciekaw czy w Europie też jest tak łatwo kupić pre-payda i robić anonimowe przelewy?
Może ktoś na forum ma doświadczenia z pre-paydami z innych krajów niż Polska i podzieli się z nami swoimi spostrzeżeniami?
Edit – dokładnie tyle informacji można wycisnąć z tego,co jest na stronie tej spółki (piszę,żeby nie było,że d… ze mnie a nie researcher):
http://www.polskistandardplatnosci.pl/
Co z tego można wycisnąć:
-Oczywiście wszystko co jest sugeruje,że raczej głównie pod smartfony,że kod złożony z 6 cyfr (wygląda na mało), który wygasa po 2 minutach.
-PSP może będzie mieć serwer albo będzie koordynatorem – a banki będą dysponować własnymi aplikacjami klienckimi i same będą generować kod do autoryzacji.
– prawdopodobnie aplikacje będą pod smartfony,na różnych platformach.Zapowiadają w każdym razie Android, iOS i Windows Phone może Blackberry i Symbian.
Słowem – można sobie pogdybać i tyle,szczegółów brak.
o, to ty, fajoskiego masz bloga :)
ps. wreszcie znam twój nick, więc spodziewaj się, że już za niedługo będę miał twój adres
O k****!!! Widziałem już dziś zbyt wiele internetu…
dobry art Adam. Niebezpiecznik jest bardziej na luzie ale z3s wymiata
Ad personam. Bez zaczepek do Nbzpcznk. Bez tej strony, ZTS3, Securaka i kilku innych, papke bysmy zarli niz inspirujaco-ciekawe srodowiskowo tresci. A tak milo poczytac i tu i tam. Zawsze mozna pobujac sie na wspomnianym pudelku z hearthbleedem Angeliny Dzoli. eol
Ad rem. Czekamy na viagre na wifi/bt z 768b patentem o numerze 4.405.829.
Ciekawe czy BIOS postawia na Phoenixie?
„Oczywiście kartę pamięci można szyfrować, jednak pokażcie nam użytkownika, który to robi…”
hmmm…..obecny? W sumie skoro już szyfruję mondregofona to i karte SD wypada, si? :)
Ciekawe czy można taki sprzęt podłączyć pod endomondo :P
„W dupie mam wasze security!”
;)
Mam pytanie, choć zapewne powinienem zgłosić się bezpośrednio do redakcji…
Dlaczego niektóre z moich komentarzy są publikowane, a niektóre nie? Nie chodzi mi o proces moderacji, którego tutaj nie ma; po prostu czasem po naciśnięciu „wyślij komentarz” pojawia się mój komentarz, a czasem nie, bez żadnego powodu, nie odkryłem też żadnego schematu.
Jeśli dostajesz przy tym error 503 to mogłeś zapomnieć wypełnić któreś z potrzebnych pól. A jeśli to inny przypadek, to potrzebuję więcej informacji – pisz na adres z kontaktu.
Napiszę później na adres kontaktowy. Problem w tym, że nie ma żadnego błędu, komentarz po prostu nie jest publikowany. Mam tak od samego początku przygody z wami, czyli gdzieś od roku.
jedno pytanie ale po co?