Hakowanie wibratorów, czyli nowy wymiar testów penetracyjnych

dodał 2 lutego 2015 o 17:32 w kategorii Prywatność  z tagami: • • •
Hakowanie wibratorów, czyli nowy wymiar testów penetracyjnych

Jak wiadomo do internetu można już podłączyć wszystko. Nic dziwnego, że ktoś wpadł na pomysł, by podłączyć także wibrator. Nie powinno także dziwić to, że ktoś inny spróbował takie urządzenie zhakować.

Dzień, w którym świat obiegnie wiadomość o hakowaniu erotycznych zabawek podłączonych do sieci musiał kiedyś nadejść. Co prawda odkryte do tej pory błędy nie wróżą katastrofy, ale wpadki o poważniejszych konsekwencjach są tylko kwestią czasu.

Teledildonics, czyli rozkosz na odległość

Skoro erotyczne zabawki dla pań i panów mogą być sterowane zdalnie, to pewnie niejedna firma wpadła na pomysł, by podłączyć je do internetu. Jeden z producentów takich gadżetów działający pod marką Lovense nazwał swój biznes „teledildonics”. Oferuje on dwa modele: Nora, czyli wibrator kobiecy oraz Max, czyli męski masturbator. Oba urządzenia mogą być zarówno sterowane bezprzewodowo za pomocą smartfonów jak i mogą zostać „sparowane” i korzystając z łącza internetowego mogą przenosić nawzajem swoje ruchy. Oszczędzimy już szczegółów anatomicznych, bo to w końcu nie jest blog „lajfstajlowy”, a jeśli kogoś temat głębiej interesuje to polecamy odwiedziny na stronie producenta.

Nora oraz Max (źródło: Forbes)

Nora oraz Max (źródło: Forbes)

Oczywiście każde urządzenie podłączone do internetu prędzej czy później musiało znaleźć się w rękach specjalisty zajmującego się bezpieczeństwem. Niejaki Ken Munro z firmy Pen Test Partners postanowił przyjrzeć się zabezpieczeniom erotycznych gadżetów i podzielił się swoimi odkryciami z producentem oraz magazynem Forbes.

Niebezpieczny seks

Jedną z funkcji oferowanych przez producenta jest usługa „Body Chat”. Jej użytkownicy mogą zarejestrować się na specjalnym portalu i połączyć się nie tylko przez czat wideo, ale także swoje dodatkowe gadżety. Niestety program obsługujący czat przesyła login i hasło użytkownika bez szyfrowania. Jedynie hasło jest zapisane w formie funkcji skrótu – lecz tylko MD5. Oznacza to, że w razie skutecznego ataku MiTM (np. przez słabo zabezpieczoną sieć WiFi) przejęcie konta użytkownika nie powinno być dużym problemem.

Drugim obszarem ryzyka są nagrania wideo. W razie gdy użytkownik zdecyduje się zapisać fragment sesji z gadżetem, pliki wideo zapisywane są na zewnętrznej karcie pamięci. Rozwiązanie to ma wiele wad. O ile odzyskiwanie plików z pamięci wewnętrznej urządzeń mobilnych nie jest trywialnym zadaniem, o tyle odczytanie skasowanych plików z karty pamięci nie stanowi problemu. W razie zgubienia lub sprzedania smartfona nie jest trudno przez przypadek ujawnić nagrania swoje lub swojego partnera/partnerki. Oczywiście kartę pamięci można szyfrować, jednak pokażcie nam użytkownika, który to robi…

Konsekwencje i przyszłość

Producent szybko zareagował na zgłoszenia i w najbliższej aktualizacji aplikacji wprowadzi obsługę HTTPS i zamieni MD5 na funkcję RSA (warto pewnie sprawdzić, gdzie będzie zapisany klucz prywatny). Odkrycia badacza nie wyglądają na bardzo poważne – dużo gorzej mogło brzmieć np. zdalne przejmowanie sterowania erotycznym gadżetem. Nie wiemy jednak, czy brak takiej informacji oznacza dobry poziom zabezpieczeń aplikacji czy tylko brak wystarczających umiejętności osoby aplikację testującej. Spodziewany się jednak, że w ślady wspomnianego badacza szybko pójdą inni specjaliści i będziemy mieli okazję przeczytać jeszcze niejeden sensacyjny artykuł na temat testów penetracyjnych.

Podobne wpisy