ESET сообщает об обнаружении уязвимостей в двух популярных интимных игрушках. В частности недостатки безопасности имеющиеся в приложениях, с помощью которых происходит управление аксессуарами.
Уязвимости позволяют установить вредоносный код на телефон , изменить встроенное программное обеспечение в игрушке или даже намеренно модифицировать устройство, чтобы причинить физический вред пользователю .
В рамках исследования специалисты ESET проанализировали две популярные игрушки на рынке – Jive производства компании We-Vibe и Max поставщика Lovense. Для этого исследователи загрузили из магазина Google Play программы для управления девайсами (We-Connect и Lovense Remote) и использовали методы прямого анализа и поиска уязвимостей.
We-Vibe
Jive компании We-Vibe является портативным устройством, поэтому может использоваться в незащищенных средах. В ходе анализа выявлено, что игрушка постоянно сообщает о своем присутствии для облегчения соединения. Это означает, что каждый, кто имеет Bluetooth-сканер может найти девайс в своем радиусе на расстоянии до восьми метров. Таким образом потенциальные злоумышленники могли идентифицировать устройство и использовать мощность сигнала. Для получения контроля даже ненужный официальное приложение производителя, поскольку в большинстве браузеров есть соответствующие функции для упрощения управления.
Игрушка Jive использует наименее защищен метод соединения BLE, поэтому временный код ключа, используемого аксессуарами, равняется нулю. Таким образом подключиться к ним может любое устройство, используя ноль как ключ. Игрушка уязвима к MitM-атак, поскольку неподключенный Jive может автоматически соединяться с любым мобильным телефоном, планшетом или компьютером, который требует этого, без проверки и аутентификации .
Lovense
Поскольку Max производства компании Lovense синхронизируется с удаленным аналогом, злоумышленник может взять под контроль оба устройства после инфицирования только одного из них. Однако мультимедийные файлы, полученные с удаленного устройства, не содержат метаданных. Также приложение предлагает возможность настроить четырехзначный код разблокировки с помощью сетки кнопок, что затрудняет атаки методом подбора пароля.
Угрозу для конфиденциальности данных пользователей могут представлять некоторые особенности программы, например, возможность пересылки изображений третьим лицам без согласия собственника , а удаленные или заблокированные пользователи имеют доступ к истории чата и всем ранее совместным мультимедийным файлам. Max также не использует аутентификацию для соединений BLE, поэтому с помощью MitM-атаки злоумышленники могут перехватить соединения и отправлять команды для управления девайсом .
Обоим разработчикам был отправлен подробный отчет об уязвимостях и предложения по их устранению, и на момент публикации все недостатки были исправлены.
«Хотя безопасность на данный момент, вероятно, не является приоритетной задачей для многих производителей интимных игрушек, владельцы таких девайсов могут применить дополнительные меры для собственной защиты, например, избегать использования устройств в общественных местах. Пользователи должны оставлять умную игрушку подключенной к своему мобильному приложения при использовании, поскольку это не позволит девайсу сообщать о своем присутствии потенциальным киберпреступникам, – отмечают исследователи ESET. – С развитием рынка интимных игрушек производители должны уделять больше внимания проблемам кибербезопасности, поскольку каждый имеет право использовать безопасные и надежные технологии».
Чтобы минимизировать риски при использовании разумных интимных комплектующих, специалисты ESET рекомендуют придерживаться таких советов:
- Некоторые программы предлагают возможность локального управления устройствами через BLE без создания учетной записи пользователя. Если вы не планируете позволять другим пользователям удаленно управлять игрушкой через Интернет, подберите одно из таких приложений.
- Избегайте обмена фотографиями или видео и не публикуйте токены дистанционного управления в Интернете.
- Пр регистрации в подобных приложениях не используйте настоящего имени и фамилии или адреса электронной почты, которая может вас идентифицировать. Подумайте о создании новой учетной записи исключительно для этих программ.
- Всегда просматривайте использование программ и веб-сайтов, на которых вы регистрируетесь. Обратите особое внимание на разделы, в которых говорится о собранных данных и их обработке.
- Выключайте игрушку и Bluetooth, когда они не используются.
- Обеспечьте защиту мобильных устройств, с помощью которых управляете игрушкой, загрузив надежное решение по безопасности .
- Защитите домашнюю сеть Wi-Fi, используя надежные пароли, безопасные алгоритмы шифрования и применяя регулярные обновления встроенного программного обеспечения роутера.
