Презентация на DEF CON, в воскресенье утром в 10 часов в Лас-Вегасе. Я ожидал, что будет мало посетителей – как же я ошибался. Полный зал приветствовал Денниса Гизе, известного эксперта по «взлому» роботов-пылесосов. Тема презентации была посвящена тому, как заставить ваш робот-пылесос не отправлять данные обратно производителю, и обсуждались вопросы конфиденциальности и безопасности.
В прошлом месяце мой коллега Роман Куприк опубликовал статью на WeLiveSecurity, в которой подробно рассказывалось, как эти домашние пылесосы могут шпионить за своими владельцами. Поэтому я не буду углубляться в детали потенциальных проблем слежки, а лучше обсужу самые яркие моменты блестящей презентации Денниса.
Исследовательская группа под руководством Денниса преследовала простую цель – можно ли получить root-доступ к целевому устройству без его разборки? Получение root-доступа, упрощенно говоря, означает получение доступа к базовому программному обеспечению, используемому для управления устройством, и, возможно, его модификацию. В данном случае это создает возможность не для того, чтобы устройство вышло из-под контроля, а для того, чтобы программное обеспечение было изменено с целью не передавать личные данные и вернуть полный контроль владельцу.
Игра слов
Я предполагаю, что к этому моменту вы либо достаточно разбираетесь, чтобы прочитать статью Романа, либо понимаете проблемы конфиденциальности, например, роботы-пылесосы с камерами, отправляющие изображения обратно на серверы поставщика, потенциально идентифицируя все вещи в вашем доме.
Одна из проблем, освещенных Деннисом, заключается в том, что заявления поставщиков могут не соответствовать действительности: например, одна компания, упомянутая в презентации, утверждает, что не отправляет никаких данных в облако, не дублирует данные, и что камеры на ее устройствах предназначены только для защиты объектов в вашем доме от столкновений. Это звучит правдоподобно, но другая функция, указанная для того же устройства, заключается в том, что вы можете получить удаленный доступ к камере и наблюдать за работой устройства. Так как же они это делают, если поток изображений или видео не передается через облачные серверы компании, которые обеспечивают функциональность; возможно, здесь замешано какое-то настоящее волшебство.
Еще одна проблема, поднятая на презентации, касалась формулировок, используемых компаниями для описания функциональности и возможностей продуктов. Из-за плохой прессы в последние годы, связанной с устройствами с камерами, и особенно из-за возможности злоупотребления, некоторые производители, как сообщается, удалили камеры; вместо этого в их документации говорится, что их устройства используют «оптические датчики». Это просто игра слов; это, конечно же, камеры, и на презентации было продемонстрировано, что они способны делать снимки: это камеры.
Презентация содержала более подробные сведения и примеры, которые были столь же шокирующими; также было отмечено, что многие из протестированных устройств, в которых были обнаружены проблемы с конфиденциальностью и безопасностью, сертифицированы некоторыми авторитетными испытательными лабораториями; в качестве примеров сертифицирующих органов были указаны авторитетный немецкий испытательный орган и, в более широком смысле, европейская сертификация устройств.
Заявления против реальности
В блоге Романа он рекомендует проводить расследование устройств перед покупкой, с чем я полностью согласен в большинстве случаев, если бы я не слушал эту презентацию на DEF CON. Очевидно, что, хотя безопасность прошивки и работы этих устройств для сбора пыли улучшилась, потребителю по-прежнему сложно и почти невозможно принять обоснованное решение.
Устройство, которое заявляет, что не передает данные в облако, не имеет бортовых камер и имеет сертификаты безопасности и конфиденциальности от широко уважаемых испытательных лабораторий, казалось бы, соответствует всем требованиям потребителя, заботящегося о конфиденциальности; на самом же деле то, что происходит «под капотом», может быть совершенно иным. Презентация была посвящена не одному производителю или модели, а перечисляла многочисленные случаи того и другого. Пока не будет ясности, я буду продолжать вручную пылесосить свой дом.
Последний комментарий – благодарность Деннису Гизе за такую отличную презентацию в воскресенье утром в Вегасе. Но я призываю вас не разглашать проблемы широкой аудитории, а следовать отраслевым стандартам скоординированного раскрытия информации. Я уверен, что компании-производители роботов-пылесосов оценят это, как и большинство потребителей. Никто не хочет владеть устройством с уязвимостью, для которой нет исправления из-за того, что раскрытие информации не соответствует лучшим отраслевым практикам.