в ноябре 2019 года канал CNBC. Как рассказали журналисты, причиной отказа от ношения фитнес-трекеров их владельцы называли именно то, что они беспокоятся о своей приватности. При этом качество устройства и характеристики трекеров Fitbit пользователей вполне устраивали.
Многие IT-специалисты знают, предупреждают и даже показывают своим примером, что взломать «умный» гаджет, иногда таким образом получив доступ к персональным данным всех пользователей девайса, в общем-то несложно. Так, осенью 2019 года по соцсетям разошлась история, рассказанная девушкой-хакером Анной, которая, сама того не ожидая, получила доступ ко всем автоматическим кормушкам для животных от китайской фирмы FURRYTAIL (орфография автора поста сохранена).
«…Вот эти автоматические кормушки продаются по пять тыщ рублей минимум. Добротный девайс, надо сказать. Работает хорошо. Сейчас я продолжала изучать их API и случайно получила доступ ко всем кормушкам этой модели в мире. У меня на экране бегают логи со всех существующих кормушек, я вижу данные о вайфай-сетях бедных китайцев, которые купили себе эти устройства. Могу парой кликов неожиданно накормить всех котиков и собачек, а могу «наоборот» лишить их еды, удалив расписания с устройств. Вижу, сколько у кого в миске корма сейчас лежит.
Не представляю сейчас, что с этим делать, это мой самый успешный (и неожиданный) взлом, так что я немного в ступоре».
Эта же девушка на своей странице в соцсети рассказала о том, как можно удаленно управлять самокатами Xiaomi M365 и Ninebot ES1/2/4, объяснив их уязвимости особенностями непродуманного изначально протокола, который, как выяснилось, вообще не предполагает какой-либо авторизации пользователей. То есть ошибки в протоколе просто невозможно исправить, можно лишь полностью поменять протокол, что равноценно выпуску новой модели самоката Xiaomi. Вот что пишет Анна в соцсети (орфография автора сохранена):
«Да, самокаты можно запаролить, но знаете, как проверяется авторизация? Приложение шлет запрос самокату «эй, вот этот пароль правильный?» и получает ответ «да, все ок» или «нет, он неправильный». Если получает первый ответ, приложение рисует вам интерфейс управления самокатом, а если второй, выводит ошибку. Только вот никакая сессия не устанавливается, а все дальнейшие запросы выполняются без паролей и ключей. Это просто проверка… Вы можете вырезать ее из приложения и делать с самокатом что угодно. Это я выяснила, когда интегрировала статус самоката в систему умного дома.
Поверьте, такие уязвимости не допускаются случайно, это просто изначальное нежелание нормально продумывать протокол… На самом деле приложение завершает регистрацию еще до того, как просит вас нажать кнопку. А если вы ее не нажмете, регистрация просто сбрасывается. Если почитаете мой разбор протокола, вы поймете, что можете управлять соседскими чайниками, даже не имея физического доступа в квартиру».
Скорее всего, таких случаев множество, просто далеко не все они оказываются на страницах СМИ и социальных медиа. А ведь в бэкдорах