Xiaomi M365 roller saab häkkinud kiirendada või peatada


Elektriliste motorollerite laevastikud, mis on üleujutatud, on piisavalt murettekitavad. Nüüd lisage nimekirja küberjulgeoleku probleemid: mobiilse turvafirma Zimperium uurijad hoiatavad, et Xiaomi populaarsel M365-mootoril on murettekitav viga. Viga võib võimaldada ründajal kaugelt üle võtta mis tahes motorollerid, et juhtida selliseid olulisi asju nagu ahem, kiirendus ja pidurdamine.

Zimperiumi tarkvarauuringute direktor Rani Idan ütleb, et ta leidis ja suutis ära kasutada viga mõne tunni jooksul pärast M365 turvalisuse hindamist. Tema analüüsis leiti, et motorollerid sisaldavad kolme tarkvarakomponenti: aku juhtimine, riistvara ja tarkvara vahel koordineeritav püsivara ning Bluetooth-moodul, mis võimaldab kasutajatel nutitelefoni rakenduse kaudu oma rolleriga suhelda. Viimane jätab seadmed lahti eksponeerituks.

Idan leidis kiiresti, et ta võib Bluetoothiga ühendada motorolleriga, ilma et ta oleks kohustatud parooli sisestama või muul viisil autentima. Sealt võib ta minna sammu võrra kaugemale ja paigaldada rollerile püsivara ilma süsteemi kontrollimiseta, et see uus tarkvara on ametlik ja usaldusväärne Xiaomi värskendus. See tähendab, et ründaja võib kergesti ründajale pahavara panna, andes talle täieliku käsu.

„Olin võimeline kontrollima mõnda motorolleri funktsiooni ilma autentimiseta ja installima pahatahtlikku püsivara,” ütleb Idan. „Ründaja võib järsku pidurdada või kiirendada isikut liikluseks või mis tahes halvima stsenaariumi järgi, mida te kujutate.”

Kahjuks ei ole Bluetoothi ​​rakendamisega seotud probleemid, eriti nõrgad või puuduvad autentimismehhanismid, midagi uut internetis asuvate seadmete puhul. Samuti jäetakse sageli tähelepanuta tarkvara terviklikkuse ja usaldusväärsuse kinnitamiseks kasutatavad „terviklikkuse kontrollid”. Kuid kuigi need võivad kaasa tuua igasuguseid reaalseid eraelu puutumatuse ja turvalisuse riske, on need ilmselt eriti problemaatilised seadmetes, mis võivad ohustada kasutaja füüsilist turvalisust.

„Ma ei suutnud juhtida mingeid skuuterite funktsioone ilma autentimiseta."

Rani Idan, Zimperium

2017. aastal leidsid uurijad Segway MiniPro tõukeplaatides sarnaseid vigu, kuid Hiina motorolleritootja Ninebot'i omanduses olev ettevõte töötas probleemide lahendamiseks. Zimperium on mures selle pärast, mis juhtub Idani tulemustega, sest kui firma Xiaomoga ühendust võttis, et avalikustada vead, siis ütles roller tegija, et ta on probleemist teadlik ja tal ei ole võimalust seda ise lahendada.

See on ilmselt sellepärast, et Xiaomi kasutab oma Bluetoothi ​​rakendusmooduli kolmandast osapoolest arendajast, selle asemel, et kodeerida seda ettevõttesiseselt. Xiaomi ei vastanud mitmetele WIREDi kommentaaride taotlustele. Kuid firma ütles Zimperiumile, et „see on teadaolev probleem sisemiselt. Küsimus on avalikustatud. Kuna tegemist on kolmanda osapoole koostöötoodetega, püüame ka üksteisele lahendusi edastada. "

Vahepeal on M365 motorollerid haavatavad hulga ülevõtmisrünnakute suhtes. Scooteriga ühendav kasutajarakendus pakub võimalust seadistada eraldi seadmetele juurdepääsuks parool. Aga kui Idan lõi nõrkuste testimiseks mõiste Android ja iOS rakendused, leidis ta, et süsteem ei nõua väljaspool Bluetoothi ​​ühendust autentimiseks isegi siis, kui ametlikus rakenduses on parool seadistatud.

Zimperium võtab selle kontseptsioonitõendi Android-versiooni avaldamise ehk vastuolulise sammu, püüdes tõestada probleemi kiireloomulisust ja hoiatada nii palju inimesi kui võimalik. Zimperiumi tehnoloogiajuht John Michelsen väidab, et see on ainus turvaelementide uurija, kes peab motiveerima vastutustunnet mittevastavates IT-ettevõtetes ja elektroonikatootjates üldiselt.

Xiaomi M365 motorollerid on populaarne tarbijate valik ja neid on isegi kasutanud sõiduvahetusettevõtted nagu Lyft ja roller-spetsiifiline teenus Bird. M365 kohandatud versioon oli Birdi esimene rollerimudel, kuid ettevõte on alustanud selle uurimistegevusega mitteseotud järk-järgult.

„IoT-seadmed on kõikjal – meie isiklikus ruumis, hoides meie kõige tundlikumaid andmeid ja meie igapäevaelust,” ütleb Idan. „Arvatavasti arvate, et need seadmed rakendaksid parimaid võimalikke turvakaitsemeetmeid, kuid kahjuks ei ole see alati nii.”

Arvestades kasutajate võimalikku ohtu, on Xiaomi jaoks ülioluline reageerida uuringule ja leida viis, kuidas väljastada tugevamaid Bluetoothi ​​kaitsemeetmeid. Vahepeal jätkake ametlike värskenduste rakendamist ja kandke alati kiivrit.


Suuremad WIREDi lood