กรณีแฮกเกอร์โจมตีของเล่นเชื่อมต่ออินเทอร์เน็ตใหม่: ยืนยันว่ายังไม่ปลอดภัย

เรื่องนี้กลายเป็นประจำปี: หลายสัปดาห์หลังคริสต์มาส มีผู้ค้นพบว่า "ของเล่นเก๋ๆ" ที่เชื่อมต่ออินเทอร์เน็ต จริงๆ แล้วเป็น ช่องโหว่ความปลอดภัยและความเป็นส่วนตัวอย่างใหญ่โต ความปลอดภัย — และอาจรวมถึง ชีวิต — ของเด็ก ถูกวางไว้ในอันตราย

และยังไม่มีใครรับผิดชอบอย่าง主动

ลูกของคุณใช้ของเล่นออนไลน์ ที่เชื่อมต่อ Wi-Fi บ้านไหม? ถ้าใช่ สิ่งต่อไปอาจเป็นความกังวลมาก...

เยอรมนี ห้ามของเล่นพูดได้ "Cayla"

กุมภาพันธ์ 2017 องค์การเยอรมนี ห้ามขายตุ๊กตาพูดได้ยอดนิยม ชื่อ "Cayla" แม้มีคำแนะนำให้พ่อแม่ ทำลายของเล่น แตไม่ได้บังคับ

การห้ามมาจากการสาธิต Proof-of-concept ช่องโหว่ในของเล่น ที่ขายทั่วโลก

Cayla แนวคิดน่ารัก: เชื่อมอินเทอร์เน็ตผ่าน Bluetooth และสมาร์ทโฟน ตอบคำถามด้วย Voice Recognition และ Google ตามหน่วยงานโทรคมนาคมเยอรมนี: การสนทนาระหว่างเด็กและคนรอบๆ ในระยะของตุ๊กตา อาจถูกบันทึกเสียง... หรือส่งต่อไปที่อื่น

“บริษัทอาจใช้ของเล่นเพื่อโฆษณาเป้าหมายเด็กหรือพ่อแม่ อีกทั้ง หากลิงก์วิทยุไม่ได้รับการรักษาความปลอดภัยโดยผู้ผลิต อย่างเหมาะสม ของเล่นอาจถูกฝ่ายใกล้เคียงใช้ฟังลือบทสนทนา”

แตปัญหาจริงคืออะไร? ของเล่นตอบคำถาม ช่วยเด็กเรียนรู้ได้ดีไหม? ปัญหาคือ การดำเนินการ: การเชื่อมต่อ Bluetooth ที่ไม่ปลอดภัย พื้นฐานคือ ตัดต้นทุน — เลือกทางลัด แทนการทำให้ของเล่นที่อาจเปลี่ยนชีวิต มีความแข็งแกร่ง

คุณหรือลูกมีตุ๊กตา Cayla อยู่ไหม? เราเสนอ: ทำลายอุปกรณ์แบบนั้น overkill แตหากกังวลความสามารถในการเก็บรายละเอียดความเป็นส่วนตัว เราแนะนำ... ปิดมันไว้ เพราะสิ่งที่บันทึกเสียงและบทสนทนา — เป็นความเสี่ยง ไม่ได้แค่เด็ก แตครอบครัวทั้งครอบครัว

แฮ็กฐานข้อมูลรั่วไหล บันทึกเสียงเด็ก

คุณซื้อ CloudPet ให้ลูก หรือหลาน เพื่อน ครั้งคริสต์มาสที่ผ่านมาไหม?

ของเล่นนี้อยู่กึ่งกลางการรั่วไหลข้อมูลโหดร้าย: เสียงเจ้าของ (และเพื่อน/ครอบครัว) ถูกบันทึก เก็บในฐานข้อมูลไม่ปลอดภัย และรั่วไหลออนไลน์

ชี้แจง: นั่นคือ 2 ล้านบันทึกเสียง ที่โดนแฮ็ก โอ้ และถูกคุกคามขอค่าไถ่ Bitcoin ทั้งเพราะ ผู้ผลิต CloudPets คือ Spiral Toys ตัดต้นทุน เวลา และความพยายาม เก็บข้อมูล (ข้ามว่าควรบันทึกหรือไม่) ในฐานข้อมูล MongoDB

(ปัญหา MongoDB: ไม่ปลอดภัยโดยค่าเริ่มต้น ต้องทำขั้นตอนเพิ่มเติมเพื่อรักษาความปลอดภัยข้อมูลที่เก็บแบบนี้)

แตยิ่งแย่: นักวิจัยความปลอดภัย Troy Hunt พยายามติดต่อ CloudPets หลายครั้ง แจ้งการแฮ็ก และความไม่ปลอดภัยในของเล่น (รหัสผ่าน 3 ตัวอักษร ไม่แฮช; ข้อมูล test/staging/production และเว็บไซต์ อยู่เซิร์ฟเวอร์เดียวกัน)

เรื่องราวน่าสะพรึงทั้งหมด: ขอ Bitcoin คืนข้อมูล บริษัทปฏิเสธตอบสนองนักวิจัยและสื่อ พ่อแม่เยอะ ไม่รู้ว่าของเล่นโปรดลูก คือความเสี่ยงออนไลน์ ณ ตอนเขียน CloudPets และ Spiral Toys ไม่ได้แจ้งเตือนพ่อแม่

ไม่ว่าคุณจะคิดว่าการบันทึกและรั่วไหลข้อมูล เป็นปัญหาหรือไม่ บริษัทที่ปฏิเสธไม่ติดต่อในประเด็นแบบนี้ — ไม่ใช่บริษัทที่คุณควรใช้ผลิตภัณฑ์

เราเคยเห็นมาก่อนแล้ว

ปัญหาทั้งหมดนี้: น่าเสียดาย ไม่มีอะไรใหม่ เหมือนอุตสาหกรรม Smart Home ต้นๆ — ซึ่งของเล่นเชื่อมต่อเป็นส่วนขยาย — ผลิตภัณฑ์ดูเหมือนประกอบไปเรื่อยๆ โดยไม่คำนึงถึงความปลอดภัยและความเป็นส่วนตัว

ที่นี่ แนวคิดที่น่าสนใจผู้ออกแบบ มีแค่: กำไร และ ต้นทุนการผลิตต่ำ

2015 เราเห็นโดรนควอดโคปเตอร์ไร้สาย โดนแฮ็กด้วยซอฟต์แวร์ที่ตรงไปตรงมา

ต่อไป 1 ปี พบว่า ไม่ได้แค่ VTech ยักษ์อิเล็กทรอนิกส์เด็ก โดนแฮ็ก (สูญเสีย 6 ล้านบัญชีข้อมูลเด็ก) แตพวกเขายังวางภาระความเป็นส่วนตัวและความปลอดภัย บนผู้บริโภค

ทุกครั้ง เราเน้นวิธีคุ้มครองข้อมูลคุณ และลูก และแนะนำให้เรียกร้องมากกว่านี้จากผู้ผลิตของเล่นอัจฉริยะ 简単に: หากของเล่นเชื่อมต่อ ไม่ผ่านเกณฑ์ความปลอดภัย/ความเป็นส่วนตัวพื้นฐาน (การถ่ายโอนข้อมูลปลอดภัย, การป้องกันรหัสผ่าน) และผู้ผลิตไม่เสนอการจัดเก็บข้อมูลที่ปลอดภัย คุณต้อง ลืมของเล่นนั้นไป และไปต่อ

กำลังดีขึ้น

โชคดีที่ สิ่งต่างๆ กำลังเปลี่ยนไป คล้ายตลาด Smart Home หลัก ผู้ผลิตเริ่มรับรู้ความจำเป็นของความปลอดภัยและความเป็นส่วนตัว ปล่อยอุปกรณ์ใหม่ ที่แข็งแกร่งกว่า แตจงระวังของเล่นถูกกว่า ที่มีฮาร์ดแวร์/เฟิร์มแวร์เก่า ปัญหาจะคงอยู่อีกหลายปี ขณะที่ผู้ผลิตพยายามขายสต็อกเก่า ที่ไม่ปลอดภัย ในราคาส่วนของราคา

คุณมีของเล่นเชื่อมต่อที่กังวลไหม? หรือคิดว่าไม่มีความเสี่ยง? บอกความคิดเห็นด้านล่างครับ