Článek
Kromě prozrazení přesné polohy mohou výrobní nedostatky umožnit třetím stranám zneužít zařízení i jinak – například odposlouchávat na dálku uživatele prostřednictvím mikrofonu.
Nejde přitom o problém jednoho či dvou modelů. Bezpečnostní experti Avastu odhadují, že takto je možné zneužít na 600 000 lokátorů, které se prodávají napříč celým světem. Závažné bezpečnostní chyby byly odhaleny například v zařízeních T8 Mini GPS tracker a v dalších téměř třiceti modelech téhož výrobce, společnosti Shenzhen i365 Tech.
Výrobce nereaguje, náprava v nedohlednu
„Když jsme zjistili všechny chyby, snažili jsme se je sdělit přímo samotnému výrobci. Protože však ve standardní době nezareagoval, rozhodli jsme se naše poznatky předat přímo zákazníkům. Důrazně proto doporučujeme, aby lidé tato zařízení přestali používat,” prohlásil bezpečnostní expert Avastu Martin Hron, který výzkum vedl.
V současnosti totiž nejsou uživatelé nijak chráněni proti zneužití. A vzhledem k tomu, že výrobce na výzvu výzkumníků nereagoval, nic nenasvědčuje tomu, že by se situace v dohledné době změnila.
Bezpečnostní expert poukazuje také na to, že problémy se týkají především levnějších modelů, které nepochází z dílen renomovaných výrobců. „Lidé by měli raději volit alternativu od důvěryhodnějších značek, které mají produkty s vestavěným zabezpečením, konkrétně pak bezpečné přihlášení a silné šifrování dat,“ konstatoval Hron.
Ten zároveň lidem doporučil, jak postupovat v případě, kdy chtějí používat GPS trackery s chybami i nadále. „Stejně jako u jakéhokoli běžného zařízení doporučujeme změnit výchozí heslo na něco složitějšího,“ podotkl bezpečnostní expert s tím, že to stíží práci počítačovým pirátům.
„V tomto případě však ani to nezabrání odhodlanému útočníkovi proniknout do nešifrovaného datového toku,“ zdůraznil Hron.
Na dálku odposlouchávají uživatele
A co všechno tedy mohou útočníci prostřednictvím objevených chyb v GPS lokátorech dělat? Zavolat na telefonní číslo a umožnit třetí straně tajně odposlouchávat přes mikrofon lokátoru. Poslat SMS zprávu, což by mohlo být použito k identifikaci telefonního čísla zařízení a SMS zpráva by tak mohla být použita k útoku.
Použít SMS k přesměrování komunikace ze zařízení na alternativní server za účelem získání plné kontroly nad zařízením nebo sledování informací zasílaných do cloudu. Sdílet URL adresu lokátoru, což umožní vzdálenému útočníkovi do zařízení umístit nový firmware, aniž by se jej dotkl, což by mohlo zcela změnit funkce zařízení nebo do něj umístit zadní vrátka.
„Jako rodiče máme sklon důvěřovat technologiím, které slibují ochranu našich dětí. Vždy ale musíme mít dobrý přehled o výrobcích, které kupujeme. Dejte si pozor na všechny výrobce, kteří nesplňují minimální bezpečnostní standardy nebo nemají certifikáty či potvrzení třetích stran. Nakupujte jen takové značky, kterým důvěřujete, že vaše data ochrání – vyšší cena stojí za to mít jistotu,“ uzavřela Leena Elias, expertka na mobilní bezpečnost z Avastu.
Může se vám hodit na Zboží.cz:
