Tin tặc có thể đánh cắp dữ liệu thông qua máy theo dõi thú cưng

Tin tặc có thể lấy cắp dữ liệu thông qua máy theo dõi thú cưng

Lạc mất vật nuôi là một chuyện rất phổ biến trong các gia đình nuôi thú cưng vì vậy vòng cổ thông minh và các thiết bị khác được cho ra đời để giúp theo dõi vị trí của chúng đang dần trở nên phổ biến. Nhưng vấn đề là những thiết bị này có thể bị tin tặc khai thác để đánh cắp dữ liệu nhạy cảm như số điện thoại, vị trí của thú cưng hoặc thông tin mạng gia đình.

Sau khi xem xét một số mô hình được đánh giá tốt, bao gồm Kippy Vita, Nuzzle Pet Activity, GPS Tracker và Whistle 3 GPS Pet Tracker & Activity Monitor, các nhà nghiên cứu đã tìm thấy một số vấn đề cần được quan tâm.

Bluetooth Blues

Một vấn đề phổ biến được tìm thấy trong một số tracker (máy theo dõi) được kiểm tra là sử dụng Bluetooth Low Energy (BLE)-tiện ích được thiết kế riêng cho các ứng dụng cảm biến IoT công suất thấp. BLE về cơ bản kết nối các bộ theo dõi vật nuôi với điện thoại thông minh của chủ sở hữu, nhưng không giống như việc triển khai đầy đủ thông số Bluetooth, BLE không yêu cầu xác thực để ghép nối các thiết bị.

Ví dụ, thiết bị Nuzzle sử dụng thẻ SIM để truyền các tọa độ GPS của vật nuôi, kết nối trực tiếp với điện thoại thông minh qua BLE – mà không cần bất kỳ sự cho phép hoặc kiểm soát truy cập nào. Điều đó có nghĩa là mọi điện thoại thông minh đều có thể kết nối với bộ theo dõi để kiểm soát nó truy cập vị trí của thú cưng, cùng với thông tin trạng thái thiết bị như nhiệt độ và sạc pin (CVE-2018-7043).

Whistle 3 cũng có vấn đề với kết nối BLE. Tiện ích này chuyển tọa độ GPS qua thẻ SIM tích hợp của nó, qua WiFi tới máy chủ (nếu chủ sở hữu cung cấp mật khẩu mạng Wi-Fi) hoặc trực tiếp đến điện thoại thông minh của chủ sở hữu thông qua BLE. Thiết bị nhờ một certain sequence định trước khi nó ghép nối với điện thoại, nhưng các certain sequence này khá là đơn giản dẫn đến việc bên thứ ba có thể suy luận và tái tạo lại, qua đó có thể truy cập vào thiết bị.

Tấn công MITM

Ngoài lỗ hổng trong BLE, một số trình theo dõi đã chia sẻ các lỗ hổng xuất phát từ việc xử lý chứng chỉ và các cơ chế truyền dữ liệu. Chỉ một trong những ứng dụng Android được kiểm tra (Weenect WE301) xác minh chứng chỉ máy chủ của nó và dẫn đến việc các ứng dụng khác lại dễ bị tấn công bởi man-in-the-middle (MITM) attack.

Ngoài việc không xác minh chứng chỉ, nhiều ứng dụng (bao gồm Nuzzle, Link AKC và Whistle 3) lưu trữ dữ liệu không được mã hóa hoặc chuyển dữ liệu chưa được mã hóa sang tệp logcat. Dữ liệu đó có thể bao gồm token xác thực của ứng dụng, vị trí của thú cưng và dữ liệu đăng ký người dùng (bao gồm tên và địa chỉ email). Do đó, một hacker sử dụng hình thức tấn công MITM có thể can thiệp vào dữ liệu trên đường truyền.

Vấn đề về đăng nhập đã được giảm nhẹ trong Android 4.1 và các phiên bản mới hơn và chỉ có một số ứng dụng hệ thống hoặc ứng dụng có quyền superuser mới có thể đọc nhật ký của các chương trình khác.

Các vấn đề khác

Hai trong số các máy theo dõi có thể bị tắt hoặc ẩn khỏi chủ sở hữu.

Ví dụ: có thể cài đặt phần mềm đã chỉnh sửa trên máy theo dõi Nuzzle bằng cách thay đổi tổng kiểm tra trong tệp DAT – điều này có thể được sử dụng để làm cho thiết bị ngừng hoạt động. Và có lẽ tồi tệ nhất, kẻ tấn công có thể che giấu vị trí của vật nuôi bằng cách kết nối với bộ theo dõi bằng điện thoại thông minh.

Kẻ tấn công cũng có thể ẩn Whistle 3 khỏi chủ sở hữu vật nuôi; nếu tin tặc liên tục truyền lệnh cho vị trí thiết bị, tiện ích sẽ không gửi dữ liệu vị trí qua thẻ SIM vì nó sẽ giả định rằng dữ liệu đó đã được nhận trực tiếp. Ngoài ra, nó truyền dữ liệu đến máy chủ mà không cần bất kỳ xác thực nào, vì vậy kẻ tấn công có thể thay thế tọa độ vật nuôi.

Hầu hết các thiết bị đều được kết nối với Internet vì tiện ích mà nó đem lại cho người dùng, từ bộ điều nhiệt đến Amazon Echo.  Giờ đây việc cung cấp các ứng dụng tiện lợi và an toàn cho người tiêu dùng không chỉ làm cho cuộc sống của họ dễ dàng hơn mà còn dễ bị tấn công hơn.