آسیب‌پذیری‌هایی در ربات اسباب‌بازی!

09 اسفند 1402 آسیب‌پذیری‌هایی در ربات اسباب‌بازی!

روابط عمومی شرکت ایدکو (توزیع‌کننده‌ی محصولات کسپرسکی در ایران)؛ متخصصین کسپرسکی اخیراً امنیت یک مدل ربات اسباب‌بازی را بررسی کردند و متوجه آسیب‌پذیری‌هایی در آن شدند که اجازه می‌داد عاملین مخرب با هر ربات این‌چنینی تماس ویدیویی بگیرند، اکانت والدین را سرقت کنند یا حتی سفت‌افزار دستکاری‌شده را آپلود نمایند. با ما همراه باشید تا این تهدید را بیشتر بررسی کنیم.

مگر یک ربات اسباب‌بازی چه کارهایی از دستش برمی‌آید؟

مدل اسباب‌بازی رباتی که ما بررسی کردیم نوعی هیبرید اسمارت‌فون تبلت است و بلندگوی هوشمند چرخ‌داری دارد که به آن اجازه حرکت می‌دهد. این ربات دست و پا ندارد پس گشتن در کل خانه می‌تواند تنها گزینه‌ آن در تعامل فیزیکی با محیطش باشد. بخش مرکزی ربات را یک تاچ‌اسکرین بزرگ تشکیل داده که می‌تواند رابط کاربری کنترلی را نمایش دهد. این در واقع اپ یادگیری تعاملی مخصوص کودکان است که صورت کارتونیِ بامزه‌ای هم دارد که حالاتش بنا بر زمینه‌های مختلف تغییر می‌کند: باید اعتراف کنیم توسعه‌دهندگان در این بخش گل کاشتند. شما می‌توانید با فرمان‌های صوتی ربات را کنترل کنید اما برخی قابلیت‌های آن از این فرمان‌های صوتی پشتیبانی نمی‌کنند پس گاهی باید ربات را بگیرید و صورتش را که نمایشگر درون‌سازه‌ای است سیخونک بزنید! افزون بر میکروفون درون‌سازه‌ای و بلندگوی بلندش، این ربات دوربین زاویه بازی بالای اسکرینش دارد. قابیت کلیدی‌اش از سمت فروشنده، توانایی خانواده در برقراری تماس ویدیویی با کودکانشان از طریق همین ربات است.

در قسمت جلویی، تقریباً در نیمه راه بین اسکرین و چرخ‌ها یک حسگر شناسایی اشیاء به شدت نوری وجود دارد که کمک می‌کند ربات با اجسام برخورد نکند. شناسایی موانع کاملاً از دوربین اصلی مستقل عمل می‌کند و توسعه‌دهندگان به طور کارامدی یک شاتر فیزیکی هم افزودند که تماماً دوربین دوم را کاور می‌کند. پس اگر نگرانید کسی ممکن است با آن دوربین شما یا فرزندتان را جاسوسی کند (البته بعداً فهمیدیم بی‌دلیل هم نیست چنین نگرانی‌ای وجود دارد) می‌توانید شاتر را ببندید. و اگر نگرانید کسی روی میکروفون درون‌سازه‌ای استراق سمع کند می‌توانید ربات را خاموش کنید (و با توجه به زمانی که بوت کردنش می‌برد، حقیقتاً خاموشی خوبی است و نمی‌شود "حالت خواب" فرضش کرد). همانطور که می‌شود انتظار داشت، اپی مخصوص کنترل و نظارت اسباب‌بازی، استفاده‌اش برای خانواده هم امکان‌پذیر است. و خوب الان می‌شود این حدس را هم زد که همه اینها به اینترنت وصل است و کلی سرویس کلود آن زیر در حال کار کردن هستند! طبق معمول، هرقدر سیستمی پیچیده‌تر، احتمال وجود حفره‌های امنیتی بیشتر. که همین باعث می‌شود کسی سعی کند این حفره‌ها را اکسپلویت کند. ما بعد از بررسی‌های دقیق روی این ربات به چندین آسیب‌پذیری جدید برخوردیم که در ادامه آن‌ها را توضیح داده‌ایم:

برقراری تماس ویدیویی غیرقانونی

اولین چیزی که در طول تحقیق‌مان برخوردیم این بود که عاملین مخرب می‌توانستند با هر رباتی از همین نوع ارتباط بگیرند. سرور فروشنده توکن‌های سشن ویدیویی را به هر کسی که هم آی‌دی ربات را داشت و هم آی‌دی خانواده صادر کرده بود. آی‌دی ربات را آسان می‌شد جستجوی فراگیر کرد: هر اسباب‌بازی آی‌دی نه کاراکتری داشت و شماره سریالی هم روی بدنش پرینت شده بود و البته دو کاراکتر اولی برای هر واحد یکسان بود. و شناسه والدین را می‌توان با ارسال درخواستی با شناسه ربات به سرور سازنده بدون هیچ گونه احراز هویت به دست آورد. بنابراین، مهاجم که می‌خواست با یک کودک رندوم تماس بگیرد، می‌توانست شناسه یک ربات خاص را حدس بزند یا با تماس با شناسه‌های رندوم، بازی رولت چت[1] انجام دهد.

سرقت اکانت والدین به طور کامل

ماجرا به همین جا ختم نمی‌شود: این سیستم ساده لوح به هر کسی که شناسه ربات دارد اجازه می‌دهد اطلاعات شخصی زیادی را از سرور بازیابی کند: آدرس IP، کشور محل سکونت، نام فرزند، جنسیت، سن - به همراه جزئیات حساب والدین: آدرس ایمیل والدین، شماره تلفن و کد. که برنامه والدین را به ربات پیوند می‌دهد.

این به نوبه خود، در را برای حمله‌ای بسیار خطرناک تر باز کرد: ربودن کامل حساب والدین. مهاجم فقط باید چند قدم ساده را انجام می‌داد:

  •         اولین مورد این بود که با استفاده از آدرس ایمیل یا شماره تلفنی که قبلاً به دست آورده بود از دستگاه خود وارد حساب والدین شود. مجوز نیاز به ارسال یک کد شش رقمی یک بار مصرف داشت، اما تلاش برای ورود نامحدود بود، بنابراین اعمال بی‌اهمیت بی‌اهمیت این کار را انجام می‌داد.
  •         تنها با یک کلیک قطع ارتباط ربات از حساب والدین واقعی انجام می‌شود.
  •         بعدی می‌توانست لینک کردنش به حساب مهاجم باشد. تأیید حساب به کد پیوند که در بالا ذکر شد متکی بود و سرور آن را برای همه کاربران ارسال می‌کرد.

یک حمله موفقیت‌آمیز می‌توانست به از دست دادن کامل دسترسی به ربات برای والدین منتج شود. و ریکاوری کردن ان هم نیازمند تماس با پشتیبانی فنی بود. حتی بعدش مهاجم می‌توانست هنوز کل پروسه را از نو انجام دهد چون تنها چیزی که نیاز داشت آ‌ی‌دی ربات بود که دست نخورده باقی مانده بود!

آپلود سفت‌افزار دستکاری‌شده

در آخر، حین بررسی ساز و کار سیستم‌های مختلف این ربات کشف کردیم پروسه آپدیت نرم‌افزار آن نیز مشکلاتی دارد. پکیج‌های آپدیت بدون امضای دیجیتال بودند و ربات یک آرشیو آپدیت به طور خاص فرمت‌شده را در که از سمت سرور فروشنده بدون هیچ تأییدیه اولیه دریافت‌شده بود نصب کرده بود. این خودش راه حمله به سرور آپدیت را باز می‌کرد. مهاجمین می‌توانستند آرشیو را با یک مدل دستکاری‌شده عوض کنند و سفت‌افزار مخرب خود را در آن آپلود کنند که همین اجرای فرمان دلخواه را مجوزهای ابر کاربر روی همه ربات‌ها میسر می‌کرد. به لحاظ تئوری مهاجمین می‌توانستند حرکات ربات را تحت کنترل خود درآورده، از دوربین‌های درون‌سازه‌ای استفاده کرده، میکروفون را برای جاسوسی به کار برده با ربات های دیگر از این نوع تماس گرفته و کلی کارهای دیگر انجام دهند.

راهکار امنیتی

ولی خبر خوب این بود که این داستان پایان خوشی داشت. ما توسعه‌دهندگان اسباب بازی را در مورد مشکلاتی که کشف کرده بودیم مطلع کردیم و آنها اقداماتی را برای رفع آنها انجام دادند. آسیب پذیری‌هایی که در بالا توضیح داده شد همگی رفع شده‌اند.

در پایان، چند نکته برای ایمن ماندن در هنگام استفاده از ابزارهای مختلف هوشمند آورده‌ایم:

  •         به یاد داشته باشید که انواع دستگاه‌های هوشمند - حتی اسباب‌بازی‌ها - معمولاً سیستم‌های دیجیتالی بسیار پیچیده‌ای هستند که توسعه‌دهندگان آن‌ها اغلب از ذخیره‌سازی امن و قابل اعتماد داده‌های کاربر ناتوان هستند.
  •         هنگام خرید دستگاهی، حتما بازخوردها و نظرات کاربران و در حالت ایده آل، گزارش‌های امنیتی را در صورت یافتن آنها از نزدیک بخوانید.
  •         به خاطر داشته باشید که صرف کشف آسیب‌پذیری‌ها در یک دستگاه، آن را پایین‌تر نمی‌کند: مشکلات را می‌توان در هر کجا پیدا کرد. آنچه باید به دنبال آن باشید پاسخ فروشنده است: اگر مشکلی برطرف شده باشد، نشانه خوبی است. اگر فروشنده به نظر اهمیت ندهد، این نشانه خوبی نمی‌تواند باشد.
  •         برای جلوگیری از جاسوسی یا استراق سمع توسط دستگاه‌های هوشمندتان، زمانی که از آن‌ها استفاده نمی‌کنید آن‌ها را خاموش کنید و روی دوربین را ببندید یا چیزی رویش بچسبانید.
  •         در نهایت، ناگفته نماند که باید از تمام دستگاه های اعضای خانواده خود با یک راهکار امنیتی قابل اعتماد محافظت کنید. مسلماً هک ربات اسباب‌بازی تهدیدی عجیب و غریب می‌تواند باشد – اما این روزها احتمال مواجهه با انواع دیگر تهدیدات آنلاین هنوز بسیار زیاد است.

 

[1] chat-roulette game

 

منبع: کسپرسکی آنلاین (ایدکو)

کسپرسکی اسم یکی از بزرگترین شرکتهای امنیتی و سازنده آنتی ویروس است که برخی از کاربران اشتباهاً این شرکت و محصولات آنتی ویروس آن را با عناوینی نظیر کسپرسکای،کاسپرسکی، کسپراسکای، کسپراسکای، و یا کاسپراسکای نیز می‌شناسد. همچنین لازم به ذکر است مدیرعامل این شرکت نیز یوجین کسپرسکی نام دارد.

محصولات مرتبط

  • Kaspersky Internet Security for Android

    امنیت پیشرفته‌ای که همیشه همراه شماست بخش مهمی از زندگی اکثر ما اکنون روی گوشی‌ها و تبلت‌هاست- پس به امنیت موبایلی نیاز دارید که شما را همیشه امن نگه ...

    7,500,350 ریال
    خرید
  • Kaspersky Cloud Password Manager

    Kaspersky Cloud Password Manager ابزار مدیریت کلمه عبور ابری کسپرسکی (KCPM) ضمن ذخیره ایمن تمامی کلمات عبور مورد استفاده شما برای وبسایت‌ها، اپلیکیشن‌ها، و شبکه‌های اجتماعی آنها را در تمامی ...

    11,254,100 ریال
    خرید
  • Kaspersky Safe Kids

    اپلیکیشن همه‌کاره برای فرزندپروریِ دیجیتال و سلامت خانواده نرم افزار امنیت کودکان کسپرسکی، نظارت‌های والدین را آسان می‌کند. ردیابی مکان و عادات دستگاه، محدودسازی محتوا، متعادل‌سازی ...

    1,125,410 ریال11,254,100 ریال
    خرید
  • Kaspersky Security Cloud Personal

    تمام اپ‌های امنیتیِ ما در دستانتان. به کل خانواده‌ی اپ‌های ما برای دسکتاپ و موبایل دسترسی پیدا کنید. از آنتی‌ویروس گرفته تا ابزارهای حریم خصوصی و اجرایی، هر کدام را به میل ...

    75,067,850 ریال
    خرید
  • Kaspersky Standard

    سیستم امنیتی بهبودیافته به همراه تقویت‌کننده عمکرد دستگاه طرح امنیتی استاندارد ما، نه تنها سیستم امنیتی قدرتمندی را برای انواع ویروس‌ها، بدفزارها و باج‌افزارها ارائه می‌دهد ...

    10,617,750 ریال21,235,500 ریال
    خرید
  • Kaspersky Plus

    امنیت. کارایی. حریم خصوصی. همه در یک برنامه با کاربری آسان کسپرسکی پلاس با ارائه امنیت سایبری نسل بعد، شما در برابر ویروس‌ها، باج‌افزارها و بدافزارهای جدید محافظت کند - بدون ...

    15,225,925 ریال30,451,850 ریال
    خرید
  • Kaspersky Premium

    حفاظت کامل از دستگاه ها، حریم خصوصی و هویت شما با محصول Kaspersky Premium تمام نیازهای امنیتی خود و خانواده‌تان را پوشش دهید. حفاظت پیشرفته ...

    16,287,700 ریال32,575,400 ریال
    خرید
  • Kaspersky Small Office Security

    محافظت در حین کار Kaspersky Small Office Security به طور خاص برای سازمان‌هایی طراحی شده است که 5 تا 50 دستگاه کامپیوتر در خود جای داده‌اند. نصب آن بسیار آسان است؛ مدیریت آن ...

    67,563,925 ریال135,127,850 ریال
    خرید
  • Kaspersky Small Office Security

    امنیت ادارات کوچک

    216,208,850 ریال
    خرید
  • Kaspersky Small Office Security

    امنیت ادارات کوچک

    81,077,425 ریال162,154,850 ریال
    خرید
  • Kaspersky Small Office Security

    259,752,350 ریال
    خرید
  • Kaspersky Small Office Security

    94,590,925 ریال189,181,850 ریال
    خرید
  • Kaspersky Small Office Security

    302,545,100 ریال
    خرید
  • Kaspersky Small Office Security

    108,104,425 ریال216,208,850 ریال
    خرید
  • Kaspersky Small Office Security

    346,088,600 ریال
    خرید
  • Kaspersky Small Office Security

    121,617,925 ریال243,235,850 ریال
    خرید
  • Kaspersky Small Office Security

    388,881,350 ریال
    خرید
  • Kaspersky Small Office Security

    123,870,175 ریال247,740,350 ریال
    خرید
  • Kaspersky Small Office Security

    396,388,850 ریال
    خرید
  • Kaspersky Small Office Security

    174,545,800 ریال349,091,600 ریال
    خرید
  • Kaspersky Small Office Security

    558,550,850 ریال
    خرید
  • Kaspersky Small Office Security

    225,221,425 ریال450,442,850 ریال
    خرید
  • Kaspersky Small Office Security

    720,712,850 ریال
    خرید
  • Kaspersky Small Office Security

    272,143,300 ریال544,286,600 ریال
    خرید
  • Kaspersky Small Office Security

    870,862,850 ریال
    خرید
  • Kaspersky Small Office Security

    516,137,050 ریال1,032,274,100 ریال
    خرید
  • Kaspersky Small Office Security

    1,651,642,850 ریال
    خرید

نظر خودتان را ارسال کنید


کاربر گرامی چنانچه تمایل دارید، نقد یا نظر شما به نام خودتان در سایت ثبت شود، لطفاً وارد سایت شوید.
*نظر
کلیه حقوق مادی و معنوی این سایت محفوظ و متعلق به شرکت گسترش خدمات تجارت الکترونیک ایرانیان است و هر گونه کپی برداری از آن پیگرد قانونی دارد