La maleta inteligente autónoma ... ¡que la persona que está detrás de ti puede secuestrar! - Pura seguridad

El Internet de las cosas (IoT) es conocido por darnos tres resultados en un número de casos preocupante:

Productos conectados que no sabíamos que lo necesitábamos.
Productos conectados que compramos de todos modos.
Productos conectados que terminó por separado en un armario.

Para ser justos, no todos los productos de IoT se incluyen en todas, algunas o incluso una de estas categorías, pero hay muchos que se clasifican en al menos una categoría.

Estaba la cámara de video de la casa con un «identificador único» que no era único, y una pareja de Australia dejó a una pareja que creía que ambos tenían acceso a su propia sala de estar, pero de repente descubrieron que cada uno de ellos era accidentalmente un tercero espiado diferente. partido.

Estaba el sistema de vigilancia que mostraba a un dueño de casa desprevenido en Inglaterra fuera de un pub desconocido que finalmente localizó usando motores de búsqueda y fue a tomar una refrescante pinta de cerveza.

En el pub, se tomó una selfie en su propio teléfono de él mismo disfrutando de su bebida … con la cámara del pub. (Le mostró la foto al propietario, quien compartió tanto su diversión como su preocupación).

Y estaba el candado inteligente para bicicleta de $ 99: ¡no hay más combinaciones para recordar! ¡No más problemas con llaves en manos frías! – que le permitió abrir su propio candado con la aplicación oficial (o con su huella digital) en 0.8 segundos o abrir el candado de otra persona con una aplicación no oficial en solo 2 segundos.

No se requiere sierra para metales

Los piratas informáticos del candado (no se requiere pirateo o corte literal) en la historia anterior, por qué se molestaron en llamarlo candado, vinieron de la conocida compañía británica de pruebas de penetración PTP, abreviatura de Pen Test Partners.

Y cuando los investigadores de PTP encuentran un producto en red que no sabían que necesitaba …

… ¡sabes inmediatamente que lo necesitas!

Entonces, cuando descubrieron una maleta digital llamada Airwheel SR5, solo tenían que comprar una, porque ¿quién puede resistirse a una maleta robótica autopropulsada con bluetooth? (No inventamos esto).

¿Por qué llevar su equipaje de mano detrás de usted cuando puede simplemente ponerse un brazalete Bluetooth y hacer que el equipaje sea rastreado a través del aeropuerto para evitar obstáculos (y con suerte a otros pasajeros, con o sin equipaje para conducir) y ahorrarle la molestia de cargar? todo el peso extra que la maleta en forma de baterías y motores necesita para arrastrar por ti?

Bueno, PTP descubrió rápidamente una razón por la que no podían confiar en el SR5 en un aeropuerto concurrido, y era que no era muy preciso.

Mientras progresaba vagamente confiado, no mantuvo su curso muy bien, saliéndose de la línea y encontrando cosas como un viajero que ha pasado demasiado tiempo en el bar de la zona de embarque.

Pero fue un defecto de diseño lo que más preocupó a PTP, a saber, que el SR5 podía emparejarse con dos dispositivos diferentes al mismo tiempo, un logro de Bluetooth inusual y realmente genial, admitieron los investigadores, con controles de seguridad inadecuados sobre el proceso de emparejamiento.

Una vez que haya conectado su SR5 al brazalete incluido para que lo siga de manera autónoma, en realidad no tiene que usar su otra función (y es posible que nunca se moleste): puede hacer que conduzca por la explanada del aeropuerto como un automóvil RC, preocupantemente rápido con una aplicación en su teléfono.

Pero si no logras instalar la aplicación y vincularla con tu propia maleta …

… entonces cualquier otra persona puede conectarse a él, incluso si les ha indicado que lo sigan.

Siguiendo su maleta como lo sigue a usted, un Suitacasejacker podría emparejar su teléfono con su equipaje y, gracias a un código de emparejamiento cableado, simplemente comenzar sin poner una mano sobre él.

Vea si puede adivinar el PIN «secreto».

Te diste cuenta

Sí, claro, lo es: 11111111.

(Lo adivinamos 78482273, con el argumento de que deletrea SUITCASE, pero 1 en el teclado de un teléfono no coincide con ninguna letra).

PTP también ha determinado que el firmware de la maleta no parece estar firmado digitalmente, lo que podría permitir actualizaciones de firmware fraudulentas (balizas de seguimiento, ¿alguien?) Para cargarlo en su lugar.

¿Qué tengo que hacer?

Si no puedes resistirte a esta maleta autopropulsada, Asegúrese de emparejarlo con su propio teléfono y brazalete para que otros viajeros del aeropuerto no lo secuestran trivialmente. (Por ahora, al menos, puede suponer que escoltar una maleta digital vagamente autónoma por un aeropuerto moderno llamará la atención sobre la maleta, no sobre usted).
Si es programador, no utilice contraseñas cableadas. Para evitar sorpresas no autorizadas, no active el acoplamiento remoto por defecto. Como señala PTP, un comienzo fácil sería elegir una contraseña aleatoria y poner una copia impresa en la maleta antes de enviarla. Los fabricantes de enrutadores domésticos están haciendo esto en estos días con sus puntos de acceso inalámbricos, y ha eliminado en gran medida el problema de las credenciales estándar de Wi-Fi.
Si confía en una aplicación oficial de Android, haz tu mejor esfuerzo para conseguirlo en Play Store primero. Google Play está lejos de ser perfecto para evitar el malware, pero no se ve bien para su producto si no puede hacerlo en absoluto, y no anima a sus clientes a instalarlo. Irónicamente, en este caso (¿ves lo que hicimos allí?)

No pudimos resistirnos a insertar el video de PTP que muestra la maleta autónoma, que se puede controlar de forma remota en su modo sorprendentemente rápido para conducir: