黑客入侵掃地機械人
掃地機械人安全隱患一直困擾用家,數年前已出現掃地機械人拍攝用戶浴室照並在社交媒體流傳。前周世界各地新聞又再廣泛報道,全球最大的掃地機械人生產商之一中國大陸科沃斯(Ecovacs) 的掃地機械人出現嚴重安全事故,黑客可輕易入侵裝置。美國的報道指黑客入侵後利用揚聲器播出粗言穢語,刻意追撞用戶及寵物。澳洲則報道黑客利用藍牙連線的弱點,在百米外入侵並控制所有觸感器,拿取Wi-Fi密碼,取得網絡存取權,更可隨時進行攝錄。似乎大部份事件黑客的行為旨在滋擾,令受害者明顯意識到掃地機械人出現異常,並採取應對行動。更恐怖的反是沉默監控者,一切看似正常,卻在背後不斷監控,竊取個人私隱及資料,即使受害者有所損失,可能仍未意識到掃地吸塵機是始作俑者。暫未知有多少人受影響,不過科沃斯網頁稱其產品服務超過5千萬個家庭用戶,可見潛在影響巨大。事實上去年已有報告對該牌子掃地機械人作出資訊安全警告,廠商未見跟進。在發生事故後,廠商首先指事主遭到「釣魚」,帳戶被盜,並非系統性的問題,但最後技術人員以各種證據作出挑戰,最終廠方不得不承認安全漏洞,並稱將對其裝置進行安全升級云云。
安全事故揭陰暗面
事件更帶出更深層次的問題。技術人員發現嚴重安全設計漏洞,源於PIN只在手機軟件核實,並不在伺服器及裝置內核實,黑客可以繞過這個程序,直接通知裝置及伺服器已通過核實,繼而取得裝置控制權。奇就奇在如此低級安全錯誤,仍取得由德國Tüv Rheinland發出的安全認證。有資安專家去信認證公司查詢認證範圍及技術標準,結果發現檢查未能提供詳細資料,且各種漏洞並不在測試範圍。原來這種標準認證只是一個指引,製造商如何執行及合規,責任在於廠方。事件令人懷疑這些認證並無實質,而是利用消費者資訊缺口而賺取信任。另一方面,絕大部份情況廠商強迫用戶安裝軟件以控制及更新裝置,這個軟件又是否安全?筆者利用Exodus Privacy網站檢查Ecovacs Home軟件,發現程式有四個追蹤模塊,其中一個正正就是中國大陸紫光JPush。這個模塊先前版本被曝光內存各種漏洞及侵犯私隱,用戶可查看下列連結。軟件涉五十多項權限,當中涉及非常敏感的權限,包括取得精準位置,控制藍牙、鏡頭、麥克風、下載時不用通知、讀取正在執行的軟件、讀寫外部儲存及更改系統設定等。為了一個掃地機械人而安裝,風險與得益是否合於比例?事故牽出的種種魔鬼細節,讓那些不分配足夠資源作資安的生產者有機可乘。
用家必須多做功課
何止掃地機械人,各種智能裝置,例如網絡鏡頭、家居智能系統、智能電視、智能門禁等任何擁有連線、影像及音效功能的設備,皆擁有上述風險。如何應對?因應黑客事故,媒體湧現建議,大多圍繞頻密更改密碼、設定雙重認證、更新韌體、留意裝置表現等,上述事件已表明作用不大。筆者則建議如下。第一步是提升安全意識。當筆者向朋友分享事件,有些人回應是我不是使用這個牌子,自我感覺良好。只有認同風險存才會行動應對。不要以為事不關己,保護個人家人私隱用户有責。其次,使用同類產品時考慮清楚是否真的需要如此多功能,以掃地機械人為例,其實碰觸感應已足夠應付大部份情景,越多周邊例如鏡頭收音WiFi藍芽等風險越高,宜多作品牌及型號比較。其三,安全認證不是萬能,廠商亦不可能每個更新獲取認證。了解一下認證的背後代表甚麼,同時查找獨立第三方針對資訊安全的評估報告。進一步查查這個第三方的背景,是否真正獨立可信,還是受企業或政權帶動。其四,查詢是否能不用安裝控制軟件運作。若必需安裝,請到例如Exodus Privacy網站查看軟件評估追蹤模塊及權限,購買產品時同時考慮是否可接受。最後,查詢裝置能否不用上網直接運作,若裝置需使用WiFi,請利用路由器指定網絡,與家用網絡分開,並將VPN設在路由內,強制裝置經VPN傳輸,避免任何第三方偵測到裝置存在或截取通訊。
越來越多裝置打著智能的旗號,將各種周邊、感應器、連線甚至AI集於一身,但很多都並不一定需要,且邊際效用低,但却帶來不合比例的資訊風險。用家宜做足功課,控制風險,否則等同拿了一隻特洛伊木馬放在家中。◇
注: https://digitalwatchdog.org/jiguangs-sdk-covertly-collects-user-personal-information-with-no-clear-opt-out/
------------------
💎成為會員 📧訂閱電子報
https://hk.epochtimes.com/subscribe
🔔下載大紀元App 接收即時新聞通知
🍎iOS:https://bit.ly/epochhkios
🤖Android:https://bit.ly/epochhkand