Най-известният Mi Electric Scooter M365 от Xiaomi es един от най-популярните електрически скутери на момента. Неговата отлична конструкция и цена правят продукта бестселър по целия свят и както обикновено се случва с тези успешни продукти, те също стават фокус на вниманието на хакерите.
Пропуск в сигурността на Xiaomi M365 позволява дистанционното му управление
група за сигурност Зимпериум е публикувал доклад, в който демонстрира това Скутер на Xiaomi страда от уязвимост, която ви позволява да поемете дистанционно управление на устройството и стартирайте команди без никакви идентификационни данни, необходими за това. Според това, което казват, процесът на регистрация на потребител е необходим само в официалното приложение, но при директна връзка с устройството не се изисква тип удостоверяване, следователно командите могат да се изпълняват свободно.
Нашите изследователи успяха да хакнат един от водещите електрически скутери – Xiaomi M365 – и ефективно да блокират, спират и/или ускорят скутерите на всички преминаващи ездачи. Прочетете повече за откритието от концепцията за доказателство: https://t.co/w5kKAerEXJ pic.twitter.com/kcNSFuifDE
— ZIMPERIUM (@ZIMPERIUM) 12 на февруари 2019
Веднъж свързан с компютъра, нападателят може да вземе дистанционно управление от скутера на максимално разстояние от приблизително 100 метра, за да изпълнява команди като напр ключалка за скейт o ускорение и спиране без видима причина, действия, които несъмнено биха могли да причинят злополука, засягаща както човека, който кара скутера, така и всеки друг наблизо. За да направите това, ще трябва да се инсталира злонамерен софтуер, маскиран като фърмуер, операция, която Bluetooth модулът на скутера не контролира по всяко време, така че нападателят ще има пълната свобода да инсталира каквото поиска. Във видеото по-долу, публикувано от Zimperium, можете да видите как приложение, създадено за случая от групата за сигурност, може да блокира електрическия скутер от разстояние.
Както се съобщава, Xiaomi е наясно с този проблем от седмици и в момента работят върху корекция, която ще дойде под формата на системна актуализация. Всичко обаче сочи, че задачата няма да е лесна, тъй като bluetooth модул който е бил засегнат, зависи от производител трета страна, така че те ще трябва да работят заедно, за да стартират някакъв вид съвместно решение. Засега това е цялата информация, която е известна за него, така че ще трябва да бъдем внимателни преди евентуалната поява на злонамерени приложения, които насърчават този тип злодеяния.
[RelatedNotice blank title=»Това са 5-те електрически скутера, които можете да закупите от Amazon»]https://eloutput.com/input/guide-compras/patinetes-electricos-amazon/[/RelatedNotice]
Как да избегнете хакването на вашия скутер Xiaomi?
За съжаление грешката засяга системното ниво, така че няма начин да им попречите да се свържат дистанционно със скутера. Безполезно е да установявате сложна парола чрез официалното приложение, тъй като както вече коментирахме, системата не изисква никакъв вид удостоверяване при директна връзка. Единственото решение за момента е да изчакате производителят да пусне актуализацията с корекцията за сигурност, така че междувременно ще трябва да внимавате.
актуализация: Ние актуализираме статията с официалните изявления на Xiaomi по случая.
Xiaomi е наясно с уязвимостта, която хакерите със злонамерени намерения могат да използват, за да нарушат работата на Mi Electric Scooter. Веднага след като разбрахме за тази уязвимост, ние работихме, за да я коригираме и да премахнем всички неоторизирани приложения. Междувременно екипите за продукти и сигурност на Xiaomi подготвят OTA актуализация, която ще бъде достъпна възможно най-скоро. Xiaomi цени обратната връзка от нашите потребители и общността по сигурността. Ние се ангажираме да се подобряваме постоянно въз основа на всички отзиви, за да създаваме по-добри и по-безопасни продукти.
Актуализация на 2: От общността на потребителите mixx.io те докладват че проблемът със сигурността на Bluetooth връзката е публична тайна повече от година. Този недостатък беше използван за инсталиране на домашни фърмуери, които позволяваха увеличаване на мощността на скейта, така че откритието може да не изглежда толкова ново. Проучванията на Zimperium обаче показаха сериозността на проблема и помогнаха да се разбере докъде може да се стигне с такъв достъп.
В допълнение, този потребител коментира гениално решение, което би се използвало за блокиране на отдалечен достъп до нашия скейт, тъй като би било достатъчно да свържете скейта с устройство, така че връзката да бъде блокирана по всяко време (второ устройство не може установете връзката), възможно е също така да промените името на устройството, така че да се представя за телефон с отворена Bluetooth връзка, нещо, което би подвело евентуалния нападател.
[Благодаря на M4p3x за съвета]