Ο πιο διάσημος Mi Electric Scooter M365 από την Xiaomi es ένα από τα πιο δημοφιλή ηλεκτρικά σκούτερ της στιγμής. Η εξαιρετική κατασκευή και η τιμή του καθιστούν το προϊόν μπεστ σέλερ σε όλο τον κόσμο και, όπως συμβαίνει συνήθως με αυτά τα επιτυχημένα προϊόντα, γίνονται επίσης το επίκεντρο προσοχή χάκερ.
Ένα ελάττωμα ασφαλείας στο Xiaomi M365 επιτρέπει τον τηλεχειρισμό του
ομάδα ασφαλείας Zimperium έχει δημοσιεύσει έκθεση στην οποία το αποδεικνύουν Το σκούτερ της Xiaomi πάσχει από μια ευπάθεια που σας επιτρέπει να παίρνετε τον απομακρυσμένο έλεγχο της συσκευής και εντολές εκτέλεσης χωρίς να απαιτούνται διαπιστευτήρια για αυτό. Σύμφωνα με όσα λένε, η διαδικασία εγγραφής χρήστη είναι απαραίτητη μόνο στην επίσημη εφαρμογή, ωστόσο, σε απευθείας σύνδεση με τη συσκευή, δεν απαιτείται κανένας τύπος ελέγχου ταυτότητας, επομένως οι εντολές μπορούν να εκτελεστούν ελεύθερα.
Οι ερευνητές μας μπόρεσαν να παραβιάσουν ένα από τα κορυφαία ηλεκτρικά σκούτερ –το Xiaomi M365– και να κλειδώσουν, να φρενάρουν ή/και να επιταχύνουν αποτελεσματικά τα σκούτερ οποιουδήποτε διερχόμενου αναβάτη. Διαβάστε περισσότερα για την ανακάλυψη από το proof-of concept: https://t.co/w5kKAerEXJ pic.twitter.com/kcNSFuifDE
— ΖΙΜΠΕΡΙΟΥΜ (@ZIMPERIUM) 12 Φεβρουαρίου 2019
Μόλις συνδεθεί στον υπολογιστή, ο εισβολέας θα μπορούσε να το πάρει τηλεχειριστήριο από το σκούτερ σε μέγιστη απόσταση περίπου 100 μέτρων για την εκτέλεση εντολών όπως π.χ κλειδαριά skate o επιτάχυνση και φρενάρισμα χωρίς προφανή λόγο, ενέργειες που αναμφίβολα θα μπορούσαν να προκαλέσουν ατύχημα, επηρεάζοντας τόσο το άτομο που οδηγεί το σκούτερ όσο και οποιονδήποτε άλλο βρίσκεται κοντά. Για να γίνει αυτό, θα έπρεπε να εγκατασταθεί κακόβουλο λογισμικό μεταμφιεσμένο σε υλικολογισμικό, μια λειτουργία που η μονάδα Bluetooth του σκούτερ δεν επιβλέπει ανά πάσα στιγμή, οπότε ο εισβολέας θα είχε απόλυτη ελευθερία να εγκαταστήσει ό,τι θέλει. Στο παρακάτω βίντεο, που δημοσίευσε το Zimperium, μπορείτε να δείτε πώς μια εφαρμογή που δημιουργήθηκε για την περίσταση από την ομάδα ασφαλείας είναι ικανή να μπλοκάρει το ηλεκτρικό σκούτερ από απόσταση.
Όπως αναφέρθηκε, Xiaomi έχει επίγνωση αυτού του ζητήματος εδώ και εβδομάδες και επί του παρόντος εργάζονται για μια επιδιόρθωση που θα έχει τη μορφή ενημέρωσης συστήματος. Ωστόσο, όλα δείχνουν ότι το εγχείρημα δεν θα είναι εύκολο, αφού το μονάδα bluetooth που έχει επηρεαστεί εξαρτάται από έναν τρίτο κατασκευαστή, επομένως θα πρέπει να συνεργαστούν για να ξεκινήσουν κάποιο είδος κοινής λύσης. Προς το παρόν, αυτές είναι όλες οι πληροφορίες που είναι γνωστές σχετικά με αυτό, επομένως θα πρέπει να είμαστε προσεκτικοί πριν από την πιθανή εμφάνιση κακόβουλων εφαρμογών που ενθαρρύνουν αυτού του είδους τις παρανομίες.
[RelatedNotice blank title=»Αυτά είναι τα 5 ηλεκτρικά σκούτερ που μπορείτε να αγοράσετε στο Amazon»]https://eloutput.com/input/guide-compras/patinetes-electricos-amazon/[/RelatedNotice]
Πώς να αποφύγετε το χακάρισμα του σκούτερ Xiaomi σας;
Δυστυχώς, το σφάλμα επηρεάζει το επίπεδο συστήματος, επομένως δεν υπάρχει τρόπος να αποτραπεί η απομακρυσμένη σύνδεση με το σκούτερ. Είναι άχρηστο να δημιουργήσετε έναν σύνθετο κωδικό πρόσβασης μέσω της επίσημης εφαρμογής, καθώς όπως έχουμε σχολιάσει προηγουμένως, το σύστημα δεν απαιτεί κανένα είδος ελέγχου ταυτότητας όταν κάνετε απευθείας σύνδεση. Η μόνη λύση προς το παρόν είναι να περιμένετε από τον κατασκευαστή να κυκλοφορήσει την ενημέρωση με την ενημερωμένη έκδοση κώδικα ασφαλείας, οπότε στο μεταξύ θα πρέπει να είστε προσεκτικοί.
ενημέρωση: Ενημερώνουμε το άρθρο με τις επίσημες δηλώσεις της Xiaomi για την υπόθεση.
Η Xiaomi γνωρίζει την ευπάθεια που μπορούν να εκμεταλλευτούν οι χάκερ με κακόβουλη πρόθεση για να διαταράξουν τη λειτουργία του Mi Electric Scooter. Μόλις μάθαμε για αυτό το θέμα ευπάθειας, εργαζόμαστε για να το διορθώσουμε και να αφαιρέσουμε όλες τις μη εξουσιοδοτημένες εφαρμογές. Εν τω μεταξύ, οι ομάδες προϊόντων και ασφάλειας της Xiaomi ετοιμάζουν μια ενημέρωση OTA που θα είναι διαθέσιμη το συντομότερο δυνατό. Η Xiaomi εκτιμά τα σχόλια από τους χρήστες μας και την κοινότητα ασφαλείας. Δεσμευόμαστε να βελτιώνουμε συνεχώς με βάση όλα τα σχόλια για να δημιουργήσουμε καλύτερα και ασφαλέστερα προϊόντα.
Ενημέρωση 2: Από την κοινότητα των χρηστών mixx.io αναφέρουν ότι το πρόβλημα ασφάλειας της σύνδεσης Bluetooth ήταν ανοιχτό μυστικό για περισσότερο από ένα χρόνο. Αυτό το ελάττωμα χρησιμοποιήθηκε για την εγκατάσταση οικιακών υλικολογισμικών που επέτρεψαν την αύξηση της ισχύος του πατινιού, επομένως η ανακάλυψη μπορεί να μην φαίνεται τόσο νέα. Ωστόσο, οι μελέτες του Zimperium έδειξαν τη σοβαρότητα του προβλήματος και βοήθησαν στην κατανόηση του πόσο μακριά θα μπορούσε να φτάσει κανείς με τέτοια πρόσβαση.
Επιπλέον, αυτός ο χρήστης σχολίασε μια έξυπνη λύση που θα χρησιμοποιούσε για να μπλοκάρει την απομακρυσμένη πρόσβαση στο πατίνι μας, καθώς θα αρκούσε να συνδέσουμε το πατίνι με μια συσκευή έτσι ώστε η σύνδεση να αποκλειστεί ανά πάσα στιγμή (μια δεύτερη συσκευή δεν θα μπορούσε δημιουργήστε τη σύνδεση), Είναι επίσης δυνατό να αλλάξετε το όνομα της συσκευής έτσι ώστε να προσποιείται ότι είναι ένα τηλέφωνο με ανοιχτή σύνδεση Bluetooth, κάτι που θα παραπλανούσε τον πιθανό εισβολέα.
[Ευχαριστώ το M4p3x για την συμβουλή]