Οι εφαρμογές γονικού ελέγχου και τα παιδικά smartwatches πλασαρίστηκαν ως η απόλυτη ψηφιακή ασπίδα για κάθε γονιό, στην πράξη όμως μετατρέπονται σε δούρειο ίππο για την οικογενειακή ασφάλεια. Στο πρόσφατο συνέδριο ασφάλειας Black Hat, μια σοκαριστική έρευνα απέδειξε ότι δεκάδες δημοφιλή εργαλεία παρακολούθησης είναι διάτρητα, εκθέτοντας τα παιδιά σε αγνώστους.
- Ερευνητές ανακάλυψαν ότι 39 «ανεξάρτητα» brands γονικού ελέγχου συνδέονταν κρυφά στον ίδιο διακομιστή στην Κίνα, φιλοξενώντας 45 σοβαρές ευπάθειες.
- Χάκερς μπορούσαν να ενεργοποιήσουν κρυφά κάμερες, μικρόφωνα και να πραγματοποιήσουν κλήσεις από παιδικά smartwatches χωρίς καμία οπτική ένδειξη.
- Οι κατασκευαστές αγνόησαν επιδεικτικά πάνω από 30 ειδοποιήσεις ασφαλείας, αφήνοντας τα δεδομένα εκατομμυρίων οικογενειών εκτεθειμένα για χρόνια.
Ο μηχανισμός της παραβίασης
Η πρόσφατη μελέτη με επικεφαλής τον Vangelis Stykas, CTO της Kumio, και τον μηχανικό ασφάλειας AI Felipe Solferini, ανέδειξε πόσο απατηλή είναι η βιομηχανία των third-party εφαρμογών επιτήρησης. Αντί για δεκάδες ανταγωνιστικές εταιρείες με αυτόνομες υποδομές, η αγορά κατακλύζεται από «white-label» προϊόντα που μοιράζονται τον ίδιο προβληματικό backend πηγαίο κώδικα και συγκεντρώνουν τα δεδομένα σε κοινούς servers.
Το μεγαλύτερο πρόβλημα εντοπίζεται στην απουσία βασικών μηχανισμών εξουσιοδότησης στα APIs των εφαρμογών. Όπως επισημαίνει η ερευνητική ομάδα, ένας απλός δωρεάν λογαριασμός αρκούσε για να αποκτήσει εξωτερικός εισβολέας πρόσβαση στα κεντρικά συστήματα και να διαχειριστεί τις συσκευές εξ αποστάσεως. Η έλλειψη κρυπτογράφησης άκρου-εἰς-άκρο (E2EE) και η απουσία ελέγχου ταυτότητας σε επίπεδο server σημαίνουν ότι η τοποθεσία, οι φωτογραφίες και οι συνομιλίες των παιδιών βρίσκονται σε κοινή θέα.
Ακόμη πιο τρομακτική είναι η αποκάλυψη ότι ίχνη μη εξουσιοδοτημένης πρόσβασης σε ορισμένους servers εντοπίστηκαν να χρονολογούνται έως και δύο χρόνια πριν. Αυτό σημαίνει ότι κακόβουλοι παράγοντες παρακολουθούσαν ανενόχλητοι ανήλικα παιδιά, εκμεταλλευόμενοι ακριβώς τα ίδια εργαλεία που οι γονείς εγκατέστησαν για να τα προστατεύσουν.
Φωτογραφίζοντας την ψεύτικη ασφάλεια
Οι Stykas και Solferini απέδειξαν στην πράξη κατά τη διάρκεια του συνεδρίου τι σημαίνει πλήρης απώλεια ελέγχου. Εκτελώντας απομακρυσμένα σενάρια εντολών, ανάγκασαν παιδικά smartwatches να καλέσουν αριθμούς υψηλής χρέωσης ή να μεταδίδουν ζωντανό ήχο περιβάλλοντος, χωρίς ο κάτοχος της συσκευής να αντιληφθεί την παραμικρή ένδειξη στην οθόνη.
Οι εφαρμογές αυτές απαιτούν εκτεταμένα δικαιώματα διαχειριστή (permissions) στο smartphone ή στο ρολόι του παιδιού: πρόσβαση στην κάμερα, στο μικρόφωνο, στο GPS και καταγραφή οθόνης. Όταν τα κλειδιά αυτού του ψηφιακού βασιλείου παραδίδονται σε ασυνείδητους κατασκευαστές χαμηλού κόστους που εδρεύουν σε χώρες με ανύπαρκτη νομοθεσία προστασίας δεδομένων, η ιδιωτικότητα εξαφανίζεται ολοκληρωτικά.
Το χειρότερο είναι η αντίδραση της βιομηχανίας. Παρά την αποστολή ειδοποιήσεων προς περισσότερους από 30 κατασκευαστές, η συντριπτική πλειοψηφία επέλεξε την αποσιώπηση και την αδιαφορία. Ελάχιστοι μεταπωλητές απάντησαν, ενώ οι περισσότεροι προτίμησαν να θάψουν το πρόβλημα κάτω από το χαλί, αφήνοντας τις συσκευές ενεργές στην αγορά.
Τι πρέπει να κάνετε τώρα
Η αποφυγή παρόμοιων κινδύνων δεν απαιτεί την απόλυτη αποκοπή των παιδιών από την τεχνολογία, αλλά τη στροφή σε αξιόπιστες λύσεις που σέβονται τα δεδομένα σας. Αντί να εμπιστεύεστε άγνωστες εταιρείες από τα app stores, προτιμήστε τα ενσωματωμένα και δοκιμασμένα εργαλεία των μεγάλων οικοσυστημάτων.
Ενεργοποιήστε το Screen Time της Apple για iOS συσκευές ή το Google Family Link για το Android οικοσύστημα. Αυτές οι υπηρεσίες διαθέτουν εκατομμύρια γραμμές κώδικα ασφαλείας, αυστηρά κριτρα απορρήτου και δεν εξαρτώνται από ευάλωτους κινεζικούς servers τρίτων.
Παράλληλα, θυμηθείτε ότι κανένα software δεν υποκαθιστά την ανοιχτή επικοινωνία. Η εκπαίδευση του παιδιού γύρω από τους κινδύνους του internet και η κατανόηση του πώς λειτουργεί η τοποθεσία του αποτελεί την ισχυρότερη γραμμή άμυνας.
Η άποψή μας στο TechNoid
Εμείς στο TechNoid δεν μασάμε τα λόγια μας: η αγορά των φθηνών παιδικών smartwatch και των άγνωστων εφαρμογών γονικού ελέγχου είναι ένα ανεξέλεγκτο ψηφιακό σκουπιδαριό. Όταν ένας ερευνητής ασφάλειας φτάνει στο σημείο να προτείνει στους γονείς να «καταστρέψουν» συσκευές που έχουν αγοράσει για τα παιδιά τους, η κατάσταση έχει ξεπεράσει κάθε όριο συναγερμού. Οι ρυθμιστικές αρχές στην Ευρώπη πρέπει να επιβάλουν άμεσα τεράστια πρόστιμα και απαγορεύσεις εισαγωγής σε εταιρείες που αδιαφορούν επιδεικτικά για τα κενά ασφαλείας. Μέχρι τότε, πετάξτε στα σκουπίδια κάθε κινεζικό ρολόι εντοπισμού που αγοράσατε δέκα ευρώ από marketplace και βασιστείτε αποκλειστικά στα εργαλεία της Google και της Apple.
Συχνές Ερωτήσεις για την ασφάλεια στις εφαρμογές γονικού ελέγχου
Είναι ασφαλή τα παιδικά smartwatches με GPS;
Τα περισσότερα φθηνά smartwatches τρίτων κατασκευαστών διαθέτουν σοβαρά κενά ασφαλείας και εκθέτουν την τοποθεσία των παιδιών σε αγνώστους.
Ποιες εφαρμογές γονικού ελέγχου είναι ασφαλείς;
Μόνο τα επίσημα ενσωματωμένα εργαλεία, όπως το Google Family Link και το Screen Time της Apple, προσφέρουν επαρκή επίπεδα κρυπτογράφησης και προστασίας.
Μπορούν οι χάκερς να ακούνε μέσω του παιδικού ρολογιού;
Ναι, ερευνητές απέδειξαν ότι ευάλωτα smartwatches μπορούν να εξαναγκαστούν σε κρυφές κλήσεις ή μετάδοση ήχου χωρίς καμία ένδειξη στην οθόνη.
Γιατί οι κατασκευαστές δεν διορθώνουν τα κενά ασφαλείας;
Πολλοί κατασκευαστές χαμηλού κόστους χρησιμοποιούν έτοιμο, κακόγραμμο λογισμικό και αδιαφορούν πλήρως για την ασφάλεια, αγνοώντας ειδοποιήσεις ερευνητών.
Πώς να εντοπίσω αν μια εφαρμογή γονικού ελέγχου είναι επικίνδυνη;
Αποφύγετε άγνωστα brands από τα app stores που ζητούν υπερβολικά δικαιώματα πρόσβασης και δεν αναφέρουν σαφώς πού αποθηκεύονται τα δεδομένα σας.
Τι πρέπει να κάνω αν έχω ήδη εγκαταστήσει τέτοια εφαρμογή;
Απεγκαταστήστε την αμέσως, επαναφέρετε τη συσκευή στις εργοστασιακές ρυθμίσεις και αλλάξτε κωδικούς πρόσβασης σε όλους τους λογαριασμούς σας.
Ποια είναι η καλύτερη εναλλακτική για την ασφάλεια του παιδιού;
Η ανοιχτή επικοινωνία με το παιδί σου και η χρήση αξιόπιστων, πιστοποιημένων ρυθμίσεων γονικού ελέγχου από καθιερωμένους τεχνολογικούς κολοσσούς.
Διαβάστε επίσης την ανάλυσή μας για τα κενά ασφάλειας στα έξυπνα σπίτια και πώς να προστατεύσετε το οικιακό σας δίκτυο.
