loading...

ساعت های هوشمند

آکاایران: چگونه ساعت های هوشمند را امن کنیم؟

آکاایران: دسترسی هکرها به اطلاعات گوشی از طریق ساعت هوشمند

چگونه ساعت های هوشمند را امن کنیم؟

ساعت های هوشمند
شهرت ساعت های هوشمند به سرعت در حال افزایش است؛ اما در این جا سؤالی مطرح می شود؛ آیا این پوشیدنی می تواند خطرات امنیتی جدی به همراه داشته باشد؟ در این مقاله به بررسی این موضوع می پردازیم.

چقدر طول می کشد تا شارژ باتری گوشی تمام شود؟ کدام گوشی برای من بهتر است؛ اپل یا اندروید؟ آیا می توانم با استفاده از آن پول غذایم را پرداخت کنم؟ در لیست پرسش و پاسخ های ساعت هوشمند جای نکته ای خالی مانده است؛ نکته ای که به شدت به چشم می آید: این گجت تا چه اندازه امن است؟

وقتی همه افراد از جمله مسئولان فناوری به تنها چیزی که فکر می کنند ویژگی های فوق العاده و مدت زمانی است که این ساعت های مچی می توانند شارژ نگه دارند؛ چه انتظاری می توان داشت که کسی بر امنیت ساعت هوشمند تأکید کند. آیا این وسایل هک شدنی هستند؟ آیا کسی قادر است آن ها را هک کند؟ آیا مستعد پذیرش بدافزارها هستند؟ اگر ساعت شما گم یا دزدیده شود ممکن است اطلاعات شخصیتان به راحتی فاش شود؟ آیا امکان دارد از راه دور بتوان اطلاعات آن را پاک کرد؟
شاید همه ما هرچند روز یک بار این گونه سؤالات را درباره گوشی های هوشمندی که در دست داریم بپرسیم؛ گوشی هایی که پوشیدنی ها می توانند با آن ها تعامل نزدیک دارا باشند. البته هنوز کسانی که از اولین خریداران این پوشیدنی بوده اند یا حتی رسانه ها که معمولاً از دامن زدن به داستان های هراس آور واهمه ای ندارند، به طور عجیبی درباره امنیت ساعت هوشمند سکوت کرده اند. به نظر می رسد که هر دو گروه چشم های خود را بر روی خطرات احتمالی بسته اند.
به گزارش آکاایران: وقتی درباره امنیت ساعت هوشمند صحبت می شود، اولین مانعی که باید از پیش رو برداشته شود  پذیرفتن جدی بودن این نگرانی است. شاید با خود بگویید گجتی که روی مچ دستتان قرار دارد صفحه مانیتور کوچک و احمقی است که با گوشی هوشمندتان در ارتباط است. این اولین چیزی است که به ذهن می رسد. به علاوه برخی می گویند اگر امنیت گوشی ای که در دست داریم در معرض خطر قرار نگیرد؛ برای ساعت هم اتقافی نمی افتد.

اما در دنیای واقعی داستان چیز دیگری است. این مسئله در تحقیقی که به تازگی محققان ترند مایکرو انجام داده اند کاملاً مشهود است. آن ها در تست های نفوذی که روی برخی از ساعت های هوشمند بنام بازار انجام دادند، متوجه شدند که امنیت این گجت ها از اهمیت بسیار زیادی برخوردار است. از جمله مدل هایی که در این تحقیق استفاده شدند می توان از ساعت اپل، موتورولا موتو 360 و ساعت پبل نام برد که از نظر محافظت سخت افزاری، ارتباطات اطلاعاتی و فضای ذخیره دیتای محلی بررسی شدند. یکی از مشاوران امنیت سایبری ترند مایکرو به نام «بارات میستری» در این باره می گوید: «کاملاً مشخص است که سازندگان و تولیدکنندگان، امنیت را فدای راحتی کرده اند. در تحقیقات صورت گرفته متوجه شدیم که تمام این ساعت ها اطلاعات را به صورت محلی ذخیره می کنند که اگر از محدوده گوشی که با آن در ارتباط است خارج شود؛ هکرها می توانند به راحتی به اطلاعات روی آن دسترسی دارا باشند.»

این مسئله که ساعت هوشمند همیشه روشن است، به خودی خود خطر بیشتری را نسبت به گوشی متوجه آن می کند. ساعت همیشه روی مچ بسته شده است؛ اما گوشی می تواند در جیب یا کیف قرار داشته باشد

هم اپل و هم ساعت های اندرویدی نوتیفیکیشن های خوانده نشده را به همراه اطلاعات تناسب اندام و تقویم ذخیره می کنند. اپل به غیر از این موارد عکس؛ پس بوک (Passbook) و لیست مخاطبان را هم اضافه می کند. میستری درباره این مسئله هشدار می دهد و می گوید: «از آن جایی که اطلاعات پس بوک می تواند شامل موارد حساسی مانند بلیط پرواز باشد؛ دارندگان ساعت های هوشمند باید همان قدر که به گوشی های خود حساس هستند در قبال این وسیله هم حساسیت نشان دهند.»
توجه به این نکته که اطلاعات سینک شده می توانند از طریق اینترفیس ساعت هم قابل خواندن باشند، نگران کننده است؛ اما موضوعی که بیشتر باعث نگرانی و اضطراب می شود این است که ساعت اپل اطلاعات بیشتری را در مقایسه به مدل های اندرویدی ذخیره می کند. برخی عقیده دارند که ساعت های هوشمند فقط در محیط های خارج از محدوده گوشی، هوشمند هستند، اما تحقیق ترند مایکرو ثابت می کند که این تصور کاملاً غلط است.
به تازگی اچ پی هم تحقیقات اختصاصی خود را روی امنیت ساعت های هوشمند آغاز کرده و یافته های آن ممکن است چندان به مذاق خواننده خوش نیاید. تمام این ساعت ها نقاط ضعف زیادی دارند که امنیت آن ها را به خطر می اندازد؛ به طوری که اچ پی از آن ها به عنوان مزر نوین و باز برای حملات سایبری یاد می کند. اچ پی فورتیفای در گزارش خود از نگرانی هایش در این باره می گوید: «احراز هویت کاربر کافی نیست؛ اینترفیس های وب ناامن که به هکرها کمک می کند، با به کارگیری مکانیزم ریست کردن گذرواژه کاربران، حساب آن ها را هک کنند و اینکه رمزنگاری که روی اطلاعات ارسالی انجام می شود به شدت ضعیف و ناکارآمد است. مورد آخر برای کسانی که در صنعت امنیت هستند بسیار اهمیت دارد و نگرانی های زیادی را موجب شده است. با اینکه تمام گجت ها از SSL/TSL استفاده می کنند؛ اما نتیجه تحقیقات اچ پی نشان می دهد که ۴۰ درصد ساعت ها یا در برابر حملات POODLE آسیب پذیر هستند یا اینکه هنوز از پروتکل های قدیمی مانند SSL 2.0 استفاده می کنند.» سیمئون کانی مدیر استراتژی شرکت
Adaptive Mobile معتقد است امکان پینگ کردن فاقد مجوز پیغام های کاربران بیش از اندازه نگران کننده است. او در این باره می گوید: «یکی از اساسی ترین خطرات امنیتی که در ساعت های هوشمند دیده می شود همانی است که در گوشی های هوشمند هم رایج است؛ اینکه کاربران را تشویق می کنند تا با نگاه کردن مختصر و اجمالی به نوتیفیکیشن ها جواب دهند. به این ترتیب هکرها می توانند با سودجویی از این رفتار از روش هایی برای تماس با کاربر استفاده کنند که اصلاً موشکافی نمی شوند. یعنی درست نقطه مقابل دریافت ایمیل روی پی سی که از همه نظر بررسی می شود.»

او اضافه می کند: «هر نوع تعاملی که در آن کاربر اطلاعات کامل به منظور مشخص کردن دسترسی قانونی را نداده باشد یا اینکه خود دستگاه یا اکوسیستم اسکن امنیت را به طور خودکار قبل از ارسال آن انجام ندهد، می تواند آسیب پذیر باشد.»
نکته بعدی که با آن روبرو هستیم، ارائه فریم ورهای به روز رسانی فاقد هیچ گونه رمزنگاری روی مکانیزم نقل و انتقال یا روی خود به روز رسانی هاست که می تواند دردسرساز شود. البته با توجه به اینکه بسیاری از به روز رسانی ها از امضای دیجیتالی برای جلوگیری از نصب مخرب ها استفاده می کنند، کمبود رمزنگاری به امکان دانلود آسان تر و آنالیز آن ها توسط خراب کاران کمک می کند. همچنین در این گزارش گفته شده که مقصر اصلی باز هم شرکت های سازنده و تولیدکننده هستند که به جای به کارگیری بسته های امنیتی مناسب، بیشتر بر طراحی و ویژگی های سخت افزاری ساعت ها تمرکز می کنند.
کن مانرو؛ شریک ارشد شرکای پن تست که یکی از حرفه ای ها در زمینه تست نفوذ است در این باره می گوید: «قسمتی از مشکلات امنیتی مرتبط با ساعت های هوشمند به تحول آن ها برمی گردد؛ تحولی که کمک کرده است سیستم های عامل به صورت مستقل به اینترنت وصل شوند. ما باید منتظر حملات هدفمند بیشتری باشیم. اپلیکیشن های ساعت هوشمند به گونه ای طراحی شده اند که به هر اجازه دسترسی، پاسخ مثبت می دهند؛ بنابراین اگر بدافزاری بتواند آپلود شود یا اینکه یک اپ مخرب روی ساعت نصب شود، قادر است به اطلاعات زیادی دسترسی داشته باشد. (شکل 1) آیا تهدید بدافزار بیشتر از آنکه متوجه ساعت باشد، به گوشی مربوط نمی شود؟ آیا مدرکی دال بر اینکه ساعت های هوشمند هدف حمله نویسندگان بدافزار قرار گرفته اند، وجود دارد؟» جمال هریس؛ مشاور امنیت اطلاعات MWR Labs می گوید: «در حال حاضر حملات زیادی روی ساعت های هوشمند صورت نمی گیرد؛ اما زمانی که کاربران شروع به استفاده از سیستم های پرداخت موبایلی کنند، این گونه حملات بیشتر می شود.»

ساعت های هوشمند

  شکل 1

هریس اضافه می کند که هم گوگل و هم اپل تلاش های زیادی برای مقابله با این حملات انجام داده اند تا از پخش بدافزار از ساعت به سمت گوشی جلوگیری کنند. اما اپلیکیشن ها می توانند به صورت مخفیانه روی برخی از ساعت های هوشمند نصب شوند و در برابر نرم افزارهایی که روی گوشی نصب و در حال اجرا است، رفتار متفاوتی دارا باشند و در نتیجه چالش آنالیز آن ها را برای کارشناسان مسائل امنیتی افزایش می دهد.
اما تنها دلیلی که باعث شده این ساعت ها از گزند حملات در امان بمانند، این است که برخلاف پیش بینی ها این گجت ها هنوز تبدیل به پدیده نشده اند. از نظر نرم افزاز نیز هرچه سیستم عامل کوچک تر باشد؛ هدف از جذابیت کمتری برخوردار است. اما در مقابل، گوشی های هوشمند  در مقایسه با ساعت های هوشمند عمومیت بیشتری دارند؛ اطلاعات حساسی که روی آن ها ذخیره می شود بیشتر است؛ قدرت پردازشی آن ها برای شروع حمله بهتر است و تماس مسقیم با شبکه های خارجی دارند.
کریس کامئو، مدیر NTT Com Security می گوید: «چرا باید فرد خود را برای هک کردن ساعت هوشمند به زحمت بیندازد؟ زیرا هم این کار نسبت به گوشی سخت تر است و هم اطلاعاتی که از آن به دست می آید بسیار ناچیز و کم اهمیت است. تنها چیزی که می توانم به آن فکر کنم آسیب پذیری ساعت هوشمند است که به شدت ساده و آسان است؛ اما چنین مشکلاتی می توانند به سرعت رفع شود.»

حریم خصوصی در معرض نمایش
اگر بدافزار برای اطلاعات شما تهدید به حساب نمی آید؛ پس برای خود شما تهدید است. لحظه ای به این مسئله فکر کنید که چه کسی جز شما از متن ها و ایمیل هایی که روی دستتان نمایش داده می شود باخبر است؟ کدهای احراز هویت، دو عاملی که به صورت اخطار روی صفحه ظاهر می شوند، چه نقشی می توانند دارا باشند؟ آیا به اشتراک گذاری غیرعمدی اطلاعات که به آن گشت و گذار شانه ای هم گفته می شود؛ می تواند تهدیدی جدی برای حریم خصوصی کاربر باشد؟ کریس کامئو معتقد است این مسئله که ساعت هوشمند همیشه روشن است، به خودی خود خطر بیشتری را در مقایسه با گوشی متوجه آن می کند. ساعت همیشه روی مچ بسته شده است؛ اما گوشی می تواند در جیب یا کیف قرار داشته باشد. بسیاری از این اطلاعات می تواند باعث شرمندگی و خجالت زدگی کاربر شود. استفاده از کدهای دوعاملی فاقد PIN، گذرواژه یا مجوز هیچ فایده ای ندارد.
اما بارات میستری نظری خلاف کامئو دارد. او از زاویه حفظ حریم اطلاعات به این مسئله نگاه می کند و هشدار می دهد که هنوز کنترل روی این دستگاه ها بسیار خام و ناپخته است؛ بنابراین خطر اشتراک گذاری اطلاعات به صورت غیرعمد به شدت افزایش می یابد. اگر کاربری فراموش کند دستگاه خود را قفل کند؛ این احتمال وجود دارد که دیگران بتوانند نوتیفیکیشن های روی صفحه را ببینند.
در واقع، زمانی که بحث مراقبت و محافظت از حریم شخصی پیش می آید، قفل کردن صفحه بهترین گزینه است. برای مثال، پوشیدنی اندروید با همان قفل صفحه ای عرضه می شود که در لالی پاپ گوشی های هوشمند آن وجود دارد. جمال هریس در این باره می گوید: «قفل کردن گوشی می تواند مانع خواندن پیغام ها توسط فرد حمله کننده شود. با وجود این، اگر قفلی روی ساعت گذاشته نشود؛ حتی یک نظر اجمالی می تواند اطلاعات بسیار حساسی را فاش کند.»

یکی از وظایف مهم و خطیر سازندگان این گونه ساعت ها آن است که مطمئن شوند این اپ ها تمیز هستند و از منابع شناخته شده و معتبر گرفته شده اند

اما حفاظت از اطلاعات چگونه می تواند آسیب پذیر باشد؟ سینک کردن اطلاعات بین بلوتوث و وای فای هم می تواند ریسک دیگری باشد. سیمئون کانی می گوید: «این مسئله نیز می تواند روش دیگری برای حمله فراهم کند. اما بحث فاصله در این مورد دخیل است، چون هر دو ویژگی برد محدودی دارند و نمی توانند از یک حد بیشتری کارایی دارا باشند.» حالا می رسیم به ایردراپ اپل. هم اکنون مشخص شده که این سرویس اپل برای ارسال محتوای ناخواسته به کاربران استفاده می شود. اگر ایردراپ بتواند راه خود را به ساعت هوشمند باز کند، می تواند با ارسال تقاضای به ظاهر واقعی برای پین کد؛ گذرواژه یا مجوزهای لازم پیغام های آلوده و مخرب خود را ارسال کند.»
شاید بزرگ ترین خطر حریم شخصی، دزدی باشد. از آنجا که ساعت دور مچ بسته می شود احتمال گم کردن آن در مقایسه با گوشی کمتر است. اما اگر بند آن پاره شود یا اینکه فراموش کنید هنگام خارج شدن از مکان های عمومی مانند هتل که احتمال باز کردن ساعت از دست زیاد می شود، آن را بردارید خطر حتماً شما را تهدید می کند. اسکات لستر، محقق ارشد در امنیت اطلاعات محتوا می گوید: «برای کاربران اپل گزینه مرا پیدا کن موجود نیست، اما یکی از ویژگی هایی که روی آن گذاشته شده این است که اگر ۱۰ بار پشت سرهم تلاش ناموفق برای وارد شدن به گوشی رخ دهد، اطلاعات آن به طور خودکار پاک می شود. در مورد پوشیدنی اندرویدی؛ کاربران می توانند وسایلی را که مستقیماً به وای فای متصل می شوند از کار بیندازند؛ هرچند که راهی برای پاک کردن اطلاعات روی آن موجود نیست.»

حمله اپی
و سرانجام به اپ ها و گاردهای امنی می رسیم که در قالب طراحی اپ درست شده اند تا بتوانند جلوی حملات را بگیرند. مارک جیمز، متخصص امنیت در شرکت ایست (East)، متقاعد شده است که فاقد شک اپ ها، بزرگ ترین شکستی ای هستند که در این بازار دیده خواهند شد.
به گفته MWR Labs، توسعه دهندگان اغلب درباره تغییراتی که در گوشی های هوشمند داده شده تا بتوانند به راحتی با ساعت های مربوطه در ارتباط باشند آگاهی ندارند. جمال هریس در توضیح این مطلب می گوید: «در پوشیدنی اندرویدی، توسعه دهندگان ملزم به ساخت و تعبیه سرویسی در اپ خود هستند تا بتواند بستر لازم را برای برقراری ارتباط و تبادل اطلاعات بین اندروید و پوشیدنی اندروید فراهم کند. از نظر تئوری، این سرویس فقط می تواند توسط پوشیدنی اندروید استفاده شود اما در تحقیقات ما مشخص شد که امکان ارتباط این سرویس با پوشیدنی روت شده نیز وجود دارد.» (شکل 2)

ساعت های هوشمند

  شکل 2

با توجه به اینکه ضعف یکی، می تواند روی دیگری نیز تأثیرگذار باشد؛ نکته مهم اینکه نیاز است چک های امنیتی نظیر شناسایی روت روی اپ هایی که برای پوشیدنی ها و سیستم عامل اندروید نوشته می شود، انجام گیرد. جمال اضافه می کند: «در مورد ساعت اپل، MWR توسعه دهندگانی را دیده که از روی عمد، موارد امنیتی را روی اپلیکیشن های iOS ضعیف می کنند تا به این ترتیب اطلاعات حساس و حیاتی به ساعت هوشمند منتقل شود. یکی از وظایف مهم و خطیر سازندگان این گونه ساعت ها آن است که مطمئن شوند این اپ ها تمیز هستند و از منابع شناخته شده و معتبر گرفته شده اند.» در خاتمه مارک جیمز می گوید: «تنها راه محافظت از کاربران اطمینان حاصل کردن از طراحی اپ و دقت در ارسال و انتشار آن ها است.»

اما کارشناسان به کدام ساعت ها اعتماد دارند؟
آیا کارشناسان امنیتی یک پلتفرم ساعت هوشمند را به دیگری ترجیح می دهند؟ بهتر است با هم نظرات آن ها را بخوانیم.

بارات میستری از ترند مایکرو از اپل پشتیبانی می کند
محافظت فیزیکی از این دستگاه در بین تمام تولیدکنندگان آن ضعیف و کمتر از سطح انتظار است. در تحقیقاتی که روی مدل های مختلف داشتیم، هیچ کدام از آن ها به صورت پیش فرض از احراز هویت از طریق گذرواژه یا سایر روش ها استفاده نمی کنند. پس اگر این پوشیدنی دزدیده شد همه چیز در دسترس خواهد بود. تمام ساعت ها به جز ساعت اپل فاقد سیستم تایم اوت بودند؛ یعنی گذرواژه ها فقط از طریق کلیک دستی روی دکمه فعال می شوند که موجب می شوند درصد آسیب پذیری دستگاه بالا برود. همچنین در صورتی که روی ساعت اپل چندین بار تلاش نافرجام ورود داشته باشید، دستگاه به طور خودکار پاک می شود.

پل لمسوریر از کرول أنترک به هیچ کدام از این ساعت ها اطمینان ندارد
فاقد درنظر گرفتن برند یا سیستم عامل، ساعت های هوشمند ذاتاً با مشکلات امنیتی عدیده ای همراه هستند. اینترفیس آن ها ناامن است یا اینکه سیستم احراز هویت مناسبی ندارند. 
البته تنها نکته مثبت آن است که می توان به راحتی این گجت ها را هک کرد ولی اطلاعات زیادی نمی توان از آن ها به دست آورد. فعلاً کاربران باید نگران مکان هایی باشند که اطلاعاتشان ذخیره و به اشتراک گذاشته می شود. چون هدف نهایی هکرها سیستم ابری است که سازندگان استفاده می کنند.

کریس کامئو از NTT Com Security از اپل پشتیبانی می کند
اگر به گذشته نگاه کنیم، می بینیم که روش اپل برای مقابله با خطرات امنیتی در گوشی های آی فون با موفقیت بیشتری همراه بوده است. پلتفرم بسته، سیستم اپل استور حفاظت شده، بستن سریع جیل بریک و سایر مشکلات امنیتی در کنار طراحی کلی نرم افزار باعث شده تا آی فون ها در برابر حملات و خطرات امنیتی مقاوم باشند. درمقابل سیستم اندروید بسیار تکه تکه و از هم جداست و پیوسته کردن مداوم آن کاری بس دشوار. در نتیجه بسیاری از بدافزارها روی اندروید اثر می گذارند، اما نمی توانند گزندی به iOS برسانند. دور از انتظار نیست که همین رویه ادامه داشته باشد و شاهد ساعت های اپل با امنیت بیشتر و پلتفرم محدودتر باشیم؛ در حالی که اندروید کاملاً باز است و خطرات بیشتری آن را تهدید می کند

.

منبع : shabakeh-mag.com

تبلیغات