Internet delle cose – Pagina 5

CloudPets, altri giocattoli “smart” spioni

2018-11-20
di Paolo Attivissimo
falle di sicurezza, Internet delle cose, privacy, ReteTreRSI

Ultimo aggiornamento: 2018/06/08 8:40.

“Smart” è una parola di marketing che dovrebbe significare “intelligente” ma in realtà finisce spesso per indicare oggetti che hanno gravi difetti di sicurezza digitale, specialmente nel campo dei giocattoli.

Ho già raccontato il caso della bambola “smart” My Friend Cayla qui e qui; ora arriva la segnalazione dei peluche CloudPets, che possono essere usati dai bambini per scambiarsi messaggi vocali a distanza o dai genitori per parlare magicamente con i figli (esigenza molto sentita dai genitori che viaggiano molto per lavoro o sono separati).

Come Cayla, questi giocattoli hanno un microfono e un altoparlante e si collegano senza fili a uno smartphone, che a sua volta li collega a Internet. A differenza della bambola, però, qui c’è una password che protegge la connessione. Fin qui tutto bene, insomma.

Ma l’archivio centrale dei messaggi dei CloudPets era facilmente accessibile via Internet e infatti è stato violato. Circa due milioni di messaggi sono così finiti nelle mani di pirati informatici, che li offrono a chiunque li voglia, insieme agli account che consentono di identificare le famiglie colpite.

Casi come questi indicano che i fabbricanti non stanno pensando adeguatamente alla sicurezza di questi giocattoli interconnessi. In attesa di uno standard da rispettare, come avviene per altre sicurezze, forse dovremmo farlo noi genitori, rifiutando di acquistarli.

2018/06/08 8:40

Bitdefender segnala che i giocattoli CloudPets finalmente stanno cominciando a essere ritirati dal mercato, un anno dopo la scoperta delle loro vulnerabilità. Spiral, l’azienda che li fabbrica non ha ancora implementato misure di autenticazione che impediscano a un malfattore di spiare i bambini attraverso i CloudPets.

Halloween informatico: “Mamma, la voce che mi parla non è quella di papà”

2018-11-07
di Paolo Attivissimo
Internet delle cose, MGD, ReteTreRSI, sorveglianza

Sembra l’inizio di una storia horror arrivata in leggero ritardo per Halloween, ma è in realtà una notizia di cronaca: a Long Island, negli Stati Uniti, un bambino di cinque anni è andato di corsa dalla mamma e le ha detto che nella sua cameretta c’era la voce di un uomo. E non era quella di papà.

La madre, che ha chiesto l’anonimato all’emittente PIX11 alla quale ha raccontato la propria storia, ha spiegato che lei e il marito avevano installato in tutta la casa una serie di telecamere di sorveglianza domestica della Nest e che il marito aveva l’abitudine di usarle per chiacchierare con il figlio quando era fuori casa, collegandosi alle telecamerine Nest tramite il proprio smartphone.

Ma stavolta, racconta la madre, al posto del marito c’era qualcun altro, una voce maschile che “ha chiesto a mio figlio se prendeva lo scuolabus per tornare a casa e gli chiedeva dei suoi giocattoli, e quando mio figlio mi ha chiamato lui gli ha detto di stare zitto.” Quando lei è entrata nella cameretta, la voce si è rivolta a lei direttamente.

Ora la donna si chiede da quanto tempo questo sconosciuto ha sorvegliato la sua famiglia. La polizia le ha detto che non può fare granché, mentre Nest si è limitata a consigliarle di cambiare password e di usare l’autenticazione a due fattori per proteggere la telecamera. Sottoscrivo il consiglio e aggiungo una domanda: ma fare una telefonata normale al figlio non bastava?

Omicidio risolto da un Fitbit (o quasi)

2018-10-12
di Paolo Attivissimo
FitBit, geolocalizzazione, informatica forense, Internet delle cose, RadioInBlu

Credit: Fitbit.com.

È ormai ben noto che i braccialetti di fitness e gli smartwatch sono molto efficaci per chi pratica attività fisica e vuole monitorare i propri progressi e risultati; fanno anche monitoraggio dell’attività cardiaca e della qualità del sonno, in modo discreto e poco invadente. Non è altrettanto risaputo che sono dei testimoni digitali che permettono di risolvere crimini.

In California il presunto colpevole dell’omicidio di una donna di 67 anni, Karen Navarra, è stato incastrato proprio da un braccialetto di fitness. Non il suo, ma quello della sua vittima, come raccontano il New York Times e Naked Security.

Anthony Aiello, novantenne e patrigno della vittima, aveva detto alla polizia di essere andato a trovare la figliastra il giorno in cui è stata uccisa, l’8 settembre scorso, ma di averla lasciata ben prima dell’ora del delitto e anzi di averla notata passare in auto in compagnia di qualcuno nel tardo pomeriggio.

Ma Aiello non ha considerato che la figliastra indossava un braccialetto FitBit, che aveva registrato i battiti cardiaci della donna e li aveva trasmessi al suo computer e da lì agli archivi della casa produttrice del braccialetto digitale.

Gli inquirenti, armati di un mandato di perquisizione, hanno estratto i dati del braccialetto con l’aiuto di un responsabile della Fitbit e hanno visto che alle 15:20 del giorno del delitto il dispositivo aveva rilevato un improvviso aumento delle pulsazioni cardiache della donna, che erano completamente cessate alle 15:28.

Ma a quell’ora l’auto di Aiello era ancora parcheggiata accanto alla casa della vittima, come documentato da un’altra tecnologia: quella delle telecamere di sorveglianza.

I dati di un braccialetto di fitness non hanno necessariamente valore legale, soprattutto in un caso grave come un omicidio. Per cui a questo punto gli inquirenti hanno adottato una tecnica molto astuta: hanno interrogato Anthony Aiello, spiegandogli come funziona un Fitbit e raccontandogli che registra i movimenti fisici e i battiti cardiaci, assegnando a questi dati un riferimento temporale molto preciso. Infine gli hanno detto che i dati del Fitbit dimostravano che la figliastra era già morta quando lui l’aveva lasciata, e se ne sono andati lasciandolo nella stanza d’interrogatorio.

Secondo il rapporto di polizia, Aiello a quel punto ha cominciato a parlare da solo, dicendo ripetutamente “Sono rovinato”. Questo ha portato alla sua incriminazione per omicidio. A casa di Aiello sono stati anche trovati indumenti insanguinati.

Se Aiello verrà dichiarato colpevole, sarà insomma anche grazie alla traccia di dati digitali che ogni persona lascia dietro di sé, con telefonini che fanno geolocalizzazione silente, con acquisti effettuati con carte di credito, con le telecamere di sorveglianza e con i post nei social network. La tecnologia sta rendendo sempre più difficile mentire, e in casi come questo delitto è sicuramente un bene. Ma è anche importante ricordare che questa tecnologia non è perfetta: il mio account Google, legato al mio smartphone, giura che sono stato in Turchia l’11 maggio 2016, percorrendo 5375 chilometri in un’ora e 46 minuti a piedi. Attenzione, insomma, a non incriminare solo sulla base dei dati.

Nota: Visto che me lo state segnalando in parecchi, vorrei chiarire che so che il mio indirizzo di casa è visibile nell’immagine qui sotto. Va bene così. I complottisti verranno accolti con un sorriso e una fetta di torta. In faccia.

Il campanello “smart” ha un problemino di riconoscimento facciale

Ho già raccontato in altre occasioni che i campanelli “smart” hanno rischi e benefici che è meglio conoscere, dalle password ricordate troppo a lungo alla possibilità di sorvegliare a distanza la propria abitazione e confondere i postini.

Stavolta la storia è semplicemente divertente: un utente di un campanello Nest si è trovato chiuso fuori casa. Questi campanelli hanno la possibilità di azionare automaticamente le serrature altrettanto “smart” quando la loro telecamera vede un volto sconosciuto davanti alla porta di casa.

Sembra un’idea intelligente che non dovrebbe avere effetti collaterali inattesi e anzi dovrebbe migliorare la sicurezza, ma non è quello che è successo a B.J. May, l’utente che ha raccontato su Twitter la propria disavventura.

B.J. si è presentato davanti alla propria porta e il campanello lo ha chiuso fuori. Come mai? Beh, con lui c’era un volto, ehm, sconosciuto e il riconoscimento facciale si è concentrato su quello:

My @nest doorbell automatically locks the front door when it sees a face it doesn’t recognize. Today it didn’t recognize me, so I went into the app to investigate and… pic.twitter.com/qcgE4Ii1pn

— B.J. May (@bjmay) 17 settembre 2018

150 miliardi di ore di dati cardiaci in mano a Fitbit rivelano nuovi fenomeni e ne confermano altri già noti

2018-09-16
di Paolo Attivissimo
Internet delle cose, monitoraggio salute, ReteTreRSI

La raccolta di dati personali effettuata in massa dai dispositivi digitali ha delle implicazioni di privacy molto serie, ma ha anche delle conseguenze utili e interessanti.

Per esempio, i braccialetti di fitness della Fitbit hanno acquisito circa 150 miliardi di ore di dati sull’attività fisica dei loro utenti, e questa massa enorme di dati, il più grande database di dati cardiaci mai creato, è ora analizzabile per estrarne tendenze che altrimenti non sarebbero visibili.

Yahoo Finance ne parla in dettaglio, segnalando molte di queste tendenze: per esempio, secondo i dati Fitbit (che, va detto, non rappresentano l’intera popolazione ma solo coloro che usano questi prodotti), in media la frequenza cardiaca a riposo, un indicatore di salute importante, è più alta nelle donne che negli uomini; i benefici cardiaci dell’esercizio fisico non aumentano se si supera la mezz’ora giornaliera; e sette ore di sonno effettivo portano a una frequenza a riposo più bassa rispetto alle canoniche otto ore.

Ci sono molti altri indicatori interessanti nell’articolo di Yahoo: ne segnalo ancora uno che farà piacere agli italofoni. Come mostrato nella figura qui sopra, gli italiani (perlomeno quelli che usano i Fitbit) sono in ottima forma, con una media di 84 minuti giornalieri di attività e una frequenza cardiaca a riposo molto bassa (61 pulsazioni al minuto).

Stampanti 3D vulnerabili via Internet, che male possono mai fare?

2018-09-13
di Paolo Attivissimo
falle di sicurezza, Internet delle cose, ReteTreRSI, stampanti 3D

Su Internet ci sono varie migliaia di stampanti 3D non protette e quindi comandabili a distanza. Una delle principali autorità di sicurezza informatica, il SANS Internet Storm Center, ha infatti pubblicato un avviso per chi usa stampanti 3D con OctoPrint, un’interfaccia di controllo remoto.

OctoPrint è comodissima per comandare a distanza la stampante e sorvegliarla durante il lungo processo di creazione di oggetti tridimensionali, ma va protetta con una password, altrimenti chiunque può prendere il comando della stampante via Internet.

Trovare le stampanti vulnerabili è facilissimo, grazie agli appositi motori di ricerca come Shodan: ce ne sono 45 in Svizzera, 77 in Italia, e in totale 4170 nel mondo.

Magari vi state chiedendo che rischio ci possa mai essere nel lasciare una stampante 3D accessibile a chiunque via Internet. Il massimo che possono fare è stampare qualcosa di scurrile per farvi uno scherzo e consumarvi un po’ di materiali, no?

Non proprio. È importante esercitare la creatività per capire come ragionano e cosa possono fare gli aggressori informatici. Per esempo, tramite Octoprint un intruso può scaricarsi le istruzioni di stampa contenute nella stampante: se la stampante appartiene a un’azienda che la usa per stampare prototipi di nuovi prodotti, per esempio macchine per caffé o smartphone, il ficcanaso potrebbe portarsi via segreti industriali oppure alterare le istruzioni in modo poco visibile per sabotare il prodotto.

Ma si puo fare di peggio: una stampante 3D ha motori e resistenze di riscaldamento. Un intruso potrebbe riprogrammare questi componenti (il firmware è spesso aggiornabile da remoto) e farli surriscaldare, danneggiando irreparabilmente la stampante o dandole fuoco.

Va detto che questa vulnerabilità è colpa dell’utente: OctoPrint infatti avvisa esplicitamente di non attivare l’accesso via Internet non protetto, che non è affatto l’impostazione predefinita. Anzi, l’utente deve sceglierla intenzionalmente.

L’Internet delle Cose: la toilette connessa e vulnerabile

Ultimo aggiornamento: 2019/09/07 22:20.

Il ricercatore Troy Hunt ha pubblicato un tweet dedicato a una delle cose più bizzarre da collegare a Internet o a uno smartphone: una toilette. Quella che vedete qui sotto, dice, è la traduzione delle diciture su schermo. Qualcuno che sa il giapponese me le può confermare?

[17:50: mi sono arrivate varie conferme della correttezza delle traduzioni]

Il diario delle evacuazioni, con la possibilità di scegliere forma e colore e “feeling”.

Sort in base a forma, colore, “feeling”, mese e numero di utilizzi; movimenti intestinali, normale, scomodo, dolori allo stomaco/addome, dolori alle natiche.

Forma, colore, uniformità del colore. Selezione della forma: a proiettile, pesante, a imbuto, flatulento, uniforme, duro, rigido. La scala di colori si spiega inquietantemente da sola.

Quando avete finito di sorridere e rivolgere un pensiero ai poveri sviluppatori, programmatori e collaudatori dell’app, vi racconto della questione di sicurezza informatica legata a questo gabinetto, che ha una…backdoor. Come raccontato da Extremetech e Trustwave, questa toilette è comandabile via Bluetooth, e il PIN predefinito per abbinare un telefonino a una toilette è 0000.

Questo significa che chiunque si trovi nella portata di trasmissione Bluetooth (un ospite dispettoso in casa o un vicino in vena di scherzi o molestie) può prendere il controllo della toilette e, uhm, scaricare i dati fisiologici che registra, oppure azionarla a sorpresa. Trovarsi con uno sciacquone che parte a sorpresa può essere disorientante, ma immaginate come ci si può sentire se si attiva inaspettatamente il doccino incorporato o l’asciugatore.

Non è previsto alcun rimedio sotto forma di aggiornamento del software della toilette; l’unica protezione è evitare l’acquisto di questi dispositivi insicuri. E se state pensando all’assurdità di avere degli aggiornamenti software per un water, non siete i soli.

Per coniare una frase: ce n’era davvero bisogno?

In Tesla fino a Verona per parlare di Elon Musk: visionario illuminato o folle ottimista?

2018-08-05
di Paolo Attivissimo
auto elettriche, avventurette in auto elettrica, Internet delle cose, Tesla (auto)

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi piace, potete incoraggiarmi a scrivere ancora (anche con un microabbonamento). Ultimo aggiornamento: 2018/08/05 12:15.

Il 12 marzo scorso, prima del lancio della Tesla Model 3 (la versione “economica” delle auto elettriche di Elon Musk), sono stato invitato da Redder.it a parlare per una ventina di minuti a Verona, all’incontro Tesla Revolution, dove sono arrivato a bordo di una splendida Tesla Model S rossa (grazie Danilo!).

Abbiamo percorso 205 km in due ore e 21 minuti, senza fermarci a ricaricare e con la guida assistita (Autopilot) quasi sempre inserita, consentendoci un viaggio rilassato e una guida morbidissima. L’auto in Autopilot sembra seguire un binario invisibile, tanto che sembra di stare in treno, in un abitacolo silenzioso e comodo. L’ho provata per un breve tratto autostradale e cittadino, ed è sorprendentemente agevole da guidare anche in città. Ho già guidato auto da cinque metri (ho avuto per undici anni un monovolume Pontiac Trans Sport), ma mai così basse costose e con un’interfaccia utente così informatizzata, per cui ho un po’ di patema. Ma nel complesso è una bella esperienza.

L’indomani, dopo una ricarica al Supercharger presente presso l’albergo nel quale si teneva il convegno, siamo andati in città per pranzare insieme a Danilo e consorte e goderci un po’ Verona.

Parcheggiare un’auto da cinque metri per due negli stretti autosilo europei non è proprio agevole, e soprattutto bisogna cercare un posto che esponga il meno possibile ai danni da manovra inconsulta altrui, ma il sistema di indicazione delle distanze dagli ostacoli dell’auto facilita l’operazione.

Fa freddo, per cui approfittiamo con piacere di un’altra funzione utilissima, offerta dal fatto che l’auto è elettrica e comandabile da remoto e quindi è possibile farla funzionare anche al chiuso senza emettere gas di scarico tossici: il preriscaldamento dell’abitacolo. Durante il viaggio d’andata, Danilo ha fatto scoprire a mia moglie Elena il piacere dei sedili riscaldati elettricamente e ha spiegato che sono comandabili tramite app sul telefonino. Per cui a Elena, durante la freddolosa passeggiata per tornare all’auto, esclama “Danilo, scalda i sedili!”. Ci si abitua in fretta al lusso.

Il viaggio di ritorno al Maniero Digitale è altrettanto piacevole e tranquillo: nessuna sosta di ricarica, Autopilot quasi sempre attivo. Noto però che un paio di volte l’Autopilot mantiene la corsia stando più vicino ai veicoli laterali di quanto farebbe un conducente umano: è leggermente inquietante trovarsi a qualche decina di centimetri dalla fiancata di un camion. Certo, i sensori laterali misurano costantemente la distanza laterale e sono pronti a intervenire sterzando se il veicolo che ci sta a fianco si sposta verso di noi, ma un po’ di tensione si prova lo stesso.

Anche Danilo, che è alla guida, non è entusiasta di questo comportamento dell’auto, e tende a correggerlo: è interessante notare che la Model S in Autopilot, prima di cedere il controllo al conducente, oppone una leggera ma avvertibile resistenza. “Lei non vuole”, commenta Danilo.

—

Ieri è stato pubblicato il video del mio intervento, che è una sorta di mini-biografia critica, e un po’ antibufala, di Elon Musk e dei suoi progetti.

Dato che alcune delle immagini che ho mostrato nella presentazione non sono molto visibili nel video, le pubblico qui sotto. Buona visione.

Un impianto idrico comandabile via Internet, senza password e senza crittografia

2018-07-02
di Paolo Attivissimo
falle di sicurezza, Internet delle cose, RadioInBlu, ReteTreRSI

Ultimo aggiornamento: 2018/07/02 21:35.

Quando si parla di “attacchi hacker” ci si immagina facilmente un gruppo di agguerritissimi incursori informatici che scavalcano abilmente un labirinto di difese digitali. Ma la realtà è spesso molto meno spettacolare e decisamente più imbarazzante. Ancora oggi tante, troppe aziende non prendono le misure minime di difesa informatica.

Vi racconto un caso pratico, senza fare nomi per ovvie ragioni. Molte aziende hanno impianti gestiti tramite telecontrollo: macchinari, dighe, depuratori e altro ancora. È quella che si chiama in gergo l’Internet delle Cose. È un sistema molto comodo, che fa risparmiare tempo, denaro e trasferte, ma bisogna usarlo in modo responsabile. Il problema, infatti, è che questo telecontrollo in molti casi viene svolto via Internet usando connessioni non protette da password e crittografia.

Questo significa che chiunque può sorvegliare abusivamente questi impianti e spesso prenderne anche il controllo. Tutto quello che serve è saperne le coordinate Internet, ossia l’indirizzo IP, e poi immetterlo in un programma liberamente scaricabile, come per esempio VNC. Fatto questo, l’aggressore può cliccare sui pulsanti dell’impianto come se ce l’avesse davanti.

Purtroppo molti installatori, gestori e utenti di questi impianti pensano che questo indirizzo IP non sia facilmente reperibile e quindi credono di essere al sicuro e che proteggere la connessione con una password non serva e sia anzi solo una scocciatura che intralcia il loro lavoro: tanto, se nessuno sa qual è l’indirizzo IP, non c’è pericolo. Ma è un errore gravissimo, perché esistono motori di ricerca per gli indirizzi IP dei dispositivi connessi a Internet: una sorta di Google per macchinari online.

Di conseguenza, un aggressore non deve fare altro che usare questi motori di ricerca pubblicamente accessibili, come Shodan.io, per scoprire tutti i dispositivi connessi in modo insicuro, presentati su una pratica cartina geografica. Il talento informatico che gli serve è praticamente zero. A quel punto è pronto per un attacco all’impianto aziendale, per esempio a scopo di sabotaggio o estorsione.

Ieri ho trovato su Internet uno di questi apparati, accessibile senza alcuna password o protezione: era un sistema per la gestione di una cosiddetta “opera di presa”, una di quelle che preleva acqua da un fiume o un torrente.

Ho avvisato telefonicamente e via mail i responsabili dell’impianto e la Polizia Postale del luogo, ma sono passate molte ore prima che qualcuno rimediasse alla falla di sicurezza aperta da chissà quanto tempo [correzione: il rimedio che sembrava essere imminente quando ho preparato questo testo non c’è ancora stato].

Nel frattempo chiunque avrebbe potuto manovrare l’impianto e causare danni. E come questo impianto ce ne sono molti altri, in Italia e nel mondo.

Screenshot del 15/1/2018. Sì, la data visualizzata è sbagliata in avanti di un giorno.

Episodi come questo sono un forte monito a chi si occupa di sicurezza degli impianti da cui noi tutti dipendiamo: è ora di smettere di pensare che se non si pubblica l’indirizzo IP di un dispositivo, di una telecamera, di una paratoia di una diga, di un impianto antincendio o di un altoforno, nessuno lo troverà mai. Pensare in questo modo è l’equivalente di lasciare la chiave di casa sotto lo zerbino perché tanto nessuno sa che è lì. Lo sanno tutti. Se potete, adeguatevi.

Questo articolo è il testo preparato il 15 gennaio 2018 per il mio servizio La Rete in 3 minuti per Radio Inblu del 16 gennaio 2018 e ampliato per la puntata del Disinformatico della Radiotelevisione Svizzera del 19 gennaio 2018. Alcuni dettagli sono stati omessi, mascherati o alterati per esigenze di riservatezza e sicurezza. Ultimo aggiornamento: 2018/01/19 8:00.

Cronologia degli eventi

2018/01/15 13:15. Ho telefonato all’azienda per avvisarla del problema.

13:22. Ho inviato una mail informativa all’azienda, come richiesto dalla persona raggiunta telefonicamente.

13.25. Ho fatto il mio primo tweet pubblico sulla vicenda, anonimizzandola rigorosamente. Non ho pubblicato l’indirizzo IP, il nome dell’azienda o il nome della località, come potete leggere qui sotto:

Screenshot anonimizzato. Notare il pulsante “Manuale/automatico”. pic.twitter.com/5tQrxXZldu

— Paolo Attivissimo (@disinformatico) January 15, 2018

16:00. Ho telefonato alla Polizia Postale di zona per informarla della situazione.

16:06. Ho inviato alla Polizia Postale di zona una mail con i dettagli, come richiesto.

2018/01/16 10:05. L’impianto è risultato ancora accessibile come prima, senza password e senza crittografia. Ho inviato una seconda mail di avviso all’azienda.

14:10. Ancora nessuna risposta o reazione da parte dell’azienda.

16:40. Tutto come prima. Sembra proprio che non gliene freghi niente a nessuno.

18:00. Per tutti quelli che me l’hanno chiesto:

sì, lo so che data e ora visualizzate sullo schermo dell’impianto sono sbagliate (la data è avanti di un giorno, l’ora di qualche minuto);
no, non credo che sia un honeypot, vista la reazione telefonica dei titolari e della Polizia Postale;
sì, c’è il rischio che qualcuno clicchi sui pulsanti e poi venga accusato io di averlo fatto; ma l’indirizzo IP dal quale proverrebbero le cliccate abusive non sarebbe il mio;
no, non intendo divulgare l’indirizzo IP dell’impianto prima che la vulnerabilità sia stata risolta;
no, non intendo cliccare su qualche pulsante per dimostrare che l’impianto è controllabile a distanza. Il fatto stesso che sia accessibile senza password è una lacuna di sicurezza più che sufficiente.

20:00. Rispondo a un’altra domanda ricorrente: ma il fatto di guardare tramite VNC un impianto come questo non è reato? Non sono un legale, ma direi che questa citazione dal sito della Polizia Postale è importante: “La norma [Art.615-ter, accesso abusivo ad un sistema informatico e telematico] esplicitamente prevede che il sistema informatico o telematico (sistema che integra informatica e telecomunicazioni), perché si configuri il reato in argomento, sia protetto da misure di sicurezza…. in assenza di misure di sicurezza, l´introduzione in sistemi informatici non costituisca reato”. E per chi contesta che sto entrando in un sistema informatico altrui e quindi è come se stessi entrando in casa di qualcuno senza permesso: no, non sto entrando, sto guardando quello che si vede da fuori, dalla porta lasciata stupidamente spalancata, e sto avvisando che da quella porta spalancata rischiano di passare ladri e vandali.

22:00. Ho mandato un’ultima mail sconsolata all’azienda. Intanto ho saputo che l’impianto è in queste condizioni da febbraio 2017. A questo punto ci rinuncio: se all‘azienda sta bene che chiunque possa giocherellare con i loro apparati, buon pro le faccia.

2018/01/17 9:30. Nessuna risposta neanche all’ultima mail. L’impianto è ancora accessibile a chiunque.

10:25. L’azienda ha risposto ringraziando e dicendo laconicamente “ce ne stiamo occupando.”

16:20. L’accesso è ancora aperto senza password.

2018/01/18 23:40. Tutto è ancora come prima.

2018/01/19 11:30. Situazione invariata.

2018/01/21 22:15. L’impianto è ancora raggiungibile con un qualunque VNC, senza crittografia e senza password.

2018/07/02 21:35

Ho controllato poco fa e l’impianto, a distanza di mesi, è ancora visibile tramite VNC, senza crittografia e senza password. Non ho provato ad azionare i comandi.

A questo punto è evidente che all’azienda va bene così, per cui non insisto ulteriormente a tutelarla per scrupolo: si tratta della Lumiei Impianti e l’impianto è l’opera di presa di Auempoch, in provincia di Udine, reperibile su Shodan qui.

Schermata catturata da me poco fa con VNC.

Schermata tratta oggi da Shodan.

Telecamere via Internet vulnerabili, alcune mandano da sole i video a qualcun altro

2018-06-29
di Paolo Attivissimo
attacchi informatici, Internet delle cose, ReteTreRSI

Non è la prima volta che parlo di telecamere IP vulnerabili perché mal configurate dagli utenti che non ne cambiano le ridicolissime password predefinite o vendute con falle di sicurezza che permettono a un intruso di intercettare le immagini trasmesse. Un esempio classico arriva dalla Shenzhen Gwelltimes Technology Co., Ltd, un’azienda che produce telecamere da connettere a Internet vendute con vari marchi (tipo FREDI) e ricche di falle imbarazzanti.

Le password predefinite sono “123” e l’app Yoosee consente di gestire le telecamere senza dover cambiare queste password; le telecamere sono numerate in sequenza, per cui un aggressore può sfogliarle tutte semplicemente cambiando un numero nel link pubblico. I risultati sono inevitabili, come racconta Jamie Turman, una madre della South Carolina: ignoti hanno preso il controllo della sua telecamerina IP, usata per tenere d’occhio il figlio Noah, spiando la donna e seguendola mentre si spostava nella stanza del bambino. Si è accorta che la telecamera cambiava posizione, puntando esattamente la zona dove lei regolarmente allattava il figlio.

Questo tipo di intrusione, però, richiede che un intruso si dia da fare per trovare le telecamere vulnerabili e le violi. Ci sono marche che fanno di più: la Swann Security ha messo in commercio una di queste telecamere che manda spontaneamente i video agli sconosciuti, senza che loro debbano fare nulla.

Lo ha segnalato la BBC, e la Swann si è giustificata dicendo che due esemplari della loro telecamera sono stati fabbricati per errore con lo stesso identificativo e comunque gli utenti si sarebbero dovuti accorgere che qualcosa non quadrava quando la telecamera, durante il pairing, ha avvisato che era già abbinata a un account. Il problema dovrebbe essere stato circoscritto, ma la figuraccia probabilmente no.

Fonti aggiuntive: Engadget, Bleeping Computer, BoingBoing.

« Precedente
1
…
3
4
5
6
7
…
12
Successivo »