В охранных системах iSmartAlarm найдены множественные уязвимости

В охранных системах iSmartAlarm найдены множественные уязвимости

В охранных системах iSmartAlarm найдены множественные уязвимости

Специалист компании Bullguard Security Илья Шнайдман (Ilia Shnaidman) рассказал в своем блоге о множественных уязвимостях в составе продуктов iSmartAlarm. iSmartAlarm производит самые разные IoT-решения в области безопасности, в том числе дверные сенсоры, датчики движения, камеры, замки, а также блоки контроллеров, которые носят название Cube.

Все это сопрягается с приложениями для iOS и Android, а также Alexa и в теории позволяет организовать современный «умный» и безопасный дом. Еще в январе 2017 года Шнайдман обнаружил в составе iSmartAlarm и iSmartAlarm Cube целую россыпь багов, однако все его попытки связаться с производителем не принесли никаких результатов. В частности, исследователь нашел в проблемы с  валидацией SSL-сертификатов, проблемы с аутентификацией, уязвимость перед DoS-атаками, а также баг в access control.

Специалист отмечает, что для компании, производящей системы безопасности,  iSmartAlarm выпускает продукты с совсем очевидными проблемами. К примеру, баг с валидацией SSL-сертификатов компрометирует все данные, передаваемые от решений iSmartAlarm мобильному приложению пользователя. Исследователь обнаружил, что во время SSL-хендшейка с сервером Cube вообще не проверяет аутентичность сертификата. Шнайдману осталось лишь подделать самоподписанный сертификат, чтобы перехватить контроль над всем трафиком, идущим от Cube к серверу и обратно, пишет xakep.ru.

Как уже было сказано выше, к сожалению, исправлений для найденных специалистом багов все еще нет, так как Шнайдман попросту не сумел связаться с разработчиками iSmartAlarm, — все его запросы проигнорировали.

Стоит сказать, что это не первый случай, когда исследователи обнаруживают, что IoT-устройства, призванные защищать пользователей, скорее вредят им. Так, в 2016 году специалисты Rapid7  рассказывали о баге в домашних системах безопасности компании Comcast. По сути, уязвимость позволяла домушникам пробраться в квартиру или дом, отключив охранную систему с помощью банального устройства для создания радиопомех.

Windows 11 проверит ваш возраст сама и расскажет его приложениям

Microsoft решила превратить проверку возраста из надоедливой анкеты в системную функцию Windows 11. Новые API позволят зарегистрированным приложениям узнавать возрастную категорию пользователя и получать статус её подтверждения, но без доступа к точной дате рождения.

Система разделит владельцев компьютеров на пять групп: до 10 лет, 10-12, 13-15, 16-17 и 18+.

Отдельный сигнал покажет, подтверждены ли эти сведения независимым провайдером идентификации, не прошли проверку или пользователь вообще отказался участвовать.

Получить данные сможет не каждая программа, случайно поселившаяся на компьютере. Microsoft намерена проверять личность запрашивающего приложения, а разработчику придётся зарегистрироваться на платформе Digital Safety.

Возрастные сигналы предлагается использовать для ограничения взрослого контента, управления покупками, социальных функций и родительского контроля.


Зачем всё это? Сейчас каждому сервису приходится самостоятельно выяснять, взрослый ли перед ним человек: просить дату рождения, банковскую карту, документ или хотя бы поставить честнейшую галочку «Мне есть 18». Microsoft хочет оставить конфиденциальные сведения у системного посредника, а приложениям выдавать лишь необходимый минимум.

Правда, полностью закрытым вопрос пока не выглядит. Компания не объяснила, какими именно способами будет определять и подтверждать возраст владельца учётной записи. Кроме того, решение о блокировке контента всё равно останется за разработчиками приложений.

API уже появились в предварительной документации для Windows 11 24H2, но пока не работают: запросы возвращают неопределённый возраст и статус недоступности. Запустить функцию Microsoft планирует в одном из обновлений до конца 2026 года.

RSS: Новости на портале Anti-Malware.ru