Основатель ИБ-компании Whitescope Билли Райос (Billy Rios) выступил на конференции Black Hat с интересным докладом, посвященным небезопасности IoT-устройств. Казалось бы, о том, что интернет вещей пора переименовывать в «интернет уязвимых вещей» всем и без того известно.
Достаточно вспомнить взломы автомобилей, вибраторы, с множеством уязвимостей, баги в медицинском оборудовании или недавний взлом казино, осуществленный через «умный» аквариум.
Однако Райос объединил усилия с Джонатаном Баттсом (Jonathan Butts) из компании QED Secure Solutions и рассказал о не совсем обычном хаке: исследователям удалось скомпрометировать полностью автоматизированную бесконтактную автомойку PDQ LaserWash. По их словам, такой взлом может быть очень опасен и даже способен создать угрозу чужой жизни,
«Мы уверены, что это первый взлом сетевого устройства, который может заставить устройство напасть на кого-нибудь», — рассказал Райос в беседе с журналистами Vice Motherboard.
Мойки PDQ LaserWash очень популярны в США, так как полностью автоматизированная система не требует постоянного присмотра со стороны оператора. Зачастую такие мойки устанавливают вместе с механизированными дверями, которые можно запрограммировать открываться и закрываться автоматически, а управление процессом мойки автомобиля осуществляет сам водитель, посредством выбора нужных процедур на сенсорном дисплее. Такие системы работают под управлением Windows CE и имеют встроенный веб-сервер, который позволяет настроить систему и следить за ее работой удаленно. И именно в этом кроется проблема.
Райос рассказал журналистам, что начал экспериментировать со взломом моек, после того как услышал от друга об инциденте годичной давности, когда автоматизированная мойка «атаковала» минивен с сидящими внутри людьми из-за неправильно установленных настроек. Тогда водитель предпочел повредить машину и саму мойку, стремясь поскорее уехать от жуткого устройства.
Еще в 2015 году Райос с коллегами представил доклад об уязвимостях моек PDQ на конференции Kaspersky Security Summit. Но до недавнего времени специалистам не удавалось проверить найденные уязвимости на практике. Лишь недавно владельцы автомойки в Вашингтоне согласились сотрудничать с исследователями, если те будут использовать для экспериментов свою машину.
Хотя для доступа к системам PDQ нужны логин и пароль, Райос говорит, что подобрать дефолтные учетные данные не составляет никакого труда. К тому же в процессе аутентификации была обнаружена уязвимость, которая позволяет вообще обойти этот этап.
Далеко не все системы PDQ «смотрят» в онлайн, но с помощью поисковика Shodan специалистам удалось обнаружить более 150 моек. Затем исследователи создали полностью автоматизированный скрипт, который обходит аутентификацию, дожидается, когда в мойку заезжает автомобиль (системы мойки отслеживают такие события), а потом атакует транспортное средство, ударяя его выходной дверью в нужное время. По сути, атакующему лишь нужно знать IP-адрес мойки и запустить вредоносный скрипт. Кроме того, злоумышленник может приказать мойке закрыть одну или обе двери, заблокировав машину внутри.
Хотя инфракрасные датчики должны определять, когда на пути закрывающейся двери есть препятствие, и в таком случае дверь не должна опускаться, исследователи сумели обойти этот запрет. Также им удалось перехватить управление манипуляторами самой мойки, благодаря чему можно заставить механическую «руку», к примеру, поливать автомобиль водой без остановки, мешая запертым внутри людям сбежать. Также, в теории, манипулятор можно заставить стукнуть машину, так как встроенные механизмы безопасности, препятствующие этому, тоже можно обмануть.
«Если вы всецело полагаетесь за защитные механизмы софта, это не сработает, если уже существует эксплоит. Единственное, что может сработать, это аппаратные защитные решения», — говорит Райос.
К сожалению, владельцы автомойки, в которой исследователи проводили свои тесты, не разрешили специалистам опубликовать видео, на котором запечатлен весь процесс взлома системы, хотя все было записано на камеру.
Специалисты уже уведомили о своих находках производителя и Министерство национальной безопасности. Представители PDQ подтвердили, что им известно об уязвимостях, и они уже работают над их устранением.
Google продолжает ломать привычные границы между экосистемами. Функция Quick Share с поддержкой AirDrop, которая в прошлом году внезапно появилась только на Pixel 10, скоро станет доступна и на других Android-устройствах. Об этом прямо заявил вице-президент по инженерным решениям Android Эрик Кей.
Выступая на пресс-брифинге в тайпэйском офисе Google, Кей подтвердил, что в 2026 году совместимость Quick Share и AirDrop перестанет быть эксклюзивом Pixel. По его словам, компания уже доказала работоспособность технологии и теперь готовится масштабировать её на более широкий круг устройств.
«В прошлом году мы запустили совместимость с AirDrop. В 2026 году мы расширим её на гораздо большее число устройств», — рассказал Кей.
Он подчеркнул, что Google изначально закладывала поддержку не только iPhone, но и iPad с MacBook, а теперь активно работает с партнёрами, чтобы внедрить эту функцию во всём Android-мире. Анонсы, по его словам, не заставят себя ждать.
Технически Google заранее подготовила почву: Quick Share превратили из системного компонента Pixel в полноценное приложение с отдельной страницей в Google Play. Это ясно дало понять, что речь идёт не о «фишке для своих», а о функции уровня всей платформы.
Пока официально о поддержке Quick Share с AirDrop заявила лишь компания Nothing. Однако Qualcomm уже намекала, что работает над аналогичной функциональностью для смартфонов на Snapdragon, а значит, список поддерживаемых устройств может вырасти довольно быстро.
На этом Google не останавливается. Компания также активно упрощает переход с iPhone на Android. По словам Кея, в ближайшее время появятся новые инструменты для переноса данных, чтобы пользователи могли без лишней боли переехать с одной платформы на другую.
В декабре Google и Apple уже подтвердили, что совместно работают над более удобным механизмом миграции между iOS и Android, включая перенос большего объёма данных.
Если планы Google реализуются, один из главных «якорей» экосистемы Apple — AirDrop — может перестать быть таким уж уникальным преимуществом.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
