Веб-интерфейс умных ванн Jacuzzi сливал ПДн всех любителей гидромассажа

Веб-интерфейс умных ванн Jacuzzi сливал ПДн всех любителей гидромассажа

Веб-интерфейс умных ванн Jacuzzi сливал ПДн всех любителей гидромассажа

Независимый исследователь выявил в веб-интерфейсе SmartTub уязвимости, позволяющие просматривать и редактировать данные клиентов Jacuzzi. Автор атаки также потенциально мог подстроить каверзу любому владельцу гидромассажной ванны или спа-бассейна — наполнить их кипятком, изменить цикл фильтрации и т. п.

Система SmartTub, как и другие IoT-сервисы, позволяет управлять умной ванной с помощью Android- или iOS-приложения — дистанционно включать и выключать форсунки, менять подсветку, контролировать температуру воды. В каталоге Google Play за SmartTub числится более 10 тыс. загрузок.

Белый хакер Итон Звир (Eaton Zveare) обнаружил возможность получения доступа к бэкенду SmartTub, когда занялся настройкой своей только что прибывшей умной джакузи. Создав аккаунт с помощью мобильного приложения, он получил подтверждение с сайта smarttub.io; как оказалось, регистрация на нем осуществляется через Auth0.

При попытке входа сайт выдал сообщение об ошибке 401 (Unauthorized — отказ в доступе), но перед этим на экране быстро промелькнули заголовок и таблица. Заинтересовавшись, Звир применил запись экрана и к своему удивлению обнаружил, что это панель администратора, заполненная пользовательскими данными.

 

Как оказалось, консоль реализована как одностраничное приложение на основе JavaScript-библиотеки React, и к ней можно получить полный доступ. Обойти ограничения, выдав себя за админа, исследователю помог Fiddler — инструмент тестирования, позволяющий перехватывать и анализировать трафик между клиентом и сервером.

В итоге ему удалось добраться до информации об установленных по всему миру IoT-устройствах Jacuzzi и их пользователях (в последнем случае список включал только имена и email). Подобная возможность, по словам Звира, позволяет также редактировать аккаунты и лишать владельцев права собственности.

При просмотре APK-файла приложения Android хакер обнаружил ссылку на другую админ-панель. Попытка входа под своими идентификаторами и здесь вернула ошибку, но хакер вновь преодолел преграду путем подмены JavaScript-кода, так как эта консоль тоже использует React.

Кроме тех же пользовательских данных, здесь можно было просмотреть и изменить сроки подписки, производственные логи, списки дилеров и зарегистрированных мобильных устройств (без номеров телефона).

 

О неприятных находках Звир сообщил в Jacuzzi и в ответ получил запрос на более детальное описание проблем. Дальнейшие попытки добиться исправления ситуации результата не дали; разработчик упорно игнорировал письма и DM в Твиттере, поэтому баг-хантер решил заручиться поддержкой Auth0.

Поставщику услуг авторизации далеко не сразу удалось достучаться до Jacuzzi, но в итоге искомый эффект был достигнут — спустя полгода. Одну из админ-панелей SmartTub отключили, а другую по-тихому пофиксили.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

88% россиян забывают пароли: почему это нормально и что с этим делать

Ко Всемирному дню пароля, который отмечается 1 мая, эксперты напомнили, почему мы так часто забываем свои пароли — и как с этим справляться безопасно. По результатам опроса, большинство россиян хоть иногда, но сталкиваются с ситуацией, когда приходится восстанавливать доступ к своим аккаунтам.

У 16% это случается часто, у 37% — время от времени, у 35% — редко, но бывает. И это не только неудобно, но и потенциально опасно с точки зрения кибербезопасности.

Почему мы забываем пароли? Всё дело в особенностях памяти. Человеческий мозг запоминает лучше то, что связано с эмоциями, имеет личную значимость или повторяется часто. А вот случайные наборы символов, которые используются редко, мозг склонен «выкидывать» как ненужные. К тому же, забывание — это естественный процесс, который помогает регулировать эмоции и обновлять информацию.

Чтобы всё-таки защитить свои аккаунты и не сойти с ума от количества паролей, специалисты советуют:

  • Не хранить пароли на бумажках и в виде скриншотов;
  • Пользоваться менеджерами паролей — так достаточно будет запомнить всего один мастер-пароль;
  • Создавать надёжные, но запоминаемые комбинации, используя ассоциации, понятные только вам. Например, взять первую букву каждого слова из любимого стихотворения, перемешать заглавные и строчные буквы, добавить символ и важную для вас цифру;
  • Разделять пароль на логические части — так его будет проще держать в памяти;
  • Применять визуальные и аудиальные методы запоминания: «фотографировать» пароль в голове или проговаривать его вслух.

Кроме самих паролей, специалисты рекомендуют включать дополнительные меры безопасности: двухфакторную аутентификацию (например, код из СМС-сообщения) или использовать альтернативные способы входа, основанные на биометрии, одноразовых кодах или токенах. Последние становятся всё популярнее — не нужно ничего запоминать, а уровень защиты при этом высокий.

Возможно, будущее действительно за беспарольной авторизацией. Но пока она не стала повсеместной, стоит позаботиться хотя бы о том, чтобы придуманные пароли не превращались в головоломку — ни для вас, ни для вашей безопасности.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru