Abbiamo già scritto in precedenza su cosa gli occhiali smart Ray-Ban di Meta siano in grado di vedere e sentire , e su chi potrebbe avere accesso a tali informazioni. Queste preoccupazioni si concentrano su come gli occhiali gestiscono le informazioni durante il normale utilizzo. Ora, un ricercatore nel campo della sicurezza ha dimostrato come aggirare una protezione progettata per impedire l'esecuzione di software non autorizzato.
La ricercatrice di vulnerabilità Paula, conosciuta online come pamoutaf, ha trovato un modo per eseguire il suo software su un paio di occhiali Ray-Ban Meta. Per i dettagli tecnici vi rimando volentieri al suo post sull'argomento.
Gli occhiali sono controllati dall'app Meta AI installata sullo smartphone del proprietario. Gli sviluppatori possono aggiungere le proprie app agli occhiali tramite un apposito strumento, e il telefono invia il software agli occhiali per l'installazione.
Gli occhiali avrebbero dovuto verificare che il software provenisse effettivamente da Meta. Nelle versioni firmware più vecchie (fino alla versione 126 inclusa), questa verifica non era presente, quindi il ricercatore poteva installare un'app a sua scelta.
Meta ha introdotto nella versione firmware 127 un controllo per verificare la firma digitale dell'app e dimostrare che provenisse effettivamente da Meta. Il ricercatore ha scoperto che l'interruttore per attivare/disattivare questo controllo della firma proveniva da un file di impostazioni trasmesso dal telefono. Gli occhiali controllavano solo che il file fosse formato correttamente, non se fosse stato manomesso. La modifica di un singolo byte nel file disattivava il controllo della firma.
Una volta avviata l'app, poteva inviare comandi agli occhiali dal telefono associato tramite una connessione wireless.
Gli occhiali sono dotati di fotocamera, microfoni e connessione wireless, e restano sul viso tutto il giorno. Un dispositivo indossabile che può eseguire codice non autorizzato va oltre la semplice questione della privacy. Diventa una questione di sicurezza, riguardante chi controlla il dispositivo. Come abbiamo visto, alcuni occhiali intelligenti più economici rappresentano già un disastro in termini di sicurezza .
In questo caso, la persona che esegue il codice sarebbe quella che controlla il telefono. Se un software dannoso in esecuzione sugli occhiali potesse accedere alla fotocamera o alle registrazioni memorizzate, potrebbe potenzialmente inviare filmati al server di un aggressore. La ricerca di Pamoutaf non dimostra questo scenario, ma solleva interrogativi su a quali dati tale software potrebbe accedere.
Nel suo post ha promesso un seguito in cui avrebbe esplorato altri possibili modi per attaccare gli occhiali.
Come stare al sicuro
Mantieni aggiornati il firmware degli occhiali e l'app Meta AI, ed evita app non ufficiali o modifiche.
Se per voi gli occhiali intelligenti sono solo un altro gadget, vi consiglio di lasciarli sullo scaffale. Se invece li utilizzate come ausilio per la mobilità, meritate una tecnologia che vi aiuti senza mettere a rischio la vostra privacy o quella degli altri.
I truffatori sanno più cose su di te di quanto tu creda.
Malwarebytes Mobile Security Ti protegge da phishing , SMS truffaldini, siti dannosi e altro ancora. Con Scam Guard integrato, basato sull'intelligenza artificiale e disponibile in tempo reale.
