Pisaliśmy już wcześniej o tym, co widzą i słyszą inteligentne okulary Ray-Ban firmy Meta oraz kto może wykorzystać te informacje. Obawy te koncentrują się na tym, jak okulary przetwarzają informacje podczas normalnego użytkowania. Pewien badacz ds. bezpieczeństwa pokazał, jak ominąć zabezpieczenie mające na celu uniemożliwienie uruchomienia na nich nieautoryzowanego oprogramowania.
Paula, badaczka luk w zabezpieczeniach, znana w internecie jako pamoutaf, znalazła sposób na uruchomienie własnego oprogramowania na okularach Ray-Ban Meta. Po szczegóły techniczne chętnie odsyłam do jej własnego wpisu na ten temat.
Okulary są sterowane za pomocą aplikacji Meta AI na telefonie właściciela. Programiści mogą dodawać własne aplikacje do okularów za pomocą narzędzia programistycznego, a telefon wysyła oprogramowanie do okularów w celu zainstalowania.
Okulary miały sprawdzać, czy oprogramowanie rzeczywiście pochodzi od Meta. W starszym oprogramowaniu (do wersji 126 włącznie) nie sprawdzały tego, więc badaczka mogła zainstalować własną aplikację.
Meta wprowadziła w oprogramowaniu układowym w wersji 127 funkcję weryfikacji podpisu cyfrowego aplikacji, aby udowodnić, że pochodzi on od Meta. Badacz odkrył, że przełącznik włączania/wyłączania tej funkcji weryfikacji podpisu pochodził z pliku ustawień przekazanego przez telefon. Okulary sprawdzały jedynie poprawność formatowania pliku, a nie to, czy został on zmodyfikowany. Zmiana jednego bajtu w pliku wyłączała weryfikację podpisu.
Po uruchomieniu aplikacji mogła wysyłać polecenia do okularów ze sparowanego telefonu przez połączenie bezprzewodowe.
Okulary mają kamerę, mikrofony i połączenie bezprzewodowe i noszą się na twarzy przez cały dzień. Urządzenie do noszenia, które może uruchamiać niezatwierdzony kod, to coś więcej niż kwestia polityki prywatności. Staje się pytaniem o bezpieczeństwo, kto kontroluje urządzenie. Jak widzieliśmy, niektóre tańsze inteligentne okulary już teraz są katastrofą pod względem bezpieczeństwa .
W tym przypadku osoba uruchamiająca kod byłaby osobą kontrolującą telefon. Gdyby złośliwe oprogramowanie działające na okularach uzyskało dostęp do kamery lub zapisanych nagrań, mogłoby potencjalnie przesłać nagranie na serwer atakującego. Badania Pamoutafa nie dowodzą takiego scenariusza, ale rodzą pytania o to, do czego to oprogramowanie mogłoby uzyskać dostęp.
W swoim poście obiecała kontynuację, w której przyjrzy się innym potencjalnym sposobom ataku na okulary.
Jak zachować bezpieczeństwo
Aktualizuj oprogramowanie okularów i aplikację Meta AI oraz unikaj nieoficjalnych aplikacji i modyfikacji.
Jeśli inteligentne okulary to dla Ciebie tylko kolejny gadżet, odpuściłbym je. Jeśli jednak polegasz na nich jako na pomocy w zakresie dostępności, zasługujesz na technologię, która Ci pomoże, nie narażając Twojej prywatności ani prywatności innych osób.
Oszuści wiedzą o tobie więcej, niż ci się wydaje.
Malwarebytes Mobile Security Chroni Cię przed phishingiem , wiadomościami typu scam, złośliwymi witrynami i nie tylko. Dzięki wbudowanej funkcji Scam Guard, działającej w czasie rzeczywistym i opartej na sztucznej inteligencji.
