Já escrevemos anteriormente sobre o que os óculos inteligentes Ray-Ban da Meta conseguem ver e ouvir , e quem poderia ter acesso a essa informação. Estas preocupações centram-se na forma como os óculos lidam com as informações durante o uso normal. Um investigador de segurança demonstrou agora como contornar uma medida de segurança criada para impedir a execução de software não autorizado nos óculos.
A investigadora de vulnerabilidades Paula, conhecida online como pamoutaf, descobriu uma forma de executar o seu próprio software num par de óculos Ray-Ban Meta. Para os detalhes técnicos, recomendo que leia a publicação dela sobre o assunto.
Os óculos são controlados pela aplicação Meta AI no telemóvel do utilizador. Os programadores podem adicionar as suas próprias aplicações aos óculos através de uma ferramenta de programador, e o telemóvel envia esse software para os óculos para instalação.
Os óculos deveriam verificar se o software era realmente da Meta. Nas versões mais antigas do firmware (até à versão 126, inclusive), esta verificação não era feita, permitindo à investigadora instalar uma aplicação da sua preferência.
A Meta introduziu uma verificação na versão 127 do firmware para verificar a assinatura digital da aplicação e comprovar que era da Meta. O investigador descobriu que a opção para ativar/desativar esta verificação de assinatura vinha de um ficheiro de definições enviado pelo telefone. Os óculos verificavam apenas se o ficheiro estava corretamente formatado, não se tinha sido adulterado. Alterar um único byte no ficheiro desativava a verificação de assinaturas.
Assim que a aplicação estava a ser executada, podia enviar comandos para os óculos a partir do telefone emparelhado através de uma ligação sem fios.
Os óculos têm câmara, microfones e ligação sem fios, e ficam no seu rosto o dia todo. Um dispositivo wearable que pode executar código não autorizado vai além de uma questão de política de privacidade. Torna-se uma questão de segurança sobre quem controla o dispositivo. Como vimos, alguns óculos inteligentes mais baratos já representam um desastre em termos de segurança .
Neste caso, a pessoa que executa o código seria a mesma que controla o telefone. Se um software malicioso em execução nos óculos pudesse aceder à câmara ou às gravações armazenadas, poderia potencialmente enviar as imagens para o servidor de um atacante. A investigação de Pamoutaf não demonstra este cenário, mas levanta questões sobre o que este software poderia aceder.
Na sua publicação, ela prometeu uma continuação explorando outras formas potenciais de atacar os óculos.
Como se manter seguro
Mantenha o firmware dos óculos e a aplicação Meta AI atualizados e evite aplicações ou modificações não oficiais.
Se os óculos inteligentes são apenas mais um gadget para si, eu deixá-los-ia na prateleira. Mas se depende deles como um auxiliar de acessibilidade, merece uma tecnologia que o ajude sem colocar a sua privacidade ou a de outras pessoas em risco.
Os burlões sabem mais sobre si do que pensa.
Malwarebytes Mobile Security Protege-o contra phishing , mensagens de texto fraudulentas, sites maliciosos e muito mais. Com proteção contra golpes em tempo real, alimentada por IA e integrada.
