"Шпигун" у кожному домі: розкрито небезпеку дешевої китайської побутової техніки

Ви дізнаєтеся:

• Звичайний пилосос виявився справжнім міні-комп'ютером на колесах
• Виробник міг виконувати будь-які команди на пристрої без відома власника
• Усередині пилососа працювала професійна система картографування

Програміст Харішанкар Нараянан вирішив полегшити собі життя - і придбав розумний пилосос iLife A11.

Спочатку все виглядало ідеально - робот впевнено їздив по підлозі, видаючи задоволене дзижчання, і створював враження покірного, але працьовитого помічника, розповів він у блозі Small World.

Дивна активність звичайного пилососа

Однак уже за кілька хвилин програміст помітив щось тривожне. Пилосос буквально завалював мережу потоками даних, відправляючи пакети на сервери, розташовані "десь далеко за океаном". Він не просто "перевіряв оновлення" - пристрій передавав телеметрію і журнали, причому без будь-якої згоди власника.

Перший збій "розумного помічника"

Харішанкар заблокував IP-адресу, на яку стікалися логи. Він акуратно обмежив трафік - дозволив оновлення, але заборонив передачу даних. А через кілька днів - пилосос раптом перестав вмикатися. У сервісі знизали плечима: "Сер, усе працює відмінно".

Апарат повернули - і справді, він ожив. Але радість тривала недовго: через кілька днів пристрій знову перетворився на мовчазну пластикову цеглу.

Чому пилосос не працює без інтернету

Як могло просте блокування IP-адреси паралізувати техніку, яка, за ідеєю, має працювати офлайн? Коли програміст звернувся до сервісу повторно, йому відмовили: "Ваш випадок більше не підлягає обслуговуванню".

І тоді Харішанкар вирішив діяти сам.

Нутрощі "розумного" робота

Озброївшись викруткою, він розібрав пристрій. Усередині пилососа виявився справжній міні-комп'ютер на колесах - плати, сенсори, чіпи, акуратні дроти. Перед ним лежало дешеве диво інженерії, в якому ховався потенційний кошмар для конфіденційності.

Несподівані результати розслідування

Підключивши пилосос до Linux і проаналізувавши систему, програміст виявив логи, конфігурації та навіть незашифровані облікові дані Wi-Fi, які пристрій надсилав виробнику. А ще - дивний рядок у журналах: команду Kill, що надходила рівно в той момент, коли пилосос переставав працювати.

Він скасував її виконання і перезавантажив пристрій - пилосос миттєво ожив. З'ясувалося, що виробник дійсно віддалено вимикав його пристрій, просто тому що користувач наважився обмежити збір даних.

Таємний доступ і "шпигунське" ПЗ

Подальший аналіз показав, що на пристрої від самого початку встановлено програмне забезпечення rtty - утиліта, що надає віддалений root-доступ. З її допомогою виробник міг виконувати будь-які команди на пристрої без відома власника.

Але це був лише перший сюрприз.

Робот-розвідник виявився геодезистом

Харішанкар виявив ще одну цікаву деталь: усередині пилососа працювала Google Cartographer - професійна система SLAM, що застосовується в робототехніці та автономному картографуванні. Тобто його недорогий пилосос створював 3D-карту квартири в реальному часі, передаючи дані на сервери виробника.

Загальна проблема

Пізніше програміст з'ясував: справа не в одній конкретній марці. Той самий чип - 3irobotix CRL-200S - використовується і в інших популярних моделях.

Які китайські компанії використовують шпигунські чіпи:

• Xiaomi,
• Wyze,
• Viomi,
• Proscenic.

А отже, мільйони подібних пристроїв здатні передавати особисті дані користувачів і навіть бути відключеними виробником одним натисканням кнопки.

Важливі висновки

Історія з iLife A11 перетворилася зі звичайної поломки на справжнє розслідування про цифровий контроль і вразливість "розумного будинку". Пилосос, створений для прибирання пилу, несподівано став символом того, як легко техніка може вийти з-під влади власника - і опинитися під контролем тих, хто її створив.

Повна документація та подробиці зворотного проєктування програміста доступні в репозиторії: VacuumRobot.

Як не можна використовувати пилосос: поради експертів

У жодному разі не використовуйте пилосос для збору осколків розбитого скла. На перший погляд це може здатися зручним і швидким способом прибирання, однак таке рішення здатне серйозно пошкодити пристрій. Дрібні шматочки скла можуть застрягти всередині шланга, пошкодити фільтр або потрапити в двигун, що призведе до поломки приладу. Найбезпечніше зібрати осколки вручну за допомогою щітки, совка або вологої ганчірки.

Рекомендуємо:

Пилосос починає іноді барахлити: як поліпшити тягу

Нагадаємо, раніше повідомлялося про те, навіщо класти пакетик чаю в пилосос. Таке незвичайне використання пакетика чаю матиме приголомшливий ефект, про який знають одиниці.

Раніше Главред писав про те, яку деталь у пилососі потрібно завжди чистити. Пилосос може зламатися, якщо забувати очищати одну дуже важливу деталь.

Більше новин:

• Ніколи не використовуйте пилосос: простий спосіб прибрати опалу хвою з підлоги
• Пилосос більше не потрібен: найлегший спосіб прибрати шерсть із килима, лайфхак
• Про це знають одиниці: для чого насправді потрібен отвір на ручці пилососа

Наші стандарти: Редакційна політика сайту Главред