Глава компании MobileIron Майкл Рагго (Michael Raggo) представил на конференции BSides доклад, посвященный проблемам безопасности умных часов. Исследователь изучил поведение устройств, работающих под управлением Samsung Tizen, Apple watchOS, Android Wear (Moto 360) и Nucleus, и обнаружил, что некоторые девайсы проявляют очень странную активность, притом без ведома владельца.
Больше всего вопросов вызывают часы U8 – бюджетное китайское устройство, приобрести которое можно всего за $17. Гаджет работает под управлением собственной ОС компании: Nucleus.
Странности начались сразу после покупки U8. В комплекте с часами эксперту доставили странную бумажку с IP-адресом, с которого предлагалось скачать приложения для спаривания часов с устройствами iOS или Android. Данные приложения позволяют отвечать на звонки, просматривать историю SMS-сообщений и открывать список контактов, используя часы, работающие в паре со смартфоном.
Скачав и установив подозрительное приложение, Рагго обнаружил, что его опасения не были напрасны: устройство тут же принялось связываться с рендомными IP-адресами на территории Китая. Какие именно данные мобильное приложение сливает на сторону, установить не удалось, так как трафик шифруется. Какие-либо функции, которые могли бы вызывать подобное поведение приложения, не упоминаются ни в инструкции к часам, ни на сайте производителя.
«С точки зрения корпоративного шпионажа, утечек данных и безопасности, здесь явно происходит что-то очень интересное и подозрительное», — говорит Рагго.
В лучшем случае, приложение отсылает на китайские серверы телеметрию умных часов. В худшем случае, U8 сливают на сторону приватные данные пользователя, к примеру, список контактов.
Говоря о Samsung Tizen, Apple watchOS и Android Wear (Moto 360) исследователь отметил: «если вас беспокоит фрагментация Android, просто взгляните на [рынок] умных часов».
Полную запись выступления Рагго можно увидеть ниже.
