儿童智能追踪手表的安全性:也许没人能想到,并不是几千个,而是至少有4700万,大概有1亿5千万儿童智能追踪设备暴露在外网。
这一切都指向两至三个“懒惰”的产品制造商,就像Mirai v1时的那样。
而在过往已发生很多智能追踪手表的安全事件,但并没有引起大的波澜:
冰岛数据保护机构对Enox智能手表发出警报。
https://ec.europa.eu/consumers/consumers_safety/safety_products/rapex/alerts/?event=viewProduct&reference=A12/0157/19&lng=en
AVAST发现某款销售量达23万的手表存在漏洞。
https://blog.avast.com/unsecure-child-trackers
Rapid 7在G36和SmarTurtles手表上发现高危漏洞。
https://blog.rapid7.com/2019/12/11/iot-vuln-disclosure-childrens-gps-smart-watches-r7-2019-57/
AV-TEST发现某款手表泄露大量数据
https://www.iot-tests.org/2019/11/product-warning-chinese-childrens-watch-reveals-thousands-of-childrens-data/
挪威消费者委员发现几款手表中的高危漏洞
https://www.forbrukerradet.no/side/significant-security-flaws-in-smartwatches-for-children/
一旦4700万台设备被攻陷,或许攻击者可以做一些真正有趣的事情,例如在真人秀等其他依靠电话或短信投票的电视节目中胜出。
除了检索或更改数百万儿童的GPS实时位置之外,还能呼叫和暗中监视他们,以及获取存储在公共存储库中的音频记录。
上图显示了一个孩子(实际上是我自己的孩子!)带着追踪手表在伦敦行走的实时路径,我不需要身份验证即可获得。
物联网平台
贴牌产品在物联网中很普遍,尤其是对于在远东地区的各大设备制造商。
物联网平台也越来越普遍,因为它缩短了初创企业进入市场的时间,前提是能“嫁接”上第三方的API和云平台。
而以上这些为安全埋下了隐患。
thinkrace
在我们看来,最大且最差的ODM(设计外包)追踪产品是thinkrace
。这家手表和追踪器制造商还提供了一个API和云平台,方便快速将贴牌的追踪设备和儿童智能手表推向国际市场。
这其中有一个很复杂的ODM/分销商/进口商/品牌所有者/贴牌操作,很难确定哪里会出现问题。
通常情况下,品牌所有者甚至没有意识到他们出售的设备是基于thinkrace的平台。
冰岛Enox手表?thinkrace API
AVAST对于T8手表的研究?thinkrace API
AV-TEST测试的SMA手表?thinkrace API
等等……
在2015年,Mich Gruhn @0x6d696368和我们的Vangelis @evstykas在大约370种不同类型的设备中发现了大量的漏洞,影响了全世界超过2000万台设备。大多数漏洞都是请求授权缺陷:IDORs(不安全的直接对象引用),又名BOLA(Broken object Level Authorization)。
简而言之:智能手表的API未能检测是否是合法用户检索孩子的数据。这意味着任何人都可以请求任何孩子的数据。
而所有和这个厂商相关的手表中都存在某些共同问题,我们一直在深入研究。
漏洞
撇开研究人员在某个手表上不断发现的默认凭证和权限问题不谈,thinkrace就像是一个失败的怪物。
大多数API调用都不需要授权,服务本身也很好的文档化——就是可以看到Web服务描述语言(WDSL)文件。
所有的变量都只是简单地递增整数,这意味着攻击者可暴力推断出设备的数量。
添加一个新帐户,查看ID号,然后再添加另一个新帐户,会发现ID号只是加1。
在几乎所有的设备(包括非thinkrace品牌)中,我们都可以看到默认密码123456!
识别出thinkrace
某个谷歌语法可能会帮你找到一些设备:
某些追踪器也有Web应用,如果看起来如下所示,那可能也是thinkrace:
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-XlgOcft0-1576746097327)(https://nosec.org/avatar/uploads/attach/image/308e33e796abd93547dea62ca0d4f047/88.png)]
其实搜索设备很简单,只需在GetDeviceDetail
这个API中输入设备ID,你就能看到设备上的所有细节。由于授权有缺陷,你可以检索任何孩子的数据,也就是2000万儿童的数据。
你可以通过设备的Lat/Long来确定设备的位置,通过设备的电话号码和“家庭号码”来确定国家:
残疾运动员的安全问题
今年早些时候,他们还赞助了特奥会和残奥会。每个运动员都有一个追踪手表,这样让那些脆弱的成年人时刻处于安全风险之中。
他们的主页上运动员的手腕上也是一款问题手表:
影响范围
thinkrace大概生产367种不同类型的追踪手表和追踪器,很难确定所有和thinkrace相关的产品,而其中一些产品还有相机功能。
下面是一些有问题设备的关键词列表。不幸的是,这些经常被进口商或品牌所有者更改。
不过这些产品并没有连接到同一个公共API。根据产品和进口商/分销商的不同,有80多个域名牵涉其中,部分如下图所示。
经过分析,我们发现它们几乎都是thinkrace API端点。针对这种情况,我们认为thinkrace的代码可能已经被其他厂商借用或“盗用”,依旧存在很多问题。这些代码编写于2012年,newgps2012
表明了这一事实。
5gcity
前不久,我们研究了5gcity.com
——另一个与ThinkRace API相关的域。它大约有500万用户,主要和儿童追踪手表有关。
他们的一个Web服务器还公开了数千个.amr文件:
我们相信这些是儿童使用手表向家长所发送的信息和语音。
5gcity的漏洞与我们在thinkrace API中发现的漏洞相同:
重置任何用户密码,劫持帐户
完全访问源代码
暴力枚举用户,泄露儿童和家长的信息
向任何设备发送命令,远程刷新固件
跟踪任何设备
音频泄漏倒是一个新漏洞!
更多的thinkrace API
www.goicar.net——大约300万个跟踪设备。
www.gps958.net——大约有100万台活跃设备。
和thinkrace无关的域名
www.gpsui.net——大约有一百万台活跃设备。
我们尽可能全地估算这些域名牵涉的设备数量。到目前为止,和thinkrace有关的,已有2000多万。通过进一步挖掘,我们又在其他ODM API上发现了2700万个设备。不过,我们认为这只是冰山一角。
另一个例子:Gator/Caref手表公司
我们曾经报道过另一家公司的安全事件:这与thinkrace性质一样,但规模要小得多。
同样,复杂的ODM分销商关系使得Gator手表的识别变得非常困难。例如澳大利亚进口商将手表重新命名为TicTocTrack。但在英国,它被称为TechSixtyFour。
还有另一个我们正在调查的ODM平台,牵涉1亿台设备。
披露
多年以来,许多其他研究人员都试图联系thinkrace,但都没有结果。
冰岛数据保护局已禁止了一些和thinkrace相关手表地销售,但真的能完全禁止么?
德国电信监管机构Bundesnetzagentur也在2017年封禁许多儿童智能手表。
据报道,各种智能手表的安全问题已被现实社会中地犯罪分子所利用,我们必须立刻采取行动。某些厂商也已对自己的API端点进行了加固。
利用:赢得Eurovision和The X-Factor
每个GPS跟踪器都有一个SIM卡。追踪器需要SIM卡才能通过移动数据与API通信:
那我们怎么利用呢?
由于API的某些漏洞,可以让追踪器拨号或发送短消息。
电话投票
在选秀节目中进行电话投票是一种简单有效的投票方式。许多知名度高的节目都是如此,例如Eurovision、X-Factor、Stricly Come Dancing等,通常都有一个短拨代码来代表你的选择。拨号一次,你的选票就会被计算在内。
英国能否通过电话投票赢得Eurovision?手表SIM卡所发出的拨号能不能把英国推到电话投票的首位?为了投英国的票,你需要控制其他参与投票地国家的SIM卡。
挪威在电话投票中名列前茅:
但在评委投票只位列18:
综合下来荷兰第一。
其他
英国广播公司曾报道,俄罗斯语音之声在今年5月发现大量可疑投票。目前尚不清楚怎么回事,但怀疑是机器人投票。
攻击者使用连续号码不停拨打电话并从同一个区域发送数千条短信。这些投票最后都被作废。
要保持智能手表的安全,需要社会各界的合作。
本文由白帽汇整理并翻译,不代表白帽汇任何观点和立场:https://nosec.org/home/detail/3540.html
来源:https://www.pentestpartners.com/security-blog/kids-tracker-watches-cloudpets-exploiting-athletes-and-hijacking-reality-tv/