Moja pametna maska ​​za spavanje emitira moždane valove korisnika otvorenom MQTT brokeru

Pametne maske za spavanje koje prate aktivnost moždanih valova izlažu osjetljive neurološke podatke bilo kome na internetu odašiljanjem EEG signala neautentificiranim, javno dostupnim MQTT brokerima. Ovo nije teoretski rizik - to je dokumentirani obrazac na potrošačkim IoT wellness uređajima koji predstavlja jedno od najintimnijih curenja podataka u povijesti nosive tehnologije.

Što se točno događa kada vaša maska za spavanje emitira moždane valove?

MQTT (Message Queuing Telemetry Transport) je lagani protokol za razmjenu poruka dizajniran za IoT okruženja niske propusnosti. Djeluje na modelu objavljivanja/pretplate: uređaj objavljuje podatke u "temi" na brokeru, a svaki pretplatnik može čitati tu temu u stvarnom vremenu. Arhitektura je učinkovita i elegantna — ali katastrofalno opasna kada broker ne zahtijeva provjeru autentičnosti.

Nekoliko potrošačkih pametnih maski za spavanje, uključujući uređaje koji se prodaju za meditaciju, lucidno sanjanje i optimizaciju sna, koriste ugrađene EEG senzore za hvatanje frekvencija moždanih valova u delta, theta, alfa, beta i gama pojasima. Ovi se podaci kontinuirano prenose posrednicima u oblaku. Kada ti brokeri ostanu otvoreni - bez korisničkog imena, bez lozinke, bez TLS-a - svatko tko zna ili pogodi adresu brokera može se pretplatiti na temu i primati prijenos uživo neurološkog stanja druge osobe. Alati kao što su Shodan i MQTT Explorer čine otkrivanje ovih otvorenih brokera trivijalnim.

Podaci koji su izloženi nisu apstraktna telemetrija. Obrasci moždanih valova mogu otkriti poremećaje spavanja, razine anksioznosti, kognitivno opterećenje, au nekim istraživačkim kontekstima i emocionalna stanja. To je među najosobnijim biometrijskim podacima koje ljudsko biće stvara.

Zašto je ova ranjivost toliko raširena u potrošačkim IoT uređajima?

Osnovni uzrok je kombinacija komprimiranih vremenskih okvira razvoja, ograničenja troškova i nedostatka regulatornog pritiska na proizvođače hardvera za zdravlje potrošača. Mnoge od tih tvrtki daju prednost razvoju značajki i vremenu izlaska na tržište u odnosu na sigurnosnu arhitekturu. MQTT brokeri su jeftini i lako ih je pokrenuti, a omogućavanje otvorenog pristupa tijekom razvoja uobičajen je prečac koji često preživi u proizvodnim verzijama.

• Nema autentifikacije prema zadanim postavkama: Mnoge konfiguracije MQTT brokera isporučuju se s omogućenim anonimnim pristupom, što od programera zahtijeva da ga namjerno onemoguće — korak koji se rutinski preskače.
• Nema enkripcije prijenosa: podaci se često prenose preko priključka 1883 (nešifrirani), a ne preko priključka 8883 (TLS), što znači da tok podataka može čitati bilo koji mrežni promatrač, a ne samo brokerski pretplatnici.
• Ravne hijerarhije tema: Uređaji često objavljuju prema predvidljivim strukturama tema, što olakšava nabrajanje i pretplatu na podatke više korisnika istovremeno.
• Nema provjere autentičnosti uređaja: Bez međusobnog TLS-a ili identiteta uređaja temeljenog na tokenu, lažirani uređaji mogu ubaciti lažne podatke u tok ili u potpunosti oponašati legitimne uređaje.
• Nema nadzornog bilježenja: Otvoreni brokeri obično nemaju mehanizam za otkrivanje ili upozorenje na neovlaštenu aktivnost pretplate, tako da je izloženost nevidljiva i proizvođaču i korisniku.

"Intimnost podataka čini ovu kategoriju kršenja jedinstveno ozbiljnom. Financijski podaci mogu se mijenjati. Neurološki podaci ne mogu. Procurili profil moždanih valova trajno je, neopozivo izlaganje unutarnjeg kognitivnog krajolika osobe."

Koje su implikacije u stvarnom svijetu za tvrtke i njihove zaposlenike?

Ovo nije isključivo pitanje privatnosti potrošača. Zaposlenici sve više koriste wellness uređaje - uključujući nosive uređaje za optimizaciju spavanja - kao dio korporativnih zdravstvenih programa, a neki rukovoditelji koriste alate za fokusiranje temeljene na EEG-u tijekom radnog vremena. Ako su podaci o moždanim valovima s tih uređaja dostupni na otvorenim brokerima, to stvara izloženost na razini poduzeća.

Konkurentna inteligencija izvedena iz neuroloških podataka danas je spekulativna, ali sutra nije nevjerojatna kako alati za analizu budu sazrijevali. Neposredno, izloženost pravnoj odgovornosti je značajna. Prema GDPR-u, CCPA-u i novim zakonima o biometrijskim podacima u državama poput Illinoisa i Teksasa, neurološki podaci kvalificiraju se kao osjetljivi biometrijski podaci. Tvrtka koja preporučuje ili subvencionira uređaj s ovom ranjivošću mogla bi se suočiti s regulatornim nadzorom ako se podaci o zaposlenicima izvuku — čak i ako tvrtka nije izravno uključena u dizajn uređaja.

Za tvrtke koje grade wellness, HR ili programe angažiranja zaposlenika, razumijevanje položaja sigurnosti podataka svake dodirne točke tehnologije sada je osnovni zahtjev, a ne razlika.

Kako se organizacije mogu zaštititi od rizika izloženosti IoT podacima?

Zaštita od ove klase ranjivosti zahtijeva i tehničke kontrole i organizacijski proces. S tehničke strane, svaki IoT uređaj koji rukuje osjetljivim biometrijskim podacima treba procijeniti prije organizacijskog usvajanja: provjerite zahtijevaju li brokerske veze autentifikaciju, potvrdite da je TLS nametnut i provjerite objavljuje li dobavljač pravila o otkrivanju sigurnosti.

S procesne strane, organizacije trebaju centraliziranu vidljivost alata i platformi koje zaposlenici koriste — posebno onih koji se tiču osobnih podataka. Ovo je mjesto gdje operativna složenost vođenja modernog poslovanja povećava rizik. Bez objedinjenog sustava za praćenje odnosa dobavljača, ugovora o rukovanju podacima i sigurnosnih procjena, izloženost se tiho akumulira kroz desetke nepovezanih skupova alata.

Upravljanje ovom složenošću zahtijeva platformu koja konsolidira operativnu vidljivost bez dodavanja administrativnih troškova — točan problem za koji su moderni poslovni operativni sustavi dizajnirani da ga riješe.

Što bi proizvođači uređaja trebali učiniti da poprave ranjivosti Open MQTT brokera?

Put popravka dobro je poznat, čak i ako je usvajanje sporo. Proizvođači bi trebali provoditi autentifikaciju na svim vezama MQTT brokera, implementirati TLS na svim podatkovnim kanalima, redovito rotirati vjerodajnice specifične za uređaj i pružiti korisnicima jasnu, dostupnu dokumentaciju o tome koji se podaci prikupljaju, kamo idu i tko im može pristupiti. Programi odgovornog otkrivanja i sigurnosne revizije trećih strana trebali bi biti standardna praksa za sve uređaje koji rukuju biometrijskim podacima.

Regulatorni okviri počinju sustizati. EU-ov Zakon o kibernetičkoj otpornosti i američki program Cyber ​​Trust Mark za IoT uređaje stvaraju strukturne poticaje za proizvođače da se pozabave upravo tim ranjivostima. Ali tržišni pritisak od strane informiranih potrošača i poduzeća je brža poluga.

Često postavljana pitanja

Mogu li znati emitira li moja pametna maska za spavanje otvorenog MQTT brokera?

Možete koristiti alate za nadzor mreže kao što je Wireshark da provjerite promet sa svog uređaja na vašoj lokalnoj mreži. Potražite veze na port 1883 (nešifrirani MQTT) umjesto na 8883 (TLS MQTT). Ako se vaš uređaj povezuje s vanjskim IP-om na priključku 1883, vaš tok podataka vjerojatno nije kriptiran. Također možete izravno kontaktirati proizvođača i zatražiti njegovu konfiguraciju MQTT brokera i dokumentaciju o autentifikaciji — kvaliteta njihovog odgovora je sama po sebi informativna.

Jesu li podaci o moždanim valovima zakonski zaštićeni kao biometrijski podaci?

U sve većem broju jurisdikcija, da. Na primjer, Zakon o privatnosti biometrijskih podataka (BIPA) u Illinoisu izričito pokriva "neuralne" podatke. Texas i Washington imaju usporedive statute. Na saveznoj razini u SAD-u još ne postoji sveobuhvatan biometrijski zakon o privatnosti, ali FTC je poduzeo mjere protiv tvrtki zbog obmanjujuće prakse podataka koja uključuje biometriju. U EU-u se EEG podaci smatraju zdravstvenim podacima prema GDPR-u i podliježu njegovim najrestriktivnijim zahtjevima za obradu.

Kako vođenje poslovanja na jedinstvenoj platformi smanjuje IoT i sigurnosni rizik podataka?

Fragmentirani poslovni alati stvaraju fragmentirano upravljanje podacima. Kada se operacije, ljudski resursi, upravljanje dobavljačima i komunikacije odvijaju preko desetaka nepovezanih platformi, sigurnosne procjene su nedosljedne i nedostaci u odgovornosti su neizbježni. Konsolidirani poslovni operativni sustav stvara jedinstvenu površinu za provedbu pravila, procjenu dobavljača i operativni nadzor — smanjujući površinu napada i čineći usklađenost vidljivo lakšom za održavanje i reviziju.

Vođenje manjeg, sigurnijeg i integriranijeg poslovanja počinje s pravim temeljem. Mewayz — poslovni OS od 207 modula koji koristi više od 138.000 korisnika — daje vam operativnu jasnoću za upravljanje svakom dimenzijom vašeg poslovanja na jednom mjestu, od timskih radnih procesa do odnosa s dobavljačima, počevši od 19 USD mjesečno. Prestanite dopuštati da složenost stvara izloženost. Pokrenite svoj Mewayz radni prostor danas.