Mano išmanioji miego kaukė perduoda vartotojų smegenų bangas atviram MQTT brokeriui

Išmaniosios miego kaukės, stebinčios smegenų bangų aktyvumą, atskleidžia jautrius neurologinius duomenis visiems internete, perduodamos EEG signalus neautentifikuotiems, viešai prieinamiems MQTT tarpininkams. Tai nėra teorinė rizika – tai dokumentais patvirtintas vartotojų daiktų interneto sveikatingumo įrenginių modelis, kuris yra vienas intymiausių duomenų nutekėjimo nešiojamųjų technologijų istorijoje.

Kas tiksliai vyksta, kai jūsų miego kaukė transliuoja smegenų bangas?

MQTT (Message Queuing Telemetry Transport) yra lengvas pranešimų siuntimo protokolas, sukurtas mažo pralaidumo IoT aplinkoms. Jis veikia pagal paskelbimo / prenumeratos modelį: įrenginys paskelbia duomenis tarpininko „temoje“, o bet kuris abonentas gali skaityti tą temą realiuoju laiku. Architektūra efektyvi ir elegantiška, tačiau katastrofiškai pavojinga, kai brokeriui nereikia autentifikuoti.

Keliose vartotojams skirtose išmaniosiose miego kaukėse, įskaitant prietaisus, skirtus meditacijai, aiškiam sapnavimui ir miego optimizavimui, naudojami įterptieji EEG jutikliai smegenų bangų dažniams fiksuoti delta, teta, alfa, beta ir gama juostose. Šie duomenys nuolat perduodami debesų brokeriams. Kai tie brokeriai paliekami atviri – jokio vartotojo vardo, slaptažodžio ar TLS – visi, kurie žino arba atspėja brokerio adresą, gali užsiprenumeruoti temą ir gauti tiesioginį kito žmogaus neurologinės būklės srautą. Naudojant tokius įrankius kaip „Shodan“ ir „MQTT Explorer“, šių atvirų brokerių atradimas tampa nereikšmingas.

Atskleidžiami duomenys nėra abstrakti telemetrija. Smegenų bangų modeliai gali atskleisti miego sutrikimus, nerimo lygį, kognityvinį krūvį ir kai kuriais tyrimų kontekstais emocines būsenas. Tai vienas asmeniškiausių biometrinių duomenų, kuriuos generuoja žmogus.

Kodėl šis pažeidžiamumas taip plačiai paplitęs vartotojų daiktų interneto įrenginiuose?

Pagrindinė priežastis yra sutrumpintų kūrimo terminų, sąnaudų apribojimų ir reguliavimo spaudimo vartotojų gerovės aparatūros gamintojams trūkumas. Daugelis šių įmonių teikia pirmenybę funkcijų kūrimui ir pateikimo į rinką laikui, o ne saugos architektūrai. MQTT brokeriai yra pigūs ir lengvai sukuriami, o atviros prieigos įgalinimas kūrimo metu yra įprastas spartusis klavišas, dažnai naudojamas gamybos versijose.

• Pagal numatytuosius nustatymus nėra autentifikavimo: daugelis MQTT tarpininko konfigūracijų pristatomos su įjungta anonimine prieiga, todėl kūrėjai turi ją sąmoningai išjungti – šis veiksmas paprastai praleidžiamas.
• Jokio perdavimo šifravimo: duomenys dažnai perduodami 1883 prievadu (nešifruoti), o ne 8883 prievadu (TLS), o tai reiškia, kad duomenų srautą gali perskaityti bet kuris tinklo stebėtojas, o ne tik tarpininkai.
• Paprastos temų hierarchijos: įrenginiai dažnai publikuoja pagal nuspėjamą temų struktūrą, todėl paprasta vienu metu išvardyti ir užsiprenumeruoti kelių naudotojų duomenis.
• Jokio įrenginio autentifikavimo: be abipusės TLS arba prieigos raktu pagrįstos įrenginio tapatybės, suklastoti įrenginiai gali į srautą įvesti klaidingus duomenis arba visiškai apsimesti teisėtais įrenginiais.
• Jokio audito registravimo: atviri tarpininkai paprastai neturi mechanizmo, leidžiančio aptikti neteisėtą prenumeratos veiklą arba įspėti apie ją, todėl poveikio nematomas nei gamintojas, nei vartotojas.

"Duomenų intymumas daro šios kategorijos pažeidimus išskirtinai rimtus. Finansinius duomenis galima keisti. Neurologinių duomenų negalima. Nutekėjęs smegenų bangos profilis yra nuolatinis, neatšaukiamas žmogaus vidinio pažinimo kraštovaizdžio atskleidimas."

Kokios realaus pasaulio pasekmės įmonėms ir jų darbuotojams?

Tai nėra vien vartotojų privatumo problema. Darbuotojai vis dažniau naudoja sveikatingumo prietaisus, įskaitant miego optimizavimo nešiojamus prietaisus, kaip dalį įmonės sveikatos programų, o kai kurie vadovai naudoja EEG pagrįstus fokusavimo įrankius darbo valandomis. Jei smegenų bangų duomenis iš šių įrenginių gali pasiekti atviri tarpininkai, tai sukuria įmonės lygio parodymą.

Konkurencinis intelektas, gautas iš neurologinių duomenų, šiandien yra spekuliatyvus, bet rytoj, tobulėjant analizės priemonėms, nėra neįtikėtinas. Iš karto teisinės atsakomybės rizika yra reikšminga. Pagal GDPR, CCPA ir naujus biometrinių duomenų įstatymus tokiose valstijose kaip Ilinojus ir Teksasas, neurologiniai duomenys laikomi jautria biometrine informacija. Įmonė, kuri rekomenduoja arba subsidijuoja įrenginį su šiuo pažeidžiamumu, gali susidurti su teisės aktais nustatytais patikrinimais, jei darbuotojų duomenys bus išfiltruoti, net jei įmonė tiesiogiai nesusijusi su įrenginio dizainu.

Įmonėms, kurioms sveikatingumo, personalo ar darbuotojų įtraukimo programas, kiekvieno technologijos kontaktinio taško duomenų saugos padėties supratimas dabar yra pagrindinis reikalavimas, o ne skirtumas.

Kaip organizacijos gali apsisaugoti nuo daiktų interneto duomenų poveikio rizikos?

Siekiant apsisaugoti nuo šios klasės pažeidžiamumo, reikia ir techninės kontrolės, ir organizacinio proceso. Kalbant apie techninę pusę, bet koks daiktų interneto įrenginys, tvarkantis jautrius biometrinius duomenis, turėtų būti įvertintas prieš organizacinį patvirtinimą: patikrinkite, ar tarpininko ryšiams reikalingas autentifikavimas, patvirtinkite, kad TLS yra vykdomas, ir patikrinkite, ar pardavėjas paskelbia saugos atskleidimo politiką.

Kalbant apie procesą, organizacijoms reikia centralizuotai matyti įrankius ir platformas, kurias naudoja darbuotojai, ypač tas, kurios liečia asmeninius duomenis. Šiuolaikinio verslo valdymo sudėtingumas padidina riziką. Be vieningos sistemos, skirtos tiekėjų santykiams, duomenų tvarkymo sutartims ir saugos vertinimams sekti, parodymai tyliai kaupiasi dešimtyse atjungtų įrankių rinkinių.

Šiam sudėtingumui valdyti reikalinga platforma, kuri sutvirtina veiklos matomumą be papildomų administracinių išlaidų – tai tiksli problema, kuriai išspręsti sukurtos šiuolaikinės verslo operacinės sistemos.

Ką įrenginių gamintojai turėtų daryti, kad ištaisytų atvirojo MQTT brokerio spragas?

Ištaisymo būdas yra gerai suprantamas, net jei priėmimas vyksta lėtai. Gamintojai turėtų užtikrinti visų MQTT brokerių jungčių autentifikavimą, įdiegti TLS visuose duomenų kanaluose, reguliariai keisti konkrečiam įrenginiui skirtus kredencialus ir pateikti vartotojams aiškius, prieinamus dokumentus apie tai, kokie duomenys renkami, kur jie siunčiami ir kas gali juos pasiekti. Atsakingos informacijos atskleidimo programos ir trečiųjų šalių saugos auditai turėtų būti įprasta bet kokio biometrinius duomenis tvarkančio įrenginio praktika.

Reguliavimo sistemos pradeda pasivyti. ES kibernetinio atsparumo aktas ir JAV „Cyber ​​Trust Mark“ programa, skirta daiktų interneto įrenginiams, sukuria struktūrines paskatas gamintojams spręsti būtent šiuos pažeidžiamumus. Tačiau rinkos spaudimas iš informuotų vartotojų ir įmonių yra greitesnis svertas.

Dažniausiai užduodami klausimai

Ar galiu pasakyti, ar mano išmanioji miego kaukė transliuojama atviram MQTT brokeriui?

Galite naudoti tinklo stebėjimo įrankius, pvz., „Wireshark“, kad patikrintumėte srautą iš įrenginio vietiniame tinkle. Ieškokite jungčių su 1883 prievadu (nešifruotas MQTT), o ne 8883 (TLS MQTT). Jei įrenginys prisijungia prie išorinio IP 1883 prievado, duomenų srautas greičiausiai yra nešifruotas. Taip pat galite tiesiogiai susisiekti su gamintoju ir paprašyti jo MQTT tarpininko konfigūracijos ir autentifikavimo dokumentų – jo atsakymo kokybė yra informatyvi.

Ar smegenų bangų duomenys teisiškai saugomi kaip biometriniai duomenys?

Taip, vis daugiau jurisdikcijų. Pavyzdžiui, Ilinojaus biometrinės informacijos privatumo įstatymas (BIPA) aiškiai apima „neuroninius“ duomenis. Teksasas ir Vašingtonas turi panašius įstatus. JAV federaliniu lygiu dar nėra išsamaus biometrinio privatumo įstatymo, tačiau FTC ėmėsi priverstinio vykdymo veiksmų prieš įmones dėl apgaulingos duomenų praktikos, susijusios su biometriniais duomenimis. ES pagal BDAR EEG duomenys laikomi sveikatos duomenimis ir jiems taikomi griežčiausi apdorojimo reikalavimai.

Kaip verslo valdymas vieningoje platformoje sumažina IoT ir duomenų saugumo riziką?

Suskaidytos verslo priemonės sukuria fragmentišką duomenų valdymą. Kai operacijos, personalo valdymas, tiekėjų valdymas ir ryšiai vyksta per dešimtis atjungtų platformų, saugumo vertinimai yra nenuoseklūs, o atskaitomybės spragos yra neišvengiamos. Konsoliduota verslo operacinė sistema sukuria vieną paviršių politikos vykdymui, pardavėjų vertinimui ir veiklos priežiūrai – sumažina atakų paviršių ir leidžia akivaizdžiai lengviau prižiūrėti bei tikrinti atitiktį.

Praktesnė, saugesnė ir labiau integruota verslo veikla prasideda nuo tinkamo pagrindo. Mewayz – 207 modulių verslo OS, kurią naudoja daugiau nei 138 000 naudotojų – suteikia operatyvumo aiškumo, leidžiantį valdyti kiekvieną verslo aspektą vienoje vietoje – nuo ​​komandos darbo eigos iki santykių su pardavėju, pradedant nuo 19 USD per mėnesį. Nustokite leisti sudėtingumui sukurti ekspoziciją. Pradėkite savo Mewayz darbo sritį šiandien.