Mana viedā miega maska ​​pārraida lietotāju smadzeņu viļņus atvērtam MQTT brokerim

Viedās miega maskas, kas uzrauga smadzeņu viļņu aktivitāti, atklāj sensitīvus neiroloģiskus datus ikvienam interneta lietotājam, pārraidot EEG signālus neautentificētiem, publiski pieejamiem MQTT brokeriem. Tas nav teorētisks risks — tas ir dokumentēts modelis patērētāju IoT labsajūtas ierīcēs, kas ir viena no intīmākajām datu noplūdēm valkājamo tehnoloģiju vēsturē.

Kas īsti notiek, kad jūsu miega maska pārraida smadzeņu viļņus?

MQTT (Message Queuing Telemetry Transport) ir viegls ziņojumapmaiņas protokols, kas paredzēts zema joslas platuma IoT vidēm. Tas darbojas pēc publicēšanas/abonēšanas modeļa: ierīce publicē datus brokera "tēmā", un jebkurš abonents var lasīt šo tēmu reāllaikā. Arhitektūra ir efektīva un eleganta, taču katastrofāli bīstama, ja brokerim nav nepieciešama autentifikācija.

Vairākas patērētāju klases viedās miega maskas, tostarp ierīces, kas tiek tirgotas meditācijai, gaišiem sapņiem un miega optimizēšanai, izmanto iegultos EEG sensorus, lai fiksētu smadzeņu viļņu frekvences delta, teta, alfa, beta un gamma joslās. Šie dati tiek nepārtraukti straumēti mākoņa brokeriem. Kad šie brokeri ir atstāti atvērti — nav lietotājvārda, nav paroles, nav TLS — ikviens, kurš zina vai uzmin brokera adresi, var abonēt tēmu un saņemt tiešraides plūsmu par citas personas neiroloģisko stāvokli. Tādi rīki kā Shodan un MQTT Explorer padara šo atvērto brokeru atklāšanu nenozīmīgu.

Atklātie dati nav abstrakta telemetrija. Smadzeņu viļņu modeļi var atklāt miega traucējumus, trauksmes līmeni, kognitīvo slodzi un dažos pētījumu kontekstos emocionālos stāvokļus. Tas ir viens no personīgākajiem biometriskajiem datiem, ko cilvēks ģenerē.

Kāpēc šī ievainojamība ir tik plaši izplatīta patērētāju IoT ierīcēs?

Pamatcēlonis ir saspiestu izstrādes termiņu, izmaksu ierobežojumu un regulējošā spiediena trūkuma kombinācija uz patērētāju labsajūtas aparatūras ražotājiem. Daudzi no šiem uzņēmumiem par prioritāti piešķir funkciju izstrādi un laiku līdz tirgum, nevis drošības arhitektūru. MQTT brokeri ir lēti un viegli izveidojami, un atvērtas piekļuves iespējošana izstrādes laikā ir izplatīta saīsne, kas bieži tiek izmantota ražošanas versijās.

• Pēc noklusējuma nav autentifikācijas: daudzas MQTT brokeru konfigurācijas tiek piegādātas ar iespējotu anonīmu piekļuvi, tāpēc izstrādātājiem tā ir apzināti jāatspējo — darbība tiek regulāri izlaista.
• Bez transportēšanas šifrēšanas: dati bieži tiek pārsūtīti pa 1883. portu (nešifrēti), nevis 8883. portu (TLS), kas nozīmē, ka datu straumi var lasīt jebkurš tīkla novērotājs, ne tikai starpnieku abonenti.
• Vienota tēmu hierarhijas: ierīces bieži publicē paredzamās tēmu struktūrās, padarot vienkāršu vairāku lietotāju datu uzskaiti un abonēšanu vienlaikus.
• Bez ierīces autentifikācijas: bez savstarpējas TLS vai marķieriem balstītas ierīces identitātes viltotas ierīces var ievadīt straumē viltus datus vai pilnībā uzdoties par likumīgām ierīcēm.
• Nav audita reģistrēšanas: atvērtajiem brokeriem parasti nav mehānisma, lai noteiktu vai brīdinātu par neautorizētām abonēšanas darbībām, tāpēc iedarbība ir neredzama gan ražotājam, gan lietotājam.

"Datu tuvība padara šo pārkāpumu kategoriju unikāli nopietnu. Finanšu datus var mainīt. Neiroloģiskos datus nevar. Noplūdis smadzeņu viļņu profils ir pastāvīga, neatsaucama personas iekšējās kognitīvās ainavas ekspozīcija."

Kāda ir reālā ietekme uz uzņēmumiem un to darbiniekiem?

Tā nav tikai patērētāju privātuma problēma. Darbinieki arvien biežāk izmanto labsajūtas ierīces, tostarp miega optimizācijas valkājamas ierīces, kā daļu no korporatīvajām veselības programmām, un daži vadītāji darba laikā izmanto uz EEG balstītus fokusa rīkus. Ja smadzeņu viļņu dati no šīm ierīcēm ir pieejami atvērtiem brokeriem, tas rada uzņēmuma līmeņa ekspozīciju.

No neiroloģiskiem datiem iegūtā konkurētspēja šodien ir spekulatīva, taču rīt, kad attīstīsies analīzes rīki, tas nav iespējams. Tūlītēji juridiskās atbildības risks ir ievērojams. Saskaņā ar GDPR, CCPA un jaunajiem biometrisko datu likumiem tādos štatos kā Ilinoisa un Teksasa neiroloģiskie dati tiek uzskatīti par sensitīvu biometrisko informāciju. Ja darbinieku dati tiek izfiltrēti, uzņēmums, kas iesaka vai subsidē ierīci ar šo ievainojamību, var tikt pakļauts regulatīvai pārbaudei, pat ja uzņēmumam nav tiešas saistības ar ierīces izstrādi.

Uzņēmumiem, kas veido labsajūtas, HR vai darbinieku iesaistīšanas programmas, izpratne par katra tehnoloģiju saskarsmes punkta datu drošības stāvokli tagad ir pamatprasība, nevis atšķirības faktors.

Kā organizācijas var pasargāt sevi no IoT datu iedarbības riskiem?

Lai aizsargātos pret šīs klases ievainojamību, ir nepieciešama gan tehniska kontrole, gan organizatoriskais process. No tehniskā viedokļa jebkura IoT ierīce, kas apstrādā sensitīvus biometriskos datus, ir jānovērtē pirms organizācijas pieņemšanas: pārbaudiet, vai starpnieka savienojumiem ir nepieciešama autentifikācija, apstipriniet, ka TLS ir ieviesta, un pārbaudiet, vai pakalpojumu sniedzējs publicē drošības informācijas atklāšanas politiku.

Raugoties uz procesu, organizācijām ir nepieciešama centralizēta darbinieku izmantoto rīku un platformu pārskatāmība, jo īpaši tās, kas skar personas datus. Šeit risku palielina mūsdienu biznesa darbības sarežģītība. Bez vienotas sistēmas pakalpojumu sniedzēju attiecību izsekošanai, datu apstrādes līgumiem un drošības novērtējumiem, iedarbība klusi uzkrājas desmitiem atvienotu rīku komplektu.

Šīs sarežģītības pārvaldīšanai ir nepieciešama platforma, kas konsolidē darbības redzamību, nepalielinot administratīvos izdevumus — šī ir precīza problēma, kuras risināšanai ir izstrādātas mūsdienu biznesa operētājsistēmas.

Kas būtu jādara ierīču ražotājiem, lai novērstu atvērtā MQTT brokera ievainojamības?

Atlīdzināšanas ceļš ir labi saprotams, pat ja pieņemšana notiek lēni. Ražotājiem ir jāīsteno autentifikācija visos MQTT brokera savienojumos, jāievieš TLS visos datu kanālos, regulāri jāmaina ierīcei raksturīgie akreditācijas dati un jānodrošina lietotājiem skaidra, pieejama dokumentācija par to, kādi dati tiek vākti, kur tie nonāk un kas tiem var piekļūt. Atbildīgām informācijas atklāšanas programmām un trešo pušu drošības auditiem ir jābūt standarta praksei jebkurā ierīcē, kas apstrādā biometriskos datus.

Normatīvie regulējumi sāk panākt. Gan ES Kibernoturības likums, gan ASV Kiberuzticības zīme IoT ierīcēm rada strukturālus stimulus ražotājiem novērst tieši šīs ievainojamības. Taču tirgus spiediens no informētu patērētāju un uzņēmumu puses ir ātrāka svira.

Bieži uzdotie jautājumi

Vai es varu pateikt, vai mana viedā miega maska tiek pārraidīta atvērtam MQTT brokerim?

Varat izmantot tīkla uzraudzības rīkus, piemēram, Wireshark, lai pārbaudītu trafiku no ierīces vietējā tīklā. Meklējiet savienojumus ar portu 1883 (nešifrēts MQTT), nevis 8883 (TLS MQTT). Ja jūsu ierīce izveido savienojumu ar ārējo IP portā 1883, jūsu datu straume, visticamāk, nav šifrēta. Varat arī sazināties tieši ar ražotāju un lūgt viņa MQTT brokera konfigurācijas un autentifikācijas dokumentāciju — viņa atbildes kvalitātei ir informatīvs raksturs.

Vai smadzeņu viļņu dati ir juridiski aizsargāti kā biometriskie dati?

Jā, arvien vairākās jurisdikcijās. Piemēram, Ilinoisas biometriskās informācijas privātuma likums (BIPA) skaidri aptver "neironiskos" datus. Teksasā un Vašingtonā ir salīdzināmi statūti. ASV federālajā līmenī vēl nav visaptveroša biometrisko datu privātuma likuma, taču FTC ir veikusi izpildes pasākumus pret uzņēmumiem par maldinošu datu praksi, kas saistīta ar biometrisko datu izmantošanu. ES saskaņā ar GDPR EEG dati tiek uzskatīti par veselības datiem, un uz tiem attiecas visstingrākās apstrādes prasības.

Kā uzņēmējdarbības vadīšana vienotā platformā samazina IoT un datu drošības risku?

Sadrumstaloti biznesa rīki rada sadrumstalotu datu pārvaldību. Ja operācijas, personāla vadība, pārdevēju vadība un sakari notiek desmitiem atslēgtu platformu, drošības novērtējumi ir nekonsekventi un atbildības nepilnības ir neizbēgamas. Konsolidēta biznesa operētājsistēma rada vienotu virsmu politikas ieviešanai, piegādātāju novērtēšanai un darbības uzraudzībai — samazina uzbrukuma virsmu un ievērojami atvieglo atbilstības uzturēšanu un pārbaudi.

Vienkāršāka, drošāka un integrētāka biznesa darbība sākas ar pareizo pamatu. Mewayz — 207 moduļu biznesa operētājsistēma, ko izmanto vairāk nekā 138 000 lietotāju — sniedz jums darbības skaidrību, lai vienuviet pārvaldītu visas jūsu uzņēmuma dimensijas, sākot no komandas darbplūsmām līdz pakalpojumu sniedzēju attiecībām, sākot no 19 ASV dolāriem mēnesī. Pārtrauciet ļaut sarežģītībai radīt ekspozīciju. Sāciet savu Mewayz darbvietu jau šodien.