Moja inteligentná maska ​​na spánok vysiela mozgové vlny používateľov otvorenému maklérovi MQTT

Inteligentné spánkové masky, ktoré monitorujú aktivitu mozgových vĺn, odhaľujú citlivé neurologické údaje komukoľvek na internete prostredníctvom prenosu EEG signálov neovereným, verejne dostupným MQTT brokerom. Nejde o teoretické riziko – ide o zdokumentovaný vzor naprieč spotrebiteľskými wellness zariadeniami internetu vecí, ktorý predstavuje jeden z najintímnejších únikov údajov v histórii nositeľnej technológie.

Čo sa presne deje, keď vaša spánková maska vysiela mozgové vlny?

MQTT (Message Queuing Telemetry Transport) je ľahký protokol na odosielanie správ navrhnutý pre prostredia internetu vecí s nízkou šírkou pásma. Funguje na modeli publikovania/odberu: zariadenie zverejňuje údaje k „téme“ u makléra a každý predplatiteľ si môže túto tému prečítať v reálnom čase. Architektúra je efektívna a elegantná – ale katastrofálne nebezpečná, keď maklér nevyžaduje žiadne overenie.

Niekoľko spotrebiteľských inteligentných spánkových masiek, vrátane zariadení predávaných na meditáciu, lucidné snívanie a optimalizáciu spánku, používa zabudované EEG senzory na zachytenie frekvencií mozgových vĺn v pásmach delta, theta, alfa, beta a gama. Tieto údaje sa nepretržite streamujú do cloudových brokerov. Keď títo makléri zostanú otvorení – žiadne používateľské meno, žiadne heslo, žiadne TLS – každý, kto pozná alebo uhádne adresu makléra, sa môže prihlásiť na odber témy a dostávať živé informácie o neurologickom stave inej osoby. Vďaka nástrojom ako Shodan a MQTT Explorer je objavovanie týchto otvorených maklérov triviálne.

Vystavované údaje nie sú abstraktnou telemetriou. Vzorce mozgových vĺn môžu odhaliť poruchy spánku, úroveň úzkosti, kognitívnu záťaž a v niektorých kontextoch výskumu aj emocionálne stavy. Patrí medzi najosobnejšie biometrické údaje, ktoré ľudská bytosť vytvára.

Prečo je táto chyba zabezpečenia taká rozšírená v spotrebiteľských zariadeniach internetu vecí?

Hlavnou príčinou je kombinácia komprimovaných časových plánov vývoja, nákladových obmedzení a nedostatočného regulačného tlaku na výrobcov spotrebiteľského wellness hardvéru. Mnohé z týchto spoločností uprednostňujú vývoj funkcií a čas uvedenia na trh pred bezpečnostnou architektúrou. Sprostredkovatelia MQTT sú lacní a ľahko sa vytáčajú a umožnenie otvoreného prístupu počas vývoja je bežnou skratkou, ktorá často prežije aj v produkčných zostavách.

• Žiadne overenie v predvolenom nastavení: Mnoho konfigurácií brokerov MQTT sa dodáva s povoleným anonymným prístupom, čo od vývojárov vyžaduje, aby ho zámerne zakázali – tento krok sa bežne preskakuje.
• Žiadne šifrovanie prenosu: Údaje sa často prenášajú cez port 1883 (nešifrované), a nie cez port 8883 (TLS), čo znamená, že dátový tok je čitateľný všetkým pozorovateľom siete, nielen predplatiteľom sprostredkovateľa.
• Plochá hierarchia tém: Zariadenia často publikujú podľa predvídateľných štruktúr tém, vďaka čomu je jednoduché naraz spočítať a prihlásiť sa na odber údajov viacerých používateľov.
• Žiadne overenie zariadenia: Bez vzájomného protokolu TLS alebo identity zariadenia na základe tokenov môžu falošné zariadenia vkladať do streamu falošné údaje alebo sa úplne vydávať za legitímne zariadenia.
• Žiadne protokolovanie auditu: Otvorení makléri zvyčajne nemajú žiadny mechanizmus na zisťovanie alebo upozorňovanie na neautorizovanú aktivitu predplatného, takže vystavenie je neviditeľné pre výrobcu aj používateľa.

"Intimita údajov robí túto kategóriu porušení jedinečne závažnou. Finančné údaje možno zmeniť. Neurologické údaje nie. Uniknutý profil mozgových vĺn je trvalým, neodvolateľným odhalením vnútorného kognitívneho prostredia človeka."

Aké sú skutočné dôsledky pre podniky a ich zamestnancov?

Toto nie je čisto otázka ochrany osobných údajov spotrebiteľov. Zamestnanci čoraz viac využívajú wellness zariadenia – vrátane nositeľných zariadení na optimalizáciu spánku – ako súčasť firemných zdravotných programov a niektorí vedúci pracovníci používajú počas pracovnej doby nástroje na zaostrenie založené na EEG. Ak sú dáta mozgových vĺn z týchto zariadení dostupné na otvorených brokeroch, vytvára to expozíciu na úrovni podniku.

Konkurenčná inteligencia odvodená z neurologických údajov je dnes špekulatívna, ale zajtra nie je nepravdepodobná, pretože analytické nástroje dozrievajú. Okamžite je významná právna zodpovednosť. Podľa GDPR, CCPA a nových zákonov o biometrických údajoch v štátoch ako Illinois a Texas sa neurologické údaje kvalifikujú ako citlivé biometrické informácie. Firma, ktorá odporúča alebo dotuje zariadenie s touto zraniteľnosťou, by mohla čeliť regulačnej kontrole, ak dôjde k úniku údajov o zamestnancoch – a to aj vtedy, ak sa firma priamo nezúčastnila na návrhu zariadenia.

Pre spoločnosti, ktoré vytvárajú wellness, HR alebo programy na zapojenie zamestnancov, je teraz pochopenie stavu zabezpečenia údajov každého technologického dotykového bodu základnou požiadavkou, nie rozdielom.

Ako sa môžu organizácie chrániť pred rizikami vystavenia údajov internetu vecí?

Ochrana pred touto triedou zraniteľnosti si vyžaduje technické kontroly aj organizačný proces. Čo sa týka technickej stránky, každé zariadenie internetu vecí, ktoré spracováva citlivé biometrické údaje, by sa malo pred prijatím organizáciou vyhodnotiť: overte, či pripojenia sprostredkovateľa vyžadujú autentifikáciu, potvrďte, že je vynútené TLS, a skontrolujte, či predajca publikuje politiku zverejnenia zabezpečenia.

Na strane procesu organizácie potrebujú centralizovaný prehľad o nástrojoch a platformách, ktoré zamestnanci používajú – najmä o tých, ktoré sa dotýkajú osobných údajov. Toto je miesto, kde prevádzková zložitosť riadenia moderného podnikania zvyšuje riziko. Bez jednotného systému na sledovanie vzťahov s dodávateľmi, dohôd o manipulácii s údajmi a hodnotení bezpečnosti sa expozícia ticho hromadí v desiatkach odpojených sád nástrojov.

Správa tejto zložitosti si vyžaduje platformu, ktorá konsoliduje prevádzkovú viditeľnosť bez zvýšenia administratívnej réžie – presne taký problém, ktorý majú riešiť moderné podnikové operačné systémy.

Čo by mali výrobcovia zariadení urobiť, aby opravili slabé miesta otvoreného makléra MQTT?

Cesta nápravy je dobre pochopená, aj keď je prijatie pomalé. Výrobcovia by mali presadzovať autentifikáciu na všetkých pripojeniach makléra MQTT, implementovať TLS na všetky dátové kanály, pravidelne striedať poverenia pre konkrétne zariadenia a poskytovať používateľom jasnú a dostupnú dokumentáciu o tom, aké údaje sa zhromažďujú, kam idú a kto k nim má prístup. Programy zodpovedného sprístupnenia informácií a bezpečnostné audity tretích strán by mali byť štandardnou praxou pre každé zariadenie spracúvajúce biometrické údaje.

Regulačné rámce začínajú dobiehať. Zákon EÚ o kybernetickej odolnosti a americký program Cyber ​​Trust Mark pre zariadenia internetu vecí vytvárajú štrukturálne stimuly pre výrobcov, aby riešili presne tieto zraniteľné miesta. Trhový tlak informovaných spotrebiteľov a podnikov je však rýchlejšou pákou.

Často kladené otázky

Môžem zistiť, či moja inteligentná maska na spánok vysiela otvorenému sprostredkovateľovi MQTT?

Na kontrolu návštevnosti zo zariadenia v miestnej sieti môžete použiť nástroje na monitorovanie siete, ako je Wireshark. Hľadajte pripojenia k portu 1883 (nešifrované MQTT) a nie 8883 (TLS MQTT). Ak sa vaše zariadenie pripája k externej IP na porte 1883, váš dátový tok je pravdepodobne nezašifrovaný. Môžete sa tiež obrátiť priamo na výrobcu a požiadať ho o konfiguráciu a overovaciu dokumentáciu sprostredkovateľa MQTT – samotná kvalita jeho odpovede je informatívna.

Sú údaje mozgových vĺn právne chránené ako biometrické údaje?

V narastajúcom počte jurisdikcií áno. Napríklad zákon o ochrane osobných údajov v biometrických informáciách Illinois (BIPA) výslovne pokrýva „neurálne“ údaje. Texas a Washington majú porovnateľné štatúty. Na federálnej úrovni v USA zatiaľ neexistuje komplexný biometrický zákon o ochrane osobných údajov, ale FTC podnikla donucovacie opatrenia proti spoločnostiam za klamlivé praktiky týkajúce sa údajov zahŕňajúcich biometriu. V EÚ sa údaje EEG podľa GDPR považujú za zdravotné údaje a podliehajú najprísnejším požiadavkám na spracovanie.

Ako prevádzka firmy na zjednotenej platforme znižuje riziko internetu vecí a bezpečnosti údajov?

Fragmentované obchodné nástroje vytvárajú fragmentovanú správu údajov. Keď operácie, ľudské zdroje, správa dodávateľov a komunikácia prebiehajú na desiatkach odpojených platforiem, hodnotenia bezpečnosti sú nekonzistentné a medzery v zodpovednosti sú nevyhnutné. Konsolidovaný podnikový operačný systém vytvára jednotnú platformu na presadzovanie pravidiel, hodnotenie dodávateľov a prevádzkový dohľad – redukuje plochu útoku a preukázateľne zjednodušuje údržbu a kontrolu dodržiavania predpisov.

Prevádzkovanie štíhlejších, bezpečnejších a integrovanejších obchodných operácií začína správnym základom. Mewayz – obchodný operačný systém s 207 modulmi, ktorý používa viac ako 138 000 používateľov – vám poskytuje prehľadnosť prevádzky na správu všetkých rozmerov vášho podnikania na jednom mieste, od tímových pracovných postupov až po vzťahy s dodávateľmi, už od 19 USD mesačne. Prestaňte dovoliť, aby zložitosť vytvárala expozíciu. Začnite svoj pracovný priestor Mewayz ešte dnes.