Rapid7 dezvăluie vulnerabilitățiile robotului IoT de teleprezență

Robotul de teleprezență de la Double Robotics prezintă trei categorii de vulnerabilități conform cercetătorilor în securitate de la Rapid7.

Robotul de teleprezență de la Double Robotics oferă un dispozitiv mobil pentru conferințe care permite utilizatorului aflat la distanță să se plimbe prin birou și să aibă conversații „față în față”, scrie theregister.co.uk.

Cercetătorii în securitate de la Rapid7 au făcut publice mai multe vunerabilități ale kit-ului, împărțite în trei mari categorii:

– Acces la informații fără autentificare:  un utilizator care nu este logat în cont poate accesa informații despre dispozitivul Double 2, incluzând numărul seriei, informații despre utilizator și informații despre sesiunile de comunicare ale robotului și coordonate GPS.

– Statusul administrării dispoztivului de către utilizator: elementul de acces care este creat în momentul creării contului nu se schimbă niciodată. Dacă este compromis, poate fi folosit pentru a controla robotul fără cont de utilizator sau parolă.

– Conectare prin Bluetooth nerestricționată: procesul de conectare între aplicația de mobil și robot nu necesită introducerea unui PIN de către utilizator. O dată conectat, un hacker care are acces la robot îl poaate controla de la o distanță de aproximativ 1,6 kilometri.
Furnizorul a minimizat impactul cercetării celor de la Rapid7 și a mulțumit cercetătorilor pentru efortul depus.

Double Robotics a făcut remedieri în cazul a două din trei probleme de securitate din cele pe care Rapid7 le-a făcut publice în mod responsabil. Cei de la Rapid7 au raportat problemele către Double Robotics pe 9 ianuarie. Vulnerabilitățile au fost rezolvate pe 16 ianuarie.

„Deși aceste probleme sunt rezolvate, facem publice probleme ca acestea pentru ca alți dezvoltatori din industrie să afle despre vulnerabilitățile comune care ar putea fi relevante pentru proiectele lor,” a declarat pentru eWEEK, Deral Heiland, lider și cercetători IoT al Rapid7.

El a mai spus că deși vulnerabilitățile au fost rezolvate, politica companiei este de a le face publice la 60 de zile de la data descoperirii acestora.

Problema conectării prin Bluetooth nu a fost rezolvată deoarece Double Robotics nu o vede ca pe un factor major de risc. Doar un dispozitiv se poate conecta prin Bluetooth la robot, dea aceea find necesară verificarea dispozitivului conectat, a declarat Heiland.