Федеральное ведомство по информационной безопасности Германии (BSI) провело проверку детских умных часов. Анализ выявил серьезные недостатки в таких областях, как шифрование, удаление данных и стандартные настройки.

Содержание.

Детские смарт-часы становятся все более популярными. Эти миниатюрные компьютеры на запястье обещают прямую связь, простое общение и чувство безопасности благодаря GPS-отслеживанию – при этом самым маленьким пользователям не требуется собственный смартфон. Однако то, что задумывалось как средство защиты и помощи, может представлять собой значительные риски в области IT-безопасности.

Федеральное ведомство по информационной безопасности (BSI) провело более детальный анализ детских смарт-часов и связанных с ними приложений. Результаты оказались неутешительными: ни одно из протестированных устройств не имело безопасной стандартной конфигурации "из коробки". Кроме того, в нескольких моделях были выявлены серьезные уязвимости в области защиты данных и шифрования.

Для проведения исследования Федеральное ведомство по информационной безопасности (BSI) выбрало три модели детских смарт-часов из разных ценовых категорий: Connect Neo от компании One2Track, Garmin Bounce и Imoo Z3. В ходе тестирования были проверены как аппаратное и программное обеспечение устройств, так и соответствующие приложения для Android, а также способы передачи данных. Особое внимание было уделено обеспечению безопасности доступа к учетной записи, прозрачности в отношении обновлений безопасности, шифрованию трафика, а также поведению устройств при сбросе настроек и выводе из эксплуатации.

Уязвимости проявляются даже при использовании заводских настроек.

Федеральное ведомство по информационной безопасности (BSI) особенно критически отозвалось о недостатках в заводских настройках и передаче данных. В двух из трех протестированных моделей чувствительная информация периодически передавалась без шифрования: например, в модели Connect Neo это касалось потока данных для видеозвонков. Еще более серьезные недостатки были выявлены у модели Imoo Z3: она отправляла незашифрованные текстовые сообщения, медиафайлы из чата, а также информацию о расположенных поблизости точках доступа Wi-Fi. Эти данные могут быть использованы злоумышленниками для определения местоположения ребенка.

В процессе проверки защиты устройств от несанкционированных изменений настроек были выявлены недостатки. Ни Garmin Bounce, ни Imoo Z3 в стандартных настройках надежно не предотвращали возможность того, что дети самостоятельно вернут устройство к заводским настройкам или добавят незащищенные сети Wi-Fi. В случае с Connect Neo, сброс настроек часов приводил к деактивации ранее установленной функции блокировки звонков с незнакомых номеров.

Отсутствие обновлений и недостатки в процессе удаления данных.

Проблематичными также являются обновления безопасности: только один производитель предоставил четкую и долгосрочную информацию по этому вопросу. Согласно отчету, для большинства устройств сложно понять, как долго производитель будет поддерживать конкретную модель обновлениями. Одно из протестированных устройств уже было снято с производства во время исследования и, в силу своей конструкции, не могло получать обновления прошивки по беспроводной связи. Без таких обновлений даже известные уязвимости безопасности остаются открытыми на постоянной основе.

Кроме того, эксперты выявили недостатки в процессе отключения устройств. В случае удаления учетной записи пользователя или передачи устройства другому владельцу, на встроенной памяти устройства или в приложении оставались личные данные пользователей у всех моделей. Это представляет риск, особенно если бывшие в употреблении устройства продаются.

Необходимые действия и рекомендации.

Согласно отчету, все производители частично устранили выявленные недостатки путем обновления программного обеспечения или пообещали внести дополнительные улучшения. Ларс Бартш, руководитель отдела технической защиты прав потребителей в BSI, подчеркнул, что производителям и родителям необходимо действовать сообща. Производители обязаны обеспечивать безопасность своей продукции уже на этапе проектирования и путем установки безопасных настроек по умолчанию ("безопасность изначально и по умолчанию"). В будущем это также будет требоваться согласно Закону о киберустойчивости (Cyber Resilience Act).

Родителям рекомендуется перед покупкой внимательно изучить информацию о сроках технической поддержки и доступных настройках. После приобретения устройства необходимо проверить стандартные настройки и адаптировать такие функции, как службы геолокации. Также важно обеспечить защиту учетной записи пользователя с помощью надежных паролей или двухфакторной аутентификации, создать список разрешенных номеров для звонков и перед передачей устройства другому пользователю убедиться в полном удалении всех данных.

Помимо технических мер безопасности, Федеральное ведомство по информационной безопасности (BSI) обращает внимание на права детей: постоянный мониторинг противоречит праву молодежи на частную жизнь. Поэтому функции отслеживания местоположения и коммуникации следует использовать с учетом возраста ребенка и после проведения разъяснительной беседы.

Первоисточник — Heise

Автор оригинала — Stefan Krempl