Старший брат следит за тобой. Как защитить себя в цифровом мире

КЕЙС В 2020 г. специалисты организации Electronic Frontier Foundation (EFF)[1105] выяснили, что Android-приложение для «умного» дверного видеозвонка Ring Doorbell содержит несколько трекеров, которые передают маркетинговым и аналитическим компаниям информацию, собранную на устройстве пользователя. К этим данным относятся имена, IP-адреса, названия операторов сотовой связи, идентификаторы и показания датчиков устройства (магнитометра, гироскопа и акселерометра), позволяющие сформировать цифровой отпечаток пользователя[1106].

Кроме того, с приложениями для IoT-устройств может быть связан еще один способ атаки – несанкционированное подключение к каналу связи между устройством и приложением. Чтобы избежать таких атак, следует обеспечить безопасность беспроводных интерфейсов между приложением и устройством (см. главу о безопасном интернете), а также надежное шифрование передаваемого трафика. Так, злоумышленники могут вести MiTM-атаки, если алгоритмы шифрования данных в Wi-Fi или Bluetooth-сети окажутся слабыми или шифрования не будет вовсе. В этом случае злоумышленники способны не только перехватывать данные, но и изменять (подделывать) их, а также управлять устройством, как описано выше.

Телевизоры и другие IoT-устройства активно поддерживают функции регистрации личных профилей, предлагая пользователям вводить свои персональные данные, такие как дата рождения, рост и вес, что в сочетании с определением IP-адресов подобных девайсов позволяет деанонимизировать их владельцев. Это опасно при анализе трафика государственными организациями; в частности, если устройство обладает функцией «автоматического распознавания контента» (automatic content recognition, ACR), определяя, какие каналы и телепередачи предпочитает смотреть пользователь (см. следующий подраздел), возникает возможность анализа общественного мнения и выявления, к примеру, нелояльных к власти граждан.

КЕЙС В 2019 г. в открытом доступе в интернете оказались конфиденциальные данные пользователей IoT-устройств китайского вендора Orvibo. Персональная информация содержалась в более чем 2 млрд логов, сформированных девайсами, и включала такие данные, как адреса электронной почты, пароли, коды для сброса аккаунта, точные географические координаты устройств, IP-адреса, имена/фамилии и идентификаторы пользователей, семейные идентификаторы, сведения о других подключенных устройствах и т. п. Уязвимость затронула около 100 моделей устройств, среди которых были электронные замки, камеры видеонаблюдения и системы управления освещением[1107].