智能手表变定位窃听器 GeekPwn选手演示危险通话

2017-05-13 22:46:56  [来源:中国新闻网]    
字体:【

  中新网5月13日电 孩子在儿童智能手表上拨通父亲的号码,电话那头却传来了一个陌生的声音?手表绑定的APP被任意更改,变成了另一个黑客爸爸?北京时间5月13日,来自百度的资深安全工程师“小灰灰”在2017国际安全极客大赛极棒年中赛上,揭露了当前主流儿童智能手表存在的安全漏洞。这些高危漏洞不仅会造成儿童与家长的敏感信息泄漏,还能被利用进行配置修改、信号劫持,甚至是完全控制。

选手“小灰灰”在现场成功伪装成爸爸与小盆友进行了通话。
选手“小灰灰”在现场成功伪装成爸爸与小盆友进行了通话。

  小灰灰现场立体化多维度地演示了儿童智能手表存在的安全风险。第一类攻击选手利用儿童手表的各种通讯协议漏洞,成功在电脑端完全操控手表:比如修改手表内已存的联系人号码,将父亲名字下的手机号替换成自己的手机号、完全伪造成孩子的手表和家长的APP进行语音互动、任意更改掉手表绑定的APP。第二类攻击是针对移动通讯GSM系统单向认证机制缺陷所发起的信号劫持:孩子拨通手表上父亲的号码,而接到电话的却是小灰灰本人。

  据小灰灰介绍,目前市面上的儿童智能手表都还只支持2G网络,而移动通信GSM系统设计上存在单向认证机制的缺陷。小灰灰此次正是通过修改GSM广播信道相关参数实现了自动附着,从而能够实现语音、数据信号的劫持和分析。今后,GSM尤其是GPRS的中间人方法还会大大拓展包括自动售货机、共享单车锁、工业采集设备等一大批智能设备的攻击面。

  如今,造型别致、功能多样,广告铺天盖地的儿童智能电话手表,越来越受到众多小朋友与家长们的青睐:既可以随时和孩子通话,又能通过GPS掌握孩子的行踪动态,看起来既方便又安全。可事与愿违,产品自身存在的安全漏洞不仅可以导致孩子、家长的个人隐私泄露,甚至可以被不法犯罪分子利用而冒充家长,从而造成难以挽回的后果。

  由国内顶尖信息安全团队�震(KEEN)发起并主办的GeekPwn,至今已是举办的第四个年头,这期间GeekPwn吸引了众多国际顶尖安全专家与选手的参与,带来了一场又一场酷炫且新奇的科技破解秀。在此次GeekPwn2017年中赛上,来自国内外的顶尖白帽黑客选手还展示包含智能出行、智能家居等含金亮颇高的比赛项目。根据GeekPwn负责任的漏洞披露规则,组委会在赛后会将漏洞提交给相关厂商,协助修复漏洞。

分享到:

相关新闻