AV-TEST: фитнес-браслеты разглашают данные

Возможно ли, чтобы окружающие видели, контролировали или даже использовали эти данные. AV-Test рассмотрел 9 фитнес-браслетов и настоятельно рекомендует нескольким производителям обновить политику безопасности.

Было протестировано 9 фитнес-браслетов

Новые фитнес-браслеты не только выглядят стильно, но и соответствуют современным трендам: фитнес сейчас очень популярен и вся активность записывается и анализируется в приложениях. Это означает, что пользователь может незамедлительно увидеть, к чему приводят его старания. У ответственных пользователей обычно появляются ряд вопросов. Безопасна ли передача данных от фитнес-браслета смартфону? Возможно, ли постороннему подключиться к устройству, скопировать или даже изменять фитнес-данные? Эти вопросы были рассмотрены немецкой лабораторией AV-Test. Организация провела испытания 9 фитнес-браслетов, также называемые трекерами совместно с соотвествующими приложениями Android. Мониторинг работы устройств производился в режиме реального времени, проверялась безопасность раличных операций, в частности потенциальные уязвимости перехвата данных. В тестах методы полного перебора (брут-форса) не были развернуты. Исследователи прослушивали канал коммуникации и оценили результаты. Приложения были оценены с точки зрения безопасности и управления данными. Для некоторых продуктов текущий подход к безопасности привел к однозначному выводу экспертов: продукт не безопасен для использования.

Кому могут понадобиться эти данные?

Тестовая конфигурация: все фитнес-браслеты были сопряжены со смартфонами с помощью обычного соединения Bluetooth. В добавлении к приложению от разработчика, браслеты были протестированы с самописным приложением для сбора данных.

Даже если данные фитнес-трекеров не привязаны к личным данным, таким как имя пользователя и адрес, они все равно представляют интерес для некоторой аудитории. В США, например, пользователи, которые демонстрируют хорошие показатели при использовании трекера, имеют право на снижение ставки персональной медицинской страховки. Что может удержать пользователя от использования данных своего более подвижного соседа такого же возраста? Те, кто знакомы со стоимостью медицинской страховки, понимают обширный криминальный потенциал в данной сфере. Если трекеры могут управляться, не пройдет много времени, как дети будут разыгрывать пранки над своим сверстником, увеличивая артериальное давление и пульс на несколько пунктов, вызывая у ипохондрика серьезные беспокойства. Текущий тест показывает: потенциальных точек атаки больше, чем достаточно.

Тестирование 9 фитнес-браслетов

Проверка безопасности: Только несколько фитнес-браслетов продемонстрировали низкий риск безопасности.

Все тестируемые продукты были приобретены на свободном рынке. Вот почему тест включает только те фитнес-браслеты, которые можно приобрести в Германии. Таким образом, Microsoft Band, например, не вошел в программу тестирования. Более того, еще одним ограничением выбора являлось поддержка соединения только с определенными смартфонами, как например, в случае с трекером Samsung. Все продукты работают с помощью приложения связи на смартфоне Android. Следующие фитнес-трекеры были собраны в лаборатории для тестирования как группа:

• Acer Liquid Leap
• FitBit Charge
• Garmin Vivosmart
• Huawei TalkBand B1
• Jawbone Up24
• LG Lifeband Touch FB84
• Polar Loop
• Sony Smartband Talk SWR30
• Withings Pulse Ox

При тестировании под особым наблюдением оказался Acer Liquid Leap. Компания Acer приобрела данный продукт и сделала ребрендинг. Абсолютно идентичные продукты поставляются компаниями Striiv (Touch), Tofasco (3 Plus Swipe) и Walgreens (Activity Tracker). Неясно, менял ли каждый из вендоров мобильное приложение и прошивку устройства. В начальной фазе испытания соответствующие приложения для сбора фитнес-данных были установлены на тестовые смартфоны. Впоследствии, для того, чтобы продолжить процесс тестирования фитнес-браслеты были сопряжены с мобильными устройствами Android с помощью соединения Bluetooth, как это предусмотрено в каждом из направлений. Некоторые устройства для подключения запрашивали код сопряжения.

Bluetooth-сопряжение работает очень безопасно

FitBit Charge  В тестировании фитнес-браслет принимал любой запрос для сопряжения через Bluetooth - даже от сторонних смартфонов.

Все фитнес-браслеты использовали соединения Bluetooth. Распространенные вопросы: остаются ли устройства видимыми после установления соединения? Что необходимо для сопряжения устройств? Активируется ли Bluetooth только на короткое время при передачи данных, завершая работу по окончанию этого процесса?

Соединение Bluetooth может быть вручную деактивировано на устройствах Garmin Vivosmart и LG Lifeband Touch. После сопряжения трекеры от Sony, Polar и Withings становятся невидимыми для устройств Bluetooth. Фитнес-браслет от Huawei отключает Bluetooth, если связь со сматфоном была потеряна в течение длительного промежутка времени. Фитнес-трекер Jawbone также невидим для других устройств после сопряжения, но при потери соединения остается видимым в течение нескольких часов.

На всех остальных фитнес-браслетах Bluetooth остается активным, а значит трекер будет видимым для других устройств Bluetooth, в том числе для тех, которые могут применяться злоумышленниками. Для подключения фитнес-браслета и смартфона на некоторых устройствах нужно нажать кнопку “ОК”. Sony Smartband Talk SWR30 автоматически подключается через NFC, но только с известными доверенными устройствами. Остальные носимые гаджеты запрашивают ввод PIN кода. На одном из тестируемых устройств запрашиваемый PIN был легко уязвим для опытных хакеров. Производитель был проинформирован, но в отчет данная информация не попала.

Передаются ли данные в читаемом формате?

Следующей фазой тестирования была проверка коммуникации по каналу Bluetooth. Исследователи AV-Test выясняли, передает ли фитнес-браслет данные только верифицированному приложению или они общедоступны и для других приложений. Кроме того, дополнительный анализ выявлял, могут ли данные быть прочитаны в том формате, в котором они передаются.

Фитнес-трекер  FitBit Charge очень удивил инженеров лаборатории: любой смартфон с Bluetooth мог подключиться к устройству. Для подключения не требовалась аутентификация с помощью PIN или любыми другими методами - браслет просто подключается и добровольно передает все свои данные. Данные отправляются на смартфон в незащищенном и зашифрованном виде. Приложение FitBit в настоящее время устанавливается на все новые устройства HTC серий M8 и M9. Согласно неподтвержденным источникам, только One M8 было продано от 500 000 до 1 000 000 экземляров. Продукты от  Jawbone и Huawei позволяют делиться записанными данными. Текущие фитнес данные автоматически передаются на любое сопряженное устройство, имеющее соответствующее приложение. Withings Pulse Ox оказался немного странным: устройство передает данные только на сопряженное в данный момент устройство. Если выбрать смартфон, который сопрягался ранее, браслет перезагружается и стирает все сохраненные данные.

Насколько безопасны приложения для фитнес-трекеров?

Sony SmartBand Talk: данный фитнес-браслет и приложение работали нормально, продемонстрировав низкий уровень безопасности во время тестирования.

Если передаваемые данные между браслетом и смартфоном данные не могут быть взломаны, следующий риск безопасности представляет приложение для смартфона. Игровое приложение, например, может опрашивать любые подключенные устройства для анализа данных. Если трекер использует аутентификацию, запрос останется без ответа.

Следующую уязвимость представляет само приложение. Киберпреступники могут сначала изучить исходный код. Если приложение было безопасно с учетом современных стандартов безопасности, код будет скрыт с помощью соответствующих инструментов. Только в этом случае обратное программирование приложения станет затруднительным. Законченное приложение не должно распространять так называемые “логи” и информацию отладки, т.к. эти данные позволяют легко понять принцип работы продукта.

Выявление информации из журналов

Исследователи оценивали все вышеупомянутые объекты в приложении. Только 5 из 9 фитнес-приложений эффективно скрыли свой код. Из 4 оставшихся программ, стоит отметить, что 3 приложения (Acer, Garmin and LG) скрывали свое соединение с помощью проприетарного протокола, поставляемого в библиотеках приложения. Данная мера позволит защититься от попыток анализа кода злоумышленниками. Только приложения от Polar и Sony использовали обе технологии защиты.

Тем не менее, приложения от LG и Polar вели журналы работы. Эта информация может облегчить декомпиляцию кода и взлом приложения. Логи делают даже предварительно скрытые данные видимыми и представляют серьезный риск безопасности.

Контроль фитнес-трекера с помощью самописного приложения

В небольшом эксперименте исследователи лаборатории просто вставили часть фирменного приложения для браслета Acer в собственное самописное приложение и затем запросили информацию с устройства. Трекер легко передал все данные, как если бы он был подключен к родному приложению. Эксперты смогли изменить некоторые данные и отправить обратно в браслет. В результате, дневная норма активности была завершена за несколько секунд, и все это без капли пота.

Более того, представители лаборатории смогли повлиять на другие функции браслета, а именно: изменение времени будильника и даже удаление пользовательского аккаунта. При попытке удаления пользователя браслет Acer перезагрузился и удалил все сохраненные данные. Acer просто приобрел данный браслет и провел ребрендинг под своей маркой. Идентичные устройства продаются компаниями  Striiv, Tofasco и Walgreens. В случае, если эти поставщики не разработали модифицированные приложения и другую прошивку, все эти гаджеты представляют серьезный риск безопасности также, как и Acer Liquid Leap.

Смартфоны с root-доступом удваивают опасность

Некоторые пользователи взламывают свои смартфоны и получают root-доступ к ним. Таким образом, пользователям становится доступен защищенный высокий уровень ОС Android. Пользователи рутированных устройств имеют больше возможности управления системой Android, но за это они платят слишком высокую цену - повышенный риск безопасности. Дело в том, что многие приложения записывают важные персональные данные в защищенную память, к которой другие приложения не могут получить доступ. Получение рута снимает эти ограничения. Многие фитнес-приложения записывают важные данные понятным читаемым языком в защищенную память. В отдельном испытании смартфон был рутирован и анализировались данные, к которым был получен доступ. В тесте некоторые приложения сохраняли транзакционные ключи, идентификационные номера доступа и даже пароли. Таким образом, получение рута подготавливает приложения для взлома, извлечения и преступного использования персональных данных.

Безопасное подключение к облачному сервису

При передаче данных через Интернет приложения фитнес-трекеров следуют современным стандартам безопасности. Таким образом, приложения используют защищенный протокол HTTPS и другие безопасные каналы связи, а сами данные передаются в зашифрованном виде. В данном тесте лаборатория не смогла выяснить, являются ли безопасными порталы и точки приема информации на облачных платформах.

Заключение: многие браслеты вполне безопасны

Несмотря на некоторые области потенциального улучшения, Sony Smartband Talk SWR30 и Polar Loop предлагают наиболее надежные модели безопасности. Другие фитнес-трекеры был оценены более низким рейтингом, а значит, имеют более высокую степень риска. Продуктом с самой высокой вероятностью успешной атаки является Acer Liquid Leap.

Вы можете изучить подробный отчет от AV-Test, включающий индивидуальные показатели каждого фитнес-браслета с помощью файла PDF: Оценка безопасности 9 фитнес-трекеров.

Комментарий эксперта:

Майк Моргенштерн, технический директор AV-Test GmbH: “Фитнес-браслеты представляют риск безопасности”.

Конечно, неплохо, когда компактные фитнес-браслеты мотивируют людей по всему миру становится здоровее и больше заниматься спортом. Мощные рекламные компании поддерживают тенденцию и воодушевляют приобретать инновационные устройства. К сожалению, в этих гаджетах производители совершают все те же ошибки, что и с устройствами “Интернета вещей”: безопасности здесь уделяется не самая ведущая роль. Общепринятые подходы безопасности, как например аутентификация и шифрование реализованы слабо или вообще не внедрены.  Фитнес-браслеты играют важную роль при оценке медицинских страховок, а значит нужно обновлять и улучшать политику безопасности. Оценка риска от нашей лабораторией показала, что ни один из продуктов не смог достичь максимального уровня безопасности. AV-Test направила производителям подробный отчет о результатах тестирования. Спустя определенный промежуток времени, специалисты лаборатории планируют провести второй раунд тестирования, который покажет, как производители отреагировали на полученную информацию.