IoTバービー人形でさまざまなセキュリティ上の問題が見つかる 11
ストーリー by headless
barbie-on-barbie 部門より
barbie-on-barbie 部門より
Wi-Fiでクラウドに接続し、AIを使用した会話のできるマテルのバービー人形「Hello Barbie」で、専用アプリやサーバーにさまざまなセキュリティ上の問題が見つかったそうだ(Bluebox Securityのブログ記事、
The Registerの記事、
BetaNewsの記事、
Ars Technicaの記事)。
Hello Barbieは発表当初からプライバシー侵害が懸念されており、11月には実際に盗聴などが可能だと報じられていた。一方、Hello Barbieの技術面の開発を担当したToyTalkでは、報じられている「ハック」は人形への物理的なアクセスが必要なものや専用アプリの設定インターフェイスを使用するもので、録音された音声や登録メールアドレス、Wi-Fiパスワードといった情報にアクセスすることはできないと説明している。
モバイルアプリはToyTalkが開発したもので、サーバーもToyTalkの管理下にある。AndroidとiOSに対応するアプリは攻撃者が認証情報の再利用が可能となっており、名前に「Barbie」が含まれる任意のWi-Fiネットワークに接続してしまうという。クライアント証明書の認証情報はアプリ以外でも使用可能で、攻撃者が任意のHello Barbieクラウドサーバーを調べることが可能となる。さらにToyTalkのサーバードメインは、POODLE攻撃の影響を受けやすいクラウドインフラストラクチャ上に置かれていたとのこと。
なお、これらの問題を発見したBlueboxでは公表前にToyTalkへ連絡しており、多くは既に修正済みとのことだ。
Hello Barbieは発表当初からプライバシー侵害が懸念されており、11月には実際に盗聴などが可能だと報じられていた。一方、Hello Barbieの技術面の開発を担当したToyTalkでは、報じられている「ハック」は人形への物理的なアクセスが必要なものや専用アプリの設定インターフェイスを使用するもので、録音された音声や登録メールアドレス、Wi-Fiパスワードといった情報にアクセスすることはできないと説明している。
モバイルアプリはToyTalkが開発したもので、サーバーもToyTalkの管理下にある。AndroidとiOSに対応するアプリは攻撃者が認証情報の再利用が可能となっており、名前に「Barbie」が含まれる任意のWi-Fiネットワークに接続してしまうという。クライアント証明書の認証情報はアプリ以外でも使用可能で、攻撃者が任意のHello Barbieクラウドサーバーを調べることが可能となる。さらにToyTalkのサーバードメインは、POODLE攻撃の影響を受けやすいクラウドインフラストラクチャ上に置かれていたとのこと。
なお、これらの問題を発見したBlueboxでは公表前にToyTalkへ連絡しており、多くは既に修正済みとのことだ。
他所のイケメンと簡単に駆け落ちしてしまう脆弱性とかか (スコア:3, おもしろおかしい)
たいとるおんりー
定番のこれができるのかな (スコア:2, おもしろおかしい)
あたしばーびー いまあなたのうしろにいるの
Re: (スコア:0)
さすがに動けないからそれは難しいのでは。でも
「あたしばーびー 旦那の浮気相手の名前知ってるの」
は成立しそう。
今後のセキュリティ関係レイヤーの供給元 (スコア:0)
今後はフレームワークが提供されるようになるはずなんで、
こういう事態は起きにくくなるとは思うけどね。
#で、デファクトのフレームワークを握ろうと激しい競争が…
#GEとかUSのルネサスとかIot推進コンソーシアムとか
#他にどこかあったけか。
バックドア (スコア:0)
バービー人形の場合はバックドアとは言わないのね、ふーん
Re:バックドア (スコア:2)
Re: (スコア:0)
バックドアの意味わかってる？
ビーバーに見えた (スコア:0)
べいび、べいびべいびおーうう
人形使い (スコア:0)
バービーが工場を脱走し、知的生命体として亡命を求めるようになるのまであと何年かかるかな。
google (スコア:0)
ひらめいた！
Googleグラスとカメラを連動した、「パーキーパット」人形で2匹目のNexusや！