Smartwatches kwetsbaar door standaardwachtwoord '123456'
Onderzoekers hebben drie smartwatches voor kinderen ontdekt die door het ongedocumenteerde standaardwachtwoord '123456' kwetsbaar voor aanvallers zijn. De horloges worden op Amazon aangeboden en beschikken over een gps-tracker. Ouders kunnen zo hun kinderen monitoren.
De horloges zijn via sms-commando's te configureren. Volgens de handleiding is dit alleen voor bepaalde telefoonnummers toegestaan en wordt er van een whitelist gebruikgemaakt om ongeautoriseerde nummers te weren. Onderzoekers van securitybedrijf Rapid7 ontdekten dat het filter helemaal niet blijkt te werken. Een aanvaller die het nummer van het horloge weet kan zo de configuratie aanpassen en de smartwatch aan zijn eigen smartphone koppelen.
Daarnaast maken de drie horloges gebruik van het ongedocumenteerde standaardwachtwoord '123456'. De onderzoekers waarschuwen dat een aanvaller hierdoor volledige controle over de smartwatch kan krijgen. Het is zo niet alleen mogelijk om kinderen te volgen, maar ook via de voicechat met hen te praten.
De onderzoekers probeerden de leveranciers te waarschuwen, maar dit bleek niet te lukken. De drie partijen zijn alleen als winkel op Amazon actief. Verder onderzoek wees uit dat de drie horloges allemaal gemaakt zijn door het Chinese 3G Elec en onder andere namen worden aangeboden. Het lukte de onderzoekers ook niet om 3G Elec te benaderen. Gebruikers die de horloges willen blijven gebruiken krijgen het advies om het standaardwachtwoord te wijzigen. Het probleem met het sms-filter kan alleen met een firmware-update van de fabrikant worden opgelost.
Wat mij vooral onhandig lijkt is in je tas moeten grabbelen naar je telefoon voor de tijd en daardoor al wandelend tegen een lantaarnpaal aanlopen.
(Gezien paar jaartjes geleden)
Onder andere om eenzelfde omslachtigheid raakte het zakhorloge in onmin en begon de zegetocht van het polshorloge. Hoe rectionair is dan weer de zg smartwatch die zo 'slim' is dat je eerst een wachtwoord moet invoeren om te kunnen zien hoe laat je leeft.
Is dit bijna 2020 of zijn de Batavieren zojuist op uitgeholde boomstammen bij Lobith het land binnen komen varen?
Je loopt voor lul door over onbekenden te oordelen zonder bekend te maken wie je zelf bent.
Maar goed, dat is het grote probleem van deze site, al die idioten die hun gal kunnen spugen omdat het allemaal zo lekker anoniem kan.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
