Slimme fietshelm lekte locatie 1 miljoen gebruikers, maakte afluisteren mogelijk
Slimme fiets- en skihelmen van fabrikant Livall lekken de real-time locatiegegevens van gebruikers en maken het mogelijk om hen af te luisteren. Dat blijkt uit onderzoek van securitybedrijf Pen Test Partners. De helmfabrikant heeft inmiddels nieuwe versies van de eigen apps uitgebracht om het probleem te verhelpen.
De helmen zijn voorzien van een bluetooth-speaker en microfoon en kunnen via de bijbehorende app de locatie doorgeven. Via de app is het mogelijk om een groep aan te maken waarin de locatie van deelnemers wordt getoond en het mogelijk is om gesprekken te voeren. Deelname aan een groep bestaat uit een zescijferige code. Pen Test Partners ontdekte dat het eenvoudig is om alle mogelijke cijfercombinaties via een bruteforce-aanval te proberen en zo toegang tot willekeurige groepen te krijgen.
Gebruikers worden namelijk niet geïnformeerd wanneer iemand aan een groep wordt toegevoegd. "Het was daarom eenvoudig om aan elke willekeurige groep deel te nemen en zo toegang tot de locatie van gebruikers te krijgen en de mogelijkheid om naar elke audiocommunicatie van gebruikers te luisteren", zegt onderzoeker Ceri Coburn. De enige manier waardoor een malafide gebruiker kon worden gedetecteerd was wanneer een legitieme gebruiker het aantal groepsdeelnemers controleerde.
Livall werd op 7 januari over het probleem ingelicht, maar Pen Test Partners stelt dat de communicatie daarna stokte. Pas nadat de onderzoekers naar de media stapten en die het bedrijf benaderden, maakte Livall begin deze maand bekend dat het nu gebruikmaakt van codes bestaande uit zes alfanumerieke tekens, wat een bruteforce-aanval stukken lastiger maakt. Gebruikers moeten hiervoor wel hun app updaten. De fietshelm-app telt een miljoen gebruikers, de skihelm-app een aantal duizend.
Heb jij wel eens de tour de France bekeken? Daar weten de renners ook lang niet altijd van elkaar waar iedereen zit. Daar is het de volgwagen van de ploeg die dit in de gaten houdt. Deze helm is een arme-lui versie van hun apparatuur.
Het kan natuurlijk nog veel goedkoper zonder deze app. Start een groepsgesprek in WhatsApp, Signal of een andere App die je toch al gebruikt en gebruik je reguliere bluetooth headset. (Of een kabeltje)
Als de helm teveel tegen de oren aanzit gewoon ff een kleine holte maken in het schuim. (Niet teveel anders gaat dat ten koste van de veiligheid)
...
...
zo’n helm te onzin van woorden, laat je hersenen werken.
De op een na slimste is de marketeer/verkoper...
Alle andere betrokken spullen en mensen zijn gewoon dom.
...
De op een na slimste is de marketeer/verkoper...
Alle andere betrokken spullen en mensen zijn gewoon dom.
Fijn om mijn dag met een lach te beginnen!
Dit kan zo gebruikt worden als extra stelling bij een proefschrift over cybersecurity, "slimme steden" of AI. Je weet wel, er zitten vaak enkele stellingen bij die de bedoeling hebben om een lach en een flits van gewaarwording te bewerkstelligen - dit stamt nog uit de tijd dat academici breed keken en wetenschap nog niet door machthebbers en hun vazallen in de VS, de EU en China werd gereduceerd tot een technocratische ideologie, oftewel tot een onderdeel van "een nieuwe religie" (Ronald Meester).
Je hebt helemaal gelijk, "spullen en mensen", wat is het verschil tegenwoordig nog?
M.J.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
