Akıllı buzdolabı nasıl hacklenir?

Esasen verileri ve nihayetinde ipuçlarını bulmak için bu cihazların etrafını gözetlemekle ilgili olan IoT adli tıp adlı bir alanda çalışan insanlarla konuşuyorum. ABD’deki kolluk kuvvetleri ve mahkemeler genellikle IoT cihazlarından alınan verilere açıkça atıfta bulunmasa da, bu cihazlar dava oluşturmanın giderek daha önemli bir parçası haline geliyor. Bunun nedeni, bir suç mahallinde bulunduklarında, çıplak gözle görülemeyecek sırlara sahip olmalarıdır. Birisinin ışığı kapatması, kahve yapması veya televizyonu açması gibi sırlar bir soruşturmada çok önemli olabilir.

Mattia Epifani böyle bir kişidir. Kendisine bilgisayar korsanı demiyor, ancak polisin bir öğeden veri çıkarılıp çıkarılamayacağını araştırmak için yardıma ihtiyaç duyduğunda başvurduğu biri. O bir dijital adli tıp analisti ve SANS Enstitüsü’nde eğitmen ve dünya çapında avukatlar, polis ve özel müşterilerle çalıştı.

“Ben… takıntılıyım. Ne zaman bir cihaz görsem, düşünüyorum ki, Oradan nasıl veri çıkarabilirim? Bunu her zaman test cihazlarında veya yetkilendirme altında yapıyorum elbette,” diyor Epifani.

Akıllı telefonlar ve bilgisayarlar, polisin bir soruşturmaya yardımcı olmak için ele geçirdiği en yaygın cihaz türleridir, ancak Epifani bir suça ilişkin kanıtların her yerden gelebileceğini söylüyor: “Bu bir konum olabilir. Bu bir mesaj olabilir. Bir resim olabilir. Her şey olabilir. Belki bir kullanıcının kalp atış hızı veya kullanıcının kaç adım attığı da olabilir. Ve tüm bunlar temel olarak elektronik cihazlarda saklanıyor.”

Örneğin, bir Samsung buzdolabı alın. Epifani, bir akıllı buzdolabının sahipleri hakkında ne kadar bilgi sakladığını araştırmak için ABD’deki bir adli dijital laboratuvar olan VTO Labs’ın verilerini kullandı.

VTO ​​Labs, cihazı test verileriyle hazırladıktan, bu verileri çıkardıktan ve veritabanlarının bir kopyasını araştırmacılar tarafından kullanılmak üzere web sitelerinde herkese açık bir şekilde yayınladıktan sonra bir Samsung buzdolabının veri depolama sistemine tersine mühendislik uyguladı. Laboratuvarın CEO’su Steve Watson, bunun, buzdolabının hem ünite içinde hem de ünite dışında, uygulamalarda veya bulut depolamada veri depolayabileceği tüm yerleri bulmayı içerdiğini açıkladı. Bunu yaptıktan sonra, Epifani verileri analiz edip organize etmeye ve dosyalara erişim sağlamaya başladı.

Bulduğu şey, kişisel ayrıntılardan oluşan bir hazineydi. Epifani, buzdolabının yakınındaki Bluetooth cihazları, e-posta adresleri ve ev Wi-Fi ağları gibi Samsung kullanıcı hesabı ayrıntıları, sıcaklık ve coğrafi konum verileri ve enerji kullanımına ilişkin saatlik istatistikler hakkında bilgiler buldu. Buzdolabı, bir kullanıcının bir iHeartRadio uygulaması aracılığıyla ne zaman müzik çaldığıyla ilgili verileri depoladı. Epifani, içine yerleştirilmiş küçük kamera sayesinde, diyet kola ve Snapple’ın buzdolabının raflarındaki fotoğraflarına bile erişebiliyordu. Dahası, bir kullanıcı merkezi bir kişisel veya paylaşılan aile hesabı üzerinden buzdolabını diğer Samsung cihazlarına bağlarsa, buzdolabının çok daha fazla veri tutabileceğini keşfetti.

Bunların hiçbiri, bu buzdolabı modelini satın aldıklarında insanlara gizli veya ifşa edilmemiş değildir, ancak soruşturma altında olsaydım, bir polis memurunun -elbette arama emriyle- aç suratımı her yerde görmesini kesinlikle beklemezdim. Peynir aramak için buzdolabımı açtığımda. Samsung, yorum talebimize yanıt vermedi, ancak IoT dünyasında oldukça standart uygulamaları takip ediyor. Bu tür cihazların çoğu benzer türdeki verilere erişir ve bunları depolar.