آسیبپذیری امنیتی Yarbo؛ هکرها کنترل کامل رباتهای چمنزن را به دست میگیرند
آسیبپذیری امنیتی Yarbo در رباتهای چمنزن هوشمند این شرکت، نگرانیهای جدی درباره امنیت دستگاههای متصل به اینترنت ایجاد کرده است.
پژوهشگر امنیت سایبری، آندریاس ماکریس، کشف کرد که این دستگاهها دارای یک «درِ پشتی» داخلی هستند که امکان دسترسی کامل از راه دور را فراهم میکند. به گفته او، این ضعف امنیتی به هکرها اجازه میدهد کنترل کامل ربات را در اختیار بگیرند؛ از هدایت آن گرفته تا استفاده از دوربینهای داخلی و حتی اجرای دستورات مختلف روی سیستم عامل دستگاه.
رباتهای Yarbo تنها یک چمنزن معمولی نیستند، بلکه ماشینهای خودران و چندمنظورهای هستند که میتوانند علاوه بر کوتاه کردن چمن، برف را پارو کنند، برگهای خشک را جمعآوری کنند، بار جابهجا کنند و حتی برای گشتزنی در محوطه مورد استفاده قرار گیرند. این قابلیتها از طریق ماژولهای مختلفی که روی ربات نصب میشوند فراهم شده است. قیمت این دستگاهها نیز بسیار بالاست؛ بهگونهای که قیمت پایه آنها در اروپا بیش از پنج هزار یورو است و تهیه تمام تجهیزات جانبی میتواند بیش از دوازده هزار یورو هزینه داشته باشد.
جزئیات آسیبپذیری امنیتی Yarbo
ماکریس هنگام بررسی نرمافزار داخلی این رباتها متوجه شد که آنها بهطور دائمی با سرورهای شرکت سازنده در ارتباط هستند. چنین ارتباطی در بسیاری از دستگاههای هوشمند برای دریافت بهروزرسانیها یا ارائه خدمات پشتیبانی امری عادی است، اما در مورد Yarbo این ارتباط امکان دسترسی مدیریتی کامل به دستگاه را نیز فراهم میکرد. بررسیهای بیشتر نشان داد که تمامی رباتها از حساب کاربری «root» یا مدیر اصلی سیستمعامل لینوکس استفاده میکنند و نکته نگرانکننده این بود که رمز عبور این حساب بهصورت ثابت در نرمافزار دستگاه قرار داده شده و در تمام رباتها یکسان است.
هکرها با این آسیبپذیری دقیقاً به چه اطلاعاتی دسترسی دارند؟
از آنجا که این رمز عبور مستقیماً در میان فایلهای سیستم ذخیره شده بود، نیازی به حدس زدن یا شکستن آن وجود نداشت. هر فردی که به اطلاعات نرمافزار دسترسی پیدا میکرد، میتوانست رمز عبور را مشاهده کرده و به هر دستگاه Yarbo در سراسر جهان متصل شود. حتی اگر مالک دستگاه رمز عبور را تغییر میداد، با نصب بهروزرسانی بعدی، سیستم آن را دوباره به همان رمز پیشفرض بازمیگرداند.
برای دسترسی به هر ربات تنها داشتن شماره سریال دستگاه و همین رمز عبور مشترک کافی بود. شماره سریالها نیز از الگوی مشخصی پیروی میکردند و شناسه هر دستگاه در سامانه Yarbo محسوب میشدند. بنابراین، کاربران بدون انجام هیچ اشتباه یا کلیک روی لینکهای مخرب نیز ممکن بود قربانی این آسیبپذیری شوند.
خطرات آسیبپذیری امنیتی Yarbo برای کاربران
ماکریس برای نشان دادن خطر واقعی این مشکل، با شان هالیستر، خبرنگار نشریه The Verge، آزمایشی انجام داد. او از آلمان کنترل یک ربات مستقر در آمریکا را در دست گرفت و آن را به سمت خبرنگاری هدایت کرد که روی چمن دراز کشیده بود. اگرچه تیغههای چمنزن خاموش بودند و دستگاه در حالت حرکت به عقب قرار داشت، اما به دلیل وزن بیش از ۱۰۰ کیلوگرمی آن، همچنان خطر جدی وجود داشت. در نهایت ربات به خبرنگار برخورد کرد، اما پیش از وقوع حادثه جدی متوقف شد.
این آزمایش نشان داد که ربات فاقد سامانههای ایمنی سختافزاری مؤثر برای جلوگیری از برخورد با افراد است. هرچند دستگاه دارای دکمه توقف اضطراری است، اما پژوهشگر اعلام کرد فردی که دسترسی مدیریتی داشته باشد، میتواند حتی این قابلیت را نیز غیرفعال کرده و دوباره ربات را فعال کند.
خطرات این آسیبپذیری تنها به هدایت ربات محدود نمیشود. مهاجم میتواند تصاویر زنده دوربینهای دستگاه را مشاهده کند، از محیط اطراف عکس بگیرد، موقعیت دقیق GPS ربات را به دست آورد، آدرس ایمیل کاربران را استخراج کند و حتی رمز عبور شبکه وایفای متصل به دستگاه را سرقت کند. همچنین امکان نصب بدافزار روی سیستمعامل ربات و استفاده از آن بهعنوان نقطه ورود برای حمله به سایر دستگاههای موجود در شبکه خانگی نیز وجود دارد.
پس از انتشار این گزارش، شرکت Yarbo اعلام کرد که بسیاری از مشکلات امنیتی شناساییشده را برطرف خواهد کرد. این شرکت وعده داد استفاده از رمز عبور یکسان را متوقف کند، کنترلهای امنیتی قویتری پیادهسازی کند و دسترسی از راه دور را به قابلیتی اختیاری تبدیل کند تا کاربران خودشان درباره فعال یا غیرفعال بودن آن تصمیم بگیرند. همچنین دو بهروزرسانی نرمافزاری منتشر شده و از مالکان خواسته شده است هرچه سریعتر آنها را نصب کنند، هرچند هنوز مشخص نیست که تمام ضعفهای امنیتی بهطور کامل برطرف شده باشند.
این آسیبپذیری امنیتی Yarbo بار دیگر نشان میدهد که حتی دستگاههای هوشمند گرانقیمت نیز میتوانند دارای ضعفهای امنیتی جدی باشند.
به همین دلیل، کارشناسان امنیت توصیه میکنند کاربران همواره بهروزرسانیهای نرمافزاری را در سریعترین زمان ممکن نصب کنند، برای شبکه وایفای خود از رمزهای عبور قوی و منحصربهفرد استفاده کنند و در صورت امکان، دستگاههای هوشمند را در شبکهای جدا از رایانهها و سایر تجهیزات حاوی اطلاعات حساس قرار دهند.
