Các nhà nghiên cứu bảo mật mới đây đã thử nghiệm thành công việc theo dõi vị trí và nghe lén một phóng viên của trang tin Wired thông qua các lỗ hổng bảo mật nghiêm trọng trên một chiếc đồng hồ thông minh dành cho trẻ em. Thử nghiệm thực tế này cho thấy thực trạng đáng báo động về chuỗi cung ứng thiết bị định vị GPS giá rẻ đang tràn ngập thị trường với mức độ an toàn gần như bằng không.
Diễn biến chi tiết
Trong cuộc thử nghiệm do Wired phối hợp thực hiện, các chuyên gia bảo mật đã nhắm mục tiêu vào chiếc đồng hồ thông minh màu hồng vốn được thiết kế cho trẻ em. Bằng cách khai thác các lỗ hổng hệ thống, nhóm nghiên cứu không chỉ xác định chính xác vị trí thời gian thực của phóng viên đóng vai 'nạn nhân' mà còn có thể kích hoạt micro để nghe lén các cuộc hội thoại xung quanh.
Toàn bộ quá trình bám đuôi kỹ thuật số này diễn ra hoàn toàn âm thầm, không để lại bất kỳ dấu vết nào trên giao diện thiết bị của người dùng. Sự việc này là minh chứng rõ nét nhất cho thấy những thiết bị tưởng chừng vô hại dành cho trẻ nhỏ lại có thể biến thành công cụ gián điệp nguy hiểm trong tay kẻ xấu nếu không được bảo vệ đúng cách.
Phân tích kỹ thuật & Công nghệ
Về mặt kỹ thuật, các thiết bị IoT và định vị GPS giá rẻ thường bị tối giản hóa hàng rào bảo mật để giảm chi phí sản xuất. Các nhà nghiên cứu đã khai thác lỗ hổng trong giao thức truyền tải dữ liệu giữa đồng hồ, máy chủ đám mây và ứng dụng quản lý của phụ huynh. Việc thiếu mã hóa đầu cuối (end-to-end encryption) và cơ chế xác thực lỏng lẻo cho phép kẻ tấn công dễ dàng gửi các lệnh giả mạo để truy cập dữ liệu định vị GPS.
Ngoài ra, phần sụn (firmware) của các thiết bị này thường không có tính năng tự động cập nhật bản vá bảo mật, khiến các lỗ hổng tồn tại vô thời hạn sau khi xuất xưởng. Điều này tạo ra một 'chuỗi cung ứng lỏng lẻo' cực kỳ nguy hại khi hàng triệu thiết bị từ nhiều thương hiệu khác nhau sử dụng chung một nền tảng phần cứng và phần mềm gốc bị lỗi từ các nhà sản xuất vô danh.
Ý kiến chuyên gia & Nhận định
Theo các chuyên gia an ninh mạng, vấn đề không chỉ nằm ở một thương hiệu cụ thể mà là toàn bộ hệ sinh thái thiết bị thông minh giá rẻ có nguồn gốc không rõ ràng. Nhiều nhà sản xuất OEM (Original Equipment Manufacturer) chỉ tập trung vào việc bán phần cứng mà bỏ qua khâu bảo mật phần mềm lâu dài. Việc thiếu kiểm soát chất lượng từ các nhà bán lẻ trực tuyến lớn cũng góp phần đưa các sản phẩm kém an toàn này đến tay người tiêu dùng một cách dễ dàng.
Giới phân tích cảnh báo rằng việc phụ huynh tin tưởng giao các thiết bị định vị này cho con em mình vô tính đang tạo điều kiện cho các tác nhân đe dọa thu thập thông tin nhạy cảm. Thông tin về lịch trình sinh hoạt, trường học và các cuộc trò chuyện riêng tư của trẻ có thể bị lộ lọt mà cha mẹ không hề hay biết.
Tác động & Tương lai
Vụ việc trên đặt ra yêu cầu cấp thiết về việc thắt chặt các quy chuẩn an toàn cho thiết bị IoT, đặc biệt là các sản phẩm dành cho trẻ em. Người tiêu dùng cần nâng cao cảnh giác, không nên ham rẻ mà lựa chọn các thiết bị định vị không có thương hiệu hoặc không cam kết bảo mật rõ ràng. Trong tương lai, các cơ quan quản lý viễn thông và an toàn thông tin có thể sẽ phải áp đặt các rào cản pháp lý nghiêm ngặt hơn đối với việc lưu thông các thiết bị thông minh thiếu chứng nhận an toàn.