国产儿童智能手表有严重安全漏洞

寂静回声

儿童智能手表可帮助海外家长们随时知道孩子的位置，但很多家长不知道手表会自主顷刻间拍照和录音，并将敏感数据传给中国境内的同一个服务器。
在8月6日举行的黑帽网络安全大会上，希腊研究人员首次展示了他们对39款热门的儿童GPS智能手表进行的安全分析结果，认为这些产品存在非常严重的安全隐患。
这些儿童手表很容易受到黑客追踪、定位功能被禁用和篡改、收到的短信和语音信息被拦截和欺骗、紧急联系人被替换为黑客选择的联系人、被进行静默音频窃听，以及被摄像头设备拍摄照片和视频。
“如果你给孩子买了这种设备，烧掉它，砸碎它……（因为）它已经被入侵了。”希腊科技公司Kumio首席技术官Vangelis Stykas在大会上说。
由该公司领导的一项调查发现，39款儿童智能手表实际上都连接到位于中国的同一服务器，使用同一个后端服务器来存储数据。该服务器（https://myaqsh.com）被托管在位于中国大陆的阿里云上。
此外，这批儿童智能手表还存在45个不同的漏洞，可能允许黑客窃听儿童的智能设备、强制启用视频监控，并完全控制存储着敏感数据的后端服务器。

家长监控应用程序会记录大量关于家庭和孩子的敏感数据。一旦这类敏感信息被黑客获取或滥用，会带来诸多风险。
研究人员指出，孩子或家庭成员可能会面临骚扰，甚至更严重的后果，具体取决于幕后黑手的性质。家长监控和跟踪软件之间的界限完全取决于谁有权访问孩子的设备数据，而这类公司缺乏最基本的安全监管。
尤其是，当境外的恶意行为者获得本应安全的连接访问权限时，情况会变得更加复杂，而这正是本次调查发现的一种可能性。
Stykas说，在家长未启用授权机制的情况下，这类监控应用程序可以被黑客侵入后自动运行，轻松入侵设备网络。
研究人员表示，他们最初的目标只是在单个监控平台上查找漏洞，但没想到会发现如此大规模的漏洞。
他们指出，最糟糕的是，黑客只需一个免费账户即可对用户发动攻击。

该团队在现场演示了此漏洞的实际应用。通过远程运行脚本，能够触发儿童智能手表拨打一个电话号码并提供实时音频流，而手表上不会出现任何通话提示。
在此之前，《连线》（The Wire）记者Andy Greenberg对儿童智能手表进行了第一手测试。
他先从亚马逊平台购买了一块中国产、由CJC公司销售的儿童智能手表，售价不到30美元。
然后带着手表离开公寓，乘坐地铁，再走到办公室。
期间，研究人员通过这块手表精准定位记者在纽约市布鲁克林某个街区行走时的确切位置，并暗中拍摄了他在乘坐电梯以及坐在办公桌前的照片，甚至还从麦克风中窃听办公室的现场交谈，并能完整清晰听到他和同事之间的对话。整个过程中，手表始终没有显示任何正在监听、拍照或被黑客入侵的迹象。
Greenberg表示，这一类儿童智能手表虽在电商平台上以不同的（不知名）品牌出售，但都由位于中国深圳的亦青藤电子生产。
此外，它们使用的阿里云后端服务器，正是希腊研究人员获得入侵路径的平台。
也有其它廉价GPS设备在使用，这些也同样容易受到类似的数字跟踪攻击。

希腊研究团队表示，他们可能并非唯一发现此漏洞的团队。因为他们发现了篡改痕迹，并可以追溯到两年前，这表明恶意行为者可能仍在监控这些设备。
尽管团队向这些设备的制造商发送了逾30封邮件，但始终没有收到回复。
“我原本希望这件事能有个圆满的结局，告诉大家我们已经解决了问题，但事实并非如此。没人知道这件事最终会如何收场，也不知道我们接下来该怎么办。”Stykas说。
虽然制造商拒绝沟通，但一家未透露姓名的设备经销商做出了回应，并声称正在协助调查。
“据我所知，他们违反了所有法律。”Stykas在黑帽大会上说，同时指责这些公司一直逃避责任和惩罚。
儿童智能手表过去也曾被警告特别容易出现严重的隐私和安全漏洞。英国网络安全公司Pen Test Partners和挪威政府分别在2017年和2018年就某些易受黑客攻击的儿童手表发出警告。
德国的明斯特应用科技大学在2020年的一项研究中测试了六款儿童智能手表，发现其中五款存在严重漏洞。
“太疯狂了，”明斯特大学的研究人员之一Sebastian Schinzel当时告诉《连线》，“基本上所有功能都失效了。”