儿童智能追踪手表的安全性：也许没人能想到，并不是几千个，而是至少有4700万，大概有1亿5千万儿童智能追踪设备暴露在外网。
这一切都指向两至三个“懒惰”的产品制造商，就像Mirai v1时的那样。
而在过往已发生很多智能追踪手表的安全事件，但并没有引起大的波澜：
冰岛数据保护机构对Enox智能手表发出警报。 https://ec.europa.eu/consumers/consumers_safety/safety_products/rapex/alerts/?event=viewProduct&reference=A12/0157/19&lng=en AVAST发现某款销售量达23万的手表存在漏洞。 https://blog.avast.com/unsecure-child-trackers Rapid 7在G36和SmarTurtles手表上发现高危漏洞。 https://blog.rapid7.com/2019/12/11/iot-vuln-disclosure-childrens-gps-smart-watches-r7-2019-57/ AV-TEST发现某款手表泄露大量数据Product Warning! Chinese children’s watch reveals thousands of children’s data挪威消费者委员发现几款手表中的高危漏洞 https://www.forbrukerradet.no/side/significant-security-flaws-in-smartwatches-for-children/
一旦4700万台设备被攻陷，或许攻击者可以做一些真正有趣的事情，例如在真人秀等其他依靠电话或短信投票的电视节目中胜出。
除了检索或更改数百万儿童的GPS实时位置之外，还能呼叫和暗中监视他们，以及获取存储在公共存储库中的音频记录。
上图显示了一个**（实际上是我自己的**!）带着追踪手表在伦敦行走的实时路径，我不需要身份验证即可获得。
物联网平台
贴牌产品在物联网中很普遍，尤其是对于在远东地区的各大设备制造商。
物联网平台也越来越普遍，因为它缩短了初创企业进入市场的时间，前提是能“嫁接”上第三方的API和云平台。
而以上这些为安全埋下了隐患。
thinkrace
在我们看来，最大且最差的ODM（设计外包）追踪产品是thinkrace。这家手表和追踪器制造商还提供了一个API和云平台，方便快速将贴牌的追踪设备和儿童智能手表推向国际市场。
这其中有一个很复杂的ODM/分销商/进口商/品牌所有者/贴牌操作，很难确定哪里会出现问题。
通常情况下，品牌所有者甚至没有意识到他们出售的设备是基于thinkrace的平台。
冰岛Enox手表？thinkrace API AVAST对于T8手表的研究？thinkrace API AV-TEST测试的SMA手表？thinkrace API 等等……
在2015年，Mich Gruhn @0x6d696368和我们的Vangelis @evstykas在大约370种不同类型的设备中发现了大量的漏洞，影响了全世界超过2000万台设备。大多数漏洞都是请求授权缺陷：IDORs（不安全的直接对象引用），又名BOLA（Broken object Level Authorization）。
简而言之：智能手表的API未能检测是否是合法用户检索**的数据。这意味着任何人都可以请求任何**的数据。
而所有和这个厂商相关的手表中都存在某些共同问题，我们一直在深入研究。
漏洞
撇开研究人员在某个手表上不断发现的默认凭证和权限问题不谈，thinkrace就像是一个失败的怪物。
大多数API调用都不需要授权，服务本身也很好的文档化——就是可以看到Web服务描述语言（WDSL）文件。
所有的变量都只是简单地递增整数，这意味着攻击者可暴力推断出设备的数量。
添加一个新帐户，查看ID号，然后再添加另一个新帐户，会发现ID号只是加1。
在几乎所有的设备（包括非thinkrace品牌）中，我们都可以看到默认密码123456！
识别出thinkrace
某个谷歌语法可能会帮你找到一些设备：
某些追踪器也有Web应用，如果看起来如下所示，那可能也是thinkrace：
其实搜索设备很简单，只需在GetDeviceDetail这个API中输入设备ID，你就能看到设备上的所有细节。由于授权有缺陷，你可以检索任何**的数据，也就是2000万儿童的数据。
你可以通过设备的Lat/Long来确定设备的位置，通过设备的电话号码和“家庭号码”来确定国家：
残疾运动员的安全问题
今年早些时候，他们还赞助了特奥会和残奥会。每个运动员都有一个追踪手表，这样让那些脆弱的成年人时刻处于安全风险之中。
他们的主页上运动员的手腕上也是一款问题手表：
影响范围
thinkrace大概生产367种不同类型的追踪手表和追踪器，很难确定所有和thinkrace相关的产品，而其中一些产品还有相机功能。
下面是一些有问题设备的关键词列表。不幸的是，这些经常被进口商或品牌所有者更改。
不过这些产品并没有连接到同一个公共API。根据产品和进口商/分销商的不同，有80多个域名牵涉其中，部分如下图所示。
经过分析，我们发现它们几乎都是thinkrace API端点。针对这种情况，我们认为thinkrace的代码可能已经被其他厂商借用或“盗用”，依旧存在很多问题。这些代码编写于2012年，newgps2012表明了这一事实。
5gcity
前不久，我们研究了5gcity.com——另一个与ThinkRace API相关的域。它大约有500万用户，主要和儿童追踪手表有关。
他们的一个Web服务器还公开了数千个.amr文件：
我们相信这些是儿童使用手表向家长所发送的信息和语音。
5gcity的漏洞与我们在thinkrace API中发现的漏洞相同：
重置任何用户密码，劫持帐户 完全访问源代码 暴力枚举用户，泄露儿童和家长的信息 向任何设备发送命令，远程刷新固件 跟踪任何设备 音频泄漏倒是一个新漏洞！
更多的thinkrace API
www.goicar.net——大约300万个跟踪设备。
www.gps958.net——大约有100万台活跃设备。
和thinkrace无关的域名
www.gpsui.net——大约有一百万台活跃设备。
我们尽可能全地估算这些域名牵涉的设备数量。到目前为止，和thinkrace有关的，已有2000多万。通过进一步挖掘，我们又在其他ODM API上发现了2700万个设备。不过，我们认为这只是冰山一角。
另一个例子：Gator/Caref手表公司
我们曾经报道过另一家公司的安全事件：这与thinkrace性质一样，但规模要小得多。
同样，复杂的ODM分销商关系使得Gator手表的识别变得非常困难。例如澳大利亚进口商将手表重新命名为TicTocTrack。但在英国，它被称为TechSixtyFour。
还有另一个我们正在调查的ODM平台，牵涉1亿台设备。
披露
多年以来，许多其他研究人员都试图联系thinkrace，但都没有结果。
冰岛数据保护局已禁止了一些和thinkrace相关手表地销售，但真的能完全禁止么？
德国电信监管机构Bundesnetzagentur也在2017年封禁许多儿童智能手表。
据报道，各种智能手表的安全问题已被现实社会中地犯罪分子所利用，我们必须立刻采取行动。某些厂商也已对自己的API端点进行了加固。
利用：赢得Eurovision和The X-Factor
每个GPS跟踪器都有一个SIM卡。追踪器需要SIM卡才能通过移动数据与API通信：
那我们怎么利用呢？
由于API的某些漏洞，可以让追踪器拨号或发送短消息。
电话投票
在选秀节目中进行电话投票是一种简单有效的投票方式。许多知名度高的节目都是如此，例如Eurovision、X-Factor、Stricly Come Dancing等，通常都有一个短拨代码来代表你的选择。拨号一次，你的选票就会被计算在内。
英国能否通过电话投票赢得Eurovision？手表SIM卡所发出的拨号能不能把英国推到电话投票的首位？为了投英国的票，你需要控制其他参与投票地国家的SIM卡。
挪威在电话投票中名列前茅：
但在评委投票只位列18：
综合下来荷兰第一。
其他
英国广播公司曾报道，俄罗斯语音之声在今年5月发现大量可疑投票。目前尚不清楚怎么回事，但怀疑是机器人投票。
攻击者使用连续号码不停拨打电话并从同一个区域发送数千条短信。这些投票最后都被作废。
要保持智能手表的安全，需要社会各界的合作。
本文由白帽汇整理并翻译，不代表白帽汇任何观点和立场：https://nosec.org/home/detail/3540.html 来源：https://www.pentestpartners.com/security-blog/kids-tracker-watches-cloudpets-exploiting-athletes-and-hijacking-reality-tv/
来源：freebuf.com 2019-12-19 17:01:08 by: 白帽汇
请登录后发表评论
注册