Видео: Уроки Python / Чтение больших QR кодов в Python (Ноември 2024)
По-рано тази седмица писахме за това как някои функции на Google Glass могат да се използват като вектори за атака. Ами нежен читател, това вече се е случило: Lookout обяви, че са открили критична уязвимост в Google Glass. За щастие, Google вече закърпи проблема.
Марк Роджърс, главният анализатор на сигурността на Lookout, заяви пред SecurityWatch, че е открил уязвимост в начина, по който носещият компютър обработва QR кодове. Поради ограничения потребителски интерфейс на Glass, Google настрои камерата на устройството, за да обработва автоматично всеки QR код в снимка.
"От своя страна това е наистина вълнуващо развитие", каза Роджърс. „Но проблемът е в момента, в който Glass види команден код, който разпознава, и го изпълнява.“ С тези знания Lookout успя да създаде злонамерени QR кодове, които принудиха Glass да извършва действия без знанието на потребителя.
Стъклено отливане и злонамерен Wi-Fi
Първият създаден злонамерен QR код Lookout би инициирал „Стъклен актьор“ без знанието на потребителя. За непосветените, Glass-casting споделя всичко, което се появи на екрана на Google Glass на сдвоено Bluetooth устройство.
Роджърс посочи, че това всъщност е мощна характеристика. „Ако погледнете стъкления потребителски интерфейс, той може да се носи само от един човек“, обясни той. С Glass-cast носителят може да сподели мнението си с други хора. Зловредният QR код на Lookout обаче задейства Glass-cast изцяло без знанието на потребителя.
Докато идеята някой да може да гледа екрана, така интимно разположен на лицето ви, е изключително смущаваща, атаката има някои очевидни ограничения. На първо място, нападателят трябва да бъде достатъчно близо, за да получи предаването по Bluetooth. Нещо повече, нападателят ще трябва да сдвои Bluetooth устройството си с вашия Google Glass, което ще изисква физически достъп. Въпреки че Роджърс посочва, че това не би било трудно, защото Glass "няма заключен екран и можете да потвърдите само като го докоснете".
Още по-притеснително беше създаден втори злонамерен QR код Lookout, който принуди Glass да се свърже с определена Wi-Fi мрежа веднага след като беше сканиран. "Без дори да го осъзнавате, вашият Glass е свързан с точката му за достъп и той може да види вашия трафик", каза Роджърс. Той направи сценария с една стъпка по-нататък, като каза, че нападателят може „да отговори с уязвимост в мрежата и в този момент Glass се хаква“.
Това са само примери, но основният проблем е, че Google никога не е отчитал сценарии, при които потребителите неволно биха снимали QR код. Нападателят може просто да публикува злонамерен QR код в популярно туристическо място или да облече QR кода като изкушаващ. Какъвто и да е методът за доставка, резултатът би бил невидим за потребителя.
Google към спасителното
След като Lookout намери уязвимостта, те го съобщиха на Google, който извади поправка в рамките на две седмици. "Това е добър знак, че Google управлява тези уязвимости и ги третира като проблем на софтуера", каза Роджърс. „Те могат да извадят актуализациите безшумно и да поправят уязвимостите, преди потребителите дори да са наясно с проблема.“
В новата версия на софтуера Glass трябва да преминете към съответното меню с настройки, преди QR кодът да влезе в сила. Например, за да използвате QR код за свързване към Wi-Fi мрежа, първо трябва да сте в менюто за настройки на мрежата. Сега Glass също ще информира потребителя за това, което прави QR кодът, и ще поиска разрешение, преди да го изпълни.
Тази нова система предполага, че знаете какво ще прави QR кодът, преди да го сканирате, което очевидно е това, което Google е възнамерявал от самото начало. В допълнение към Glass Google създаде придружаващо приложение за телефони с Android, което създава QR кодове, така че потребителите да могат бързо да конфигурират своите устройства Glass. Google просто не е предвидил QR кодовете като път за атака.
В бъдеще
Когато разговарях с Роджърс, той беше много оптимист за бъдещето на Glass и продукти като него. Той каза, че скоростта на реакцията на Google и лекотата, с която е била внедрена актуализацията, са примерни. Въпреки това не мога да не разгледам разрушената екосистема на Android и се притеснявам, че бъдещите устройства и уязвимости може да не се обработват толкова умело.
Роджърс сравни проблемите със Glass с тези, открити в медицинското оборудване, открити преди години, но все още не са напълно разгледани. "Не можем да управляваме като статичен хардуер с фърмуер, който никога не актуализираме", каза той. "Трябва да сме пъргави."
Въпреки оптимизма си, Роджърс имаше някои предпазливи думи. „Новите неща означават нови уязвимости“, каза той. „Лошите се приспособяват и опитват различни неща.“
