- لقد كشفت الآلاف من جزازات ياربو عن كلمات مرور متطابقة في المنازل حول العالم
- اختطف المحققون عن بعد جزازة العشب 200 رطل أمام منزل الأسرة
- تسربت مواقع GPS وكلمات مرور Wi-Fi من جزازات العشب الآلية الضعيفة
اكتشف الباحث الأمني أندرياس ماكريس ثغرة خطيرة في جزازات العشب الآلية Yarbo التي سمحت بالوصول عن بعد باستخدام بيانات اعتماد المسؤول الافتراضية المتطابقة عبر آلاف الوحدات.
تعمل هذه الآلات المستقلة، المجهزة بالكاميرات ونظام تحديد المواقع العالمي (GPS) ورسم الخرائط بالذكاء الاصطناعي، حول العالم في أكثر من 30 دولة دون إشراف بشري مستمر.
أظهر ماكريس الثغرة الأمنية من خلال الوصول إلى عناوين البريد الإلكتروني للمالكين وكلمات مرور Wi-Fi ومواقع GPS الدقيقة، وأنتج خريطة حية تعرض أكثر من 11000 جهاز حول العالم.
أجهزة Linux في انتظار التسليح
تعمل جزازات Yarbo على أنظمة Linux المتصلة بالإنترنت، وتعمل بشكل يشبه إلى حد كبير أجهزة الكمبيوتر المكشوفة.
يمكن للقراصنة نظريًا تنشيط الشفرات عن بُعد، أو مسح الشبكات القريبة، أو توصيل الأجهزة بشبكة الروبوتات لشن هجمات أكبر.
وأشار ماكريس إلى أن الوحدات التي تعمل بالقرب من المواقع الحيوية، مثل محطة كهرباء كبيرة، تزيد من المخاطر المحتملة على البنية التحتية.
تم توضيح خطورة هذه الثغرة الأمنية خلال الاختبار المباشر الذي أجرته The Verge للسيطرة على جزازة العشب التي يبلغ وزنها 200 رطل والتي تعمل خارج منزل العائلة في شمال ولاية نيويورك.
وأشار التقرير إلى أن “كاميرا الروبوت تدور لتعكس كل من هذه الحركات”، محذرًا: “لا يوجد ما يمنعه من الذهاب إلى أي مكان يريده والتجسس على هذه العائلة”.
قام المراسل شون هوليستر بتعقب الجزازة من ألمانيا، على بعد حوالي 6000 ميل، للتحقق من ادعاءات السلامة السابقة لياربو.
وأظهرت التجربة مدى سهولة قيام شخص خارجي بالتحكم في الجهاز عن طريق تجاوز التحكم المحلي دون أن يتم اكتشافه.
لسوء الحظ، لم تحل تحديثات البرامج الثابتة المنتظمة المشكلة الأساسية، حيث يُقال إنها تعيد ضبط الأجهزة على نفس كلمات المرور الافتراضية الضعيفة.
لا يمكن لتغييرات كلمة المرور البسيطة وحدها أن تحل المشكلات المعمارية الأعمق لبرامج زحف الويب هذه.
صنع في الصين، ومقره في نيويورك
تقوم شركة Yarbo بأعمال عامة خارج رونكونكوما، نيويورك، ولكن جذورها تكمن في شركة Hanyang Tech في شنتشن، الصين، وقد خضعت هويتها المزدوجة للتدقيق بشأن الثغرات الأمنية في الأجهزة المباعة في جميع أنحاء العالم.
دفع هذا الاكتشاف ماكريس إلى نشر النتائج التي توصل إليها، بما في ذلك الإفصاحات الرسمية عن مكافحة التطرف العنيف، قبل أن يقوم ياربو بتصحيح المشكلات بالكامل.
يتساءل النقاد عما إذا كانت الانتماءات الجغرافية تؤثر على متانة ميزات وصول الشركة المصنعة في المعدات الاستهلاكية.
اعترف كينيث كولمان، المؤسس المشارك لشركة Yarbo، بالأخطاء في بيان متاح بشكل أساسي عبر VPN خارج الولايات المتحدة.
قامت الشركة بتعطيل أنفاق التشخيص عن بعد، وإعادة تعيين كلمات مرور الجذر، وتقييد نقاط الدخول غير المصادق عليها.
لقد انتقلوا أيضًا من كلمات المرور المشتركة إلى بيانات الاعتماد الخاصة بالجهاز ووعدوا بنموذج تشخيصي مدرج في القائمة البيضاء مع عمليات التدقيق.
ومع ذلك، لم يجد ماكريس ولا هوليستر هذه التدابير مقنعة. اختارت الشركة عدم إزالة الوصول عن بعد للشركة المصنعة بالكامل، ووعدت بدلاً من ذلك بضوابط أكثر صرامة وتسجيل التدقيق.
وقال هوليستر في تقييمه للإجراءات المتخذة حتى الآن: “إنها تحتفظ بأبواب خلفية داخلية، وهو أمر مثير للجدل”.
أثار القرار مخاوف أوسع نطاقًا بشأن الأجهزة الذكية ذات الوصول المستمر من الباب الخلفي والتي رفضت الشركة المصنعة إغلاق نقاط الوصول المخفية.
بواسطة أخبار الإنترنت
اتبع TechRadar على أخبار جوجل و أضفنا كمصدرك المفضل لتلقي أخبار ومراجعات وآراء الخبراء حول قنواتك.
