Como padre primerizo, solo desea lo mejor para su paquete de alegría.
Si su bebé se despierta por la noche y llora para alimentarse, probablemente no se preocupe por su estado de vestir (o desvestirse) cuando responda.
Solo tenga en cuenta que si está utilizando un iBaby Monitor M6S para controlar al pequeño, es posible que esté organizando un espectáculo gratuito para desconocidos.
Los investigadores de Bitdefender descubrieron múltiples problemas de seguridad con este dispositivo que permitirían a los piratas informáticos tomar fotografías o videos guardados, ver videos en vivo e incluso capturar su información personal.
Lo más impactante de todo es que cualquiera que tenga uno de estos dispositivos y las habilidades de red necesarias puede acceder a videos e imágenes almacenados en la nube cargados por cualquier otro monitor para bebés del mismo tipo.
Este descubrimiento es el resultado de una asociación continua entre Daxdi y el equipo de seguridad de Internet de las cosas en Bitdefender.
Proporcionamos al equipo de Bitdefender información sobre qué dispositivos son populares y, por lo tanto, es importante probarlos.
Sometieron los dispositivos a un extenuante análisis práctico, en busca de vulnerabilidades que los piratas informáticos pudieran explotar.
Antes de que ellos (y nosotros) revelemos los resultados de estas pruebas, le dan al fabricante del dispositivo 90 días para encontrar una solución.
Cuando informamos de un agujero de seguridad que Bitdefender descubrió en el popular Ring Video Doorbell, Ring ideó una solución y la eliminó para proteger los dispositivos afectados.
Asimismo, Belkin solucionó la vulnerabilidad que el equipo de Bitdefender encontró en su Wemo Smart Plug.
Eso es exactamente lo que esperábamos con esta asociación: no avergonzar públicamente a los fabricantes de dispositivos, sino mejorar la seguridad de nuestros lectores que usan dispositivos de IoT.
Por desgracia, la situación con iBaby no tiene el mismo final feliz.
Bitdefender informó los problemas a los desarrolladores de iBaby en mayo de 2019, pero nunca obtuvieron respuesta.
Les dieron a los desarrolladores mucho más que los 90 días estándar para encontrar una solución, pero finalmente les informaron que la investigación se presentaría durante la Conferencia RSA en San Francisco.
Sin respuesta de iBaby, la investigación ahora es pública y el problema persiste.
Para obtener un resumen más detallado del problema, puede ir a la publicación del blog de Bitdefender.
Y si desea experimentar con la vulnerabilidad usted mismo (cumpliendo con la ley, por supuesto), el documento técnico de Bitdefender ofrece todos los detalles, los mismos detalles que proporcionaron a los desarrolladores de iBaby hace aproximadamente nueve meses.
Todos los videos de tu bebé nos pertenecen
Al igual que muchas otras empresas, iBaby confía en Amazon Web Services para el almacenamiento en la nube.
Cuando el dispositivo iBaby envía una alerta porque su bebé se mueve o comienza a llorar, carga un videoclip en la nube.
Las alertas están protegidas con una clave secreta y una clave de identificación de acceso.
Suena seguro, ¿verdad?
El problema es que las dos claves no solo le dan al monitor acceso a sus propios datos en la nube; te permiten ver los datos de todos.
El asistente de IoT de Bitdefender, Alex "Jay" Balan, lo explicó con una simple analogía.
Supongamos que tiene datos personales almacenados en un sitio web en www.example.com/pathto/myfiles.
No debería poder visitar www.example.com/pathto y obtener una lista de los archivos de todos los demás.
Y definitivamente no debería poder crear una URL como www.example.com/pathto/otherfiles y acceder a los archivos de otra persona.
Pero ese es el tipo de acceso que permite el almacenamiento en la nube mal configurado de iBaby (aunque el proceso no es tan simple como cambiar una URL).
Eso significa que cualquier ne'er-do-well puede comprar un monitor iBaby y usarlo para acceder a archivos desde cada Monitor iBaby.
¿Increíble? Créelo.
Por razones legales, los investigadores de Bitdefender no accedieron a datos pertenecientes a otros usuarios del mundo real.
En su lugar, configuraron un segundo dispositivo de prueba y verificaron el acceso.
Esto es lo suficientemente impactante como para tener que repetirlo.
Cualquier experto en redes con acceso a uno de estos monitores para bebés puede usarlo para acceder a todos los videos e imágenes almacenados en la nube de cualquier otro monitor para bebés del mismo tipo.
Bitdefender advirtió al fabricante y les dio varias veces el período habitual de 90 días antes de la divulgación, pero al momento de escribir este artículo, no ha habido respuesta.
Cuéntamelo todo
El monitor iBaby utiliza un protocolo llamado MQTT (MQ Telemetry Transport) para las comunicaciones con, por ejemplo, su aplicación de teléfono inteligente.
Envía información al servidor MQTT y otros dispositivos se suscriben a temas específicos para recibir esa información.
Configurado correctamente, el servidor solo enviaría los datos necesarios a cada dispositivo o proceso.
Sin embargo, al igual que con el sistema de almacenamiento en la nube, la configuración del servidor de iBaby es demasiado flexible.
Los expertos de Bitdefender descubrieron que con las credenciales de un monitor iBaby, podían suscribirse a cada tema de cadaMonitor iBaby.
Cada fragmento de información viene con la identificación de la cámara, que se puede abusar.
Un fisgón podría recoger la identificación de la cámara, la identificación del usuario, el estado de encendido / apagado y más.
Pero las consecuencias del parloteo de este servidor no terminan ahí.
Penetración de configuración
Para muchos dispositivos, la configuración es algo como esto.
El modo de configuración se activa presionando un botón especial en el dispositivo.
Se convierte temporalmente en un punto de acceso Wi-Fi no seguro.
Inicia sesión en el punto de acceso con su teléfono móvil y luego le da las credenciales para su red doméstica.
En ese momento, un atacante que esté monitoreando su red podría capturar su contraseña de Wi-Fi y así obtener acceso a su red.
Ring solucionó el problema simplemente haciendo que el punto de acceso Wi-Fi temporal sea una conexión encriptada.
El dispositivo iBaby funciona de forma un poco diferente.
Lo conecta a su teléfono inteligente con un cable USB y usa la aplicación asociada para iniciar el uso compartido de Wi-Fi.
Sin embargo, el proceso de configuración se basa en el servidor MQTT que, como hemos visto, no está debidamente protegido.
Si un pirata informático que está monitoreando ese servidor captura un evento de configuración, es un desastre.
Según el documento técnico de Bitdefender, "Si un atacante monitorea el servidor MQTT cuando un usuario configura una cámara, se filtrará información crítica al atacante".
Luego, podría transmitir o grabar video desde el dispositivo, tomar capturas de pantalla o incluso reproducir música en el dispositivo.
Oye, pequeño, ¿estás listo para un poco de Death Metal?
Recomendado por nuestros editores
¿La solución simple? Simplemente arregle la seguridad en los servidores involucrados.
No estamos hablando de desarrollar un parche de firmware y distribuirlo en todos los dispositivos, como tenía que hacer Ring.
Es difícil concebir por qué iBaby aún no ha solucionado tanto este problema como los problemas de configuración con sus datos en la nube.
Problemas adicionales
Otro problema de seguridad encontrado por los investigadores de Bitdefender no es tan grave.
Usando lo que se llama una referencia de objeto indirecto (IDOR), un atacante puede extraer algunos datos personales sobre el padre que lo instaló.
Estos incluyen la dirección de correo electrónico, el nombre, la ubicación e incluso la foto de perfil.
Esta misma técnica puede recuperar marcas de tiempo para cada vez que el padre accedió a la cámara de forma remota.
Este ataque requiere que conozca la identificación de la cámara que desea atacar en busca de datos.
Sin embargo, el equipo de Bitdefender señala que un atacante que haya obtenido el control remoto del dispositivo puede obtener fácilmente la identificación.
Además, los datos almacenados en la nube incluyen información de identificación de la cámara.
Este vigilabebés necesita un cambio
El iBaby Monitor M6S hace un gran trabajo ayudando a los padres a controlar a sus queridos niños.
Tiene un aspecto elegante, captura video de 1080p, permite la comunicación bidireccional y admite el movimiento panorámico y la inclinación.
Basándonos en esas excelentes características, lo consideramos un producto excelente, digno de ser nombrado Elección de los editores.
Sin embargo, a la luz de sus fallas de seguridad, estamos reevaluando nuestra calificación y recomendación.
