Cómo hackear una nevera inteligente

He estado hablando con personas que trabajan en un campo llamado análisis forense de IoT, que consiste esencialmente en husmear en estos dispositivos para encontrar datos y, en última instancia, pistas. Si bien los organismos encargados de hacer cumplir la ley y los tribunales de los EE. UU. no suelen referirse explícitamente a los datos de los dispositivos IoT, esos dispositivos se están convirtiendo en una parte cada vez más importante de la construcción de casos. Eso es porque, cuando están presentes en la escena del crimen, guardan secretos que pueden ser invisibles a simple vista. Los secretos como cuando alguien apagó una luz, preparó una taza de café o encendió un televisor pueden ser fundamentales en una investigación.

Mattia Epifani es una de esas personas. No se llama a sí mismo hacker, pero es alguien a quien la policía recurre cuando necesita ayuda para investigar si se pueden extraer datos de un elemento. Es analista forense digital e instructor en el Instituto SANS, y ha trabajado con abogados, policías y clientes privados en todo el mundo.

Estoy como… obsesionada. Cada vez que veo un dispositivo, pienso: ¿Cómo podría extraer datos de allí? Siempre lo hago en dispositivos de prueba o bajo autorización, por supuesto”, dice Epifani.

Los teléfonos inteligentes y las computadoras son los tipos más comunes de dispositivos que la policía incauta para ayudar en una investigación, pero Epifani dice que la evidencia de un delito puede provenir de todo tipo de lugares: “Puede ser una ubicación. Puede ser un mensaje. Puede ser una imagen. Puede ser cualquier cosa. Tal vez también puede ser la frecuencia cardíaca de un usuario o cuántos pasos dio el usuario. Y todas estas cosas se almacenan básicamente en dispositivos electrónicos”.

Tomemos, por ejemplo, un refrigerador Samsung. Epifani usó datos de VTO Labs, un laboratorio forense digital en los EE. UU., para investigar cuánta información guarda un refrigerador inteligente sobre sus propietarios.

VTO ​​Labs realizó ingeniería inversa del sistema de almacenamiento de datos de un refrigerador Samsung después de preparar el dispositivo con datos de prueba, extraer esos datos y publicar una copia de sus bases de datos públicamente en su sitio web para uso de los investigadores. Steve Watson, director ejecutivo del laboratorio, explicó que esto implica encontrar todos los lugares donde la nevera podría almacenar datos, tanto dentro como fuera de la unidad, en aplicaciones o almacenamiento en la nube. Una vez que hicieron eso, Epifani se puso a trabajar analizando y organizando los datos y obteniendo acceso a los archivos.

Lo que encontró fue un tesoro de datos personales. Epifani encontró información sobre dispositivos Bluetooth cerca del refrigerador, detalles de la cuenta de usuario de Samsung, como direcciones de correo electrónico y redes Wi-Fi domésticas, datos de temperatura y geolocalización, y estadísticas por hora sobre el uso de energía. El refrigerador almacenó datos sobre cuándo un usuario estaba reproduciendo música a través de una aplicación iHeartRadio. Epifani incluso podía acceder a fotos de Diet Coke y Snapple en los estantes del refrigerador, gracias a la pequeña cámara que está incrustada en su interior. Es más, descubrió que el frigorífico podría almacenar muchos más datos si un usuario conectaba el frigorífico a otros dispositivos Samsung a través de una cuenta familiar compartida o personal centralizada.

Nada de esto es necesariamente secreto o no revelado a las personas cuando compran este modelo de refrigerador, pero ciertamente no hubiera esperado que si estaba bajo investigación, un oficial de policía, con una orden judicial, por supuesto, podría ver mi rostro hambriento cada uno. vez que abrí mi nevera buscando queso. Samsung no respondió a nuestra solicitud de comentarios, pero está siguiendo prácticas bastante estándar dentro del mundo de IoT. Muchos de estos tipos de dispositivos acceden y almacenan tipos de datos similares.