Кольцо Соломона

В колонках и станциях "Яндекса" появилась возможность получения root-доступа и внедрения тотальной прослушки Компания «Яндекс» со своими умными колонками стала одной из жертв компрометации удостоверяющего центра eMudhra — теперь в локальной сети, к которой подключена колонка Алисы, можно запустить поддельный сервер конфигурации колонки quasar.yandex.net, что позволяет поднять на устройстве root-shell со свободным доступом. Дальнейшие возможности зависят от степени зловредности пользователя, получившего root-доступ: положительными сценариями для юзера может быть отвязка колонки от сервисов «Яндекса» и управление умным домом самостоятельно, по сути использование колонки как домашнего сервера. Негативные же сценарии могут включать в себя постоянную прослушку происходящего вокруг колонки, использование её в качестве участника ботнета, прокси-сервера для доступа в локальную сеть и других неприятных вещей. При этом получение обновлений устройством может быть заблокировано, что надолго сохранит доступ к устройству злоумышленнику. Даже обновление прошивки колонки не гарантирует её защищённости в будущем, поскольку сброс до заводских настроек возвращает уязвимость на место. Несмотря на сложность осуществления незаметного воздействия на устройство совсем посторонними людьми, степень нарушения приватности лицами, администрирующими устройства в сети (сисадмин офиса, приятель-айтишник, гость-шутник, которому дали пароль от Wi-Fi, другие члены семьи, etc.), может оказаться неожиданной и шокирующей для покупателей умной колонки «Яндекса». Возможность такого доступа появилась в силу беспечности разработчиков колонок из «Яндекса», которые пренебрегли возможностью использования certificate pinning (закрепления сертификата) и/или подписи файла конфигурации, принимаемого устройством. В результате компрометация лишь одного из многих десятков удостоверяющих центров (eMudhra) привела к полной деградации модели доверия, заложенной разработчиками колонок «Алисы» в устройство. Стоит заметить, что проблема небезопасности «умных» колонок обсуждалась год назад, когда эксперт Роскачества Сергей Кузьменко предложил общественности думать о том, где ведутся переговоры, и не обсуждать важные вопросы рядом с колонками. Тогда Сергей Боярский, депутат Госдумы, написал в своём телеграм-канале что эксперт (в кавычках) делает безответственные и провокационные заявления, и кроме того добавил, что: ...распространение безосновательных цифровых фобий среди населения — недопустимо. Как показала жизнь, безответственными оказались заявления о безопасности своих девайсов именно производителей колонок и примкнувших к ним людей, голословно опровергавших опасения представителя Роскачества. [ По материалу РОЕМ ]