O backdoor encontrado na cama
(trufflesecurity.com)- Foram encontrados vestígios de acesso SSH remoto e chaves AWS em uma cama com controle de temperatura da Eight Sleep, que depende de conexão com a internet e de aplicativo, mostrando que uma cama inteligente também traz riscos de segurança, privacidade e confiabilidade
- O firmware podia ser baixado inserindo apenas um valor
deviceIdna URL de atualização, e oproduction.jsoncontinha configurações de SSH que apontavam para hosts remotos comoremote-connectivity-api.8slp.net - Por causa do endereço de e-mail associado à chave pública registrada no dispositivo, surgiu a preocupação de que a equipe de engenharia da Eight Sleep pudesse acessar o computador baseado em Linux dentro das camas dos clientes
- As chaves AWS expostas aparentemente tinham permissão de escrita no Kinesis, e foi calculado que, em caso de abuso, seria possível gerar custos da ordem de US$ 100 mil por mês com 5.000 requisições
PUTpor segundo - Uma alternativa física, conectando os tubos da capa da Eight Sleep a um resfriador de aquário de US$ 150, oferece controle de temperatura semelhante sem app, assinatura nem conexão com a internet
As limitações básicas da cama da Eight Sleep
- A Eight Sleep é um produto que ajusta a temperatura da cama para mais quente ou mais fria, oferecendo um recurso atraente para usuários com insônia
- Para usar o produto de verdade, é preciso aceitar tanto o preço quanto as limitações de conectividade
- A cama custa US$ 2.000
- Não funciona se a internet cair
- Parte dos recursos básicos fica atrás de uma assinatura de US$ 19 por mês
- O único meio de controle é um aplicativo móvel
- O controle de temperatura em si era útil, mas, depois de inspecionar o firmware, a busca passou a ser por uma alternativa mais simples e menos dependente da internet
Download do firmware e vestígios de SSH remoto
- O firmware da Eight Sleep podia ser baixado por meio da URL de atualização
https://update-api.8slp.net/v1/updates/…- No lugar de
{anynumber}, bastava inserir qualquer número
- Dentro do firmware, havia configurações que pareciam indicar acesso remoto via SSH
- Havia vestígios de SSH exposto a hosts remotos como
remote-connectivity-api.8slp.net - Em geral, o SSH deveria ser acessível apenas na rede local, mas as variáveis em
production.jsondavam a entender que o acesso remoto estava habilitado
- Havia vestígios de SSH exposto a hosts remotos como
- O dispositivo tinha uma chave pública cadastrada para permitir acesso
- O endereço de e-mail anexado à chave pública sugeria a possibilidade de que toda a equipe de engenharia tivesse acesso à chave privada
- Se essa hipótese estiver correta, a equipe de engenharia da Eight Sleep poderia controlar o computador baseado em Linux dentro da cama do cliente
O impacto que o acesso remoto pode causar
- A cama pode revelar padrões de vida do usuário por meio de dados relacionados ao sono
- Dá para saber quando a pessoa dorme
- Dá para detectar se há 2 pessoas na cama, e não apenas 1
- Dá para saber se é noite e não há ninguém na cama
- Se o acesso remoto for possível, recursos normais de controle também podem se tornar alvo de controle externo
- Alterar a temperatura
- Ligar a função de vibração
- Desligar o alarme
- Se a cama estiver conectada à rede doméstica, o problema pode se espalhar para o acesso a outros dispositivos
- Geladeira inteligente, fogão inteligente, máquina de lavar inteligente e notebooks podem estar na mesma rede
- A segurança dos dispositivos alcançáveis por roteamento a partir da cama ficaria, na prática, nas mãos dos engenheiros da Eight Sleep
- O usuário não recebe logs nem notificações para verificar quando esse tipo de acesso aconteceu
- Dar a engenheiros acesso SSH arbitrário a todos os dispositivos de clientes está longe das boas práticas de segurança
Chaves AWS e o risco de custos com Kinesis
- As chaves AWS encontradas no firmware aparentemente eram usadas para transmitir dados para a Amazon
- A política exata das chaves não pôde ser confirmada
- Porque a Eight Sleep revogou as chaves logo após a notificação
- Pelo contexto, foi possível confirmar que havia permissão de escrita no Kinesis
- Se um invasor usasse essa chave, poderia enviar 5.000 requisições
PUTpor segundo ao Kinesis - Nesse caso, a Eight Sleep poderia ter um custo mensal de US$ 100.000 na AWS
A alternativa com resfriador de aquário
- Ao remover os tubos de borracha da capa da Eight Sleep e conectá-los a um resfriador de aquário de US$ 150, é possível obter um controle de temperatura semelhante
- O trabalho necessário é simples
- É possível conseguir uma capa da Eight Sleep no eBay por algumas centenas de dólares
- Cortam-se as abraçadeiras que prendem os tubos
- Conectam-se os tubos da capa ao resfriador de aquário
- É um procedimento reversível e não destrutivo que leva cerca de 30 segundos
- Apesar do nome, o resfriador de aquário não apenas resfria, mas também aquece
- Ele usa um elemento termoelétrico para ajustar a temperatura do líquido em circulação
- Usa o mesmo tipo de tecnologia da Eight Sleep
- Esse método oferece controle de temperatura da cama sem app, assinatura, conexão com a internet, backdoor ou responsabilidade de segurança
- Existe outro projeto para remover a conexão com a internet da Eight Sleep, o Free Sleep project, mas a abordagem com botões físicos do resfriador de aquário é uma opção mais simples
Modelo de negócio e confiabilidade de longo prazo
- A Eight Sleep levantou US$ 110 milhões em venture capital e é uma empresa com receita anual acima de US$ 300 milhões
- O produto inclui um modelo de assinatura e entra na lista de dispositivos conectados à internet que podem parar de funcionar algum dia se os servidores da empresa controladora forem desligados
- A abordagem simples com resfriador de aquário vira uma alternativa de controle de temperatura com menos dependência de servidor e menos problemas de acesso remoto
1 comentários
Opiniões no Hacker News
Comprei um sistema de jardim interno e achei que havia algum problema, então entrei em contato com o suporte ao cliente. Depois de verificarem, a equipe de suporte disse que estava tudo bem e que ele precisava de um tempo de adaptação.
Só que, durante esse processo, disseram que tinham verificado a câmera.
Mais tarde, comprei outro usado e, ao limpá-lo, vi que por dentro era simplesmente um Raspberry Pi. Ao conectar um micro HDMI e um teclado, o Raspberry Pi OS estava rodando exatamente como vinha.
Não havia atualizações e o VNC estava ativado, então a estrutura permitia que pessoas da empresa acessassem remotamente meu dispositivo, vissem as imagens da câmera e fizessem coisas na minha rede. Um pesadelo de segurança.
Sempre que possível, uso apenas na rede cabeada e bloqueio o acesso à internet no firewall.
É por isso que gosto de dispositivos Zigbee, e não fico muito animado com o Matter e a tendência de “IP em todos os lugares”.
Não dá para saber nem que funções eles têm, e alguns até tinham câmera.
A única coisa que faltava era um microfone, mas como há produtos que se conectam à Alexa, esse desejo também já foi realizado.
“Alexa, limpe aquilo que derramei no quarto.”
“Desculpe, mas isso exige uma limpeza profunda. Como ainda há limite disponível no seu segundo cartão de crédito, encomendei um serviço de limpeza profunda para terça-feira, no horário em que você estará fora.”
Sofri de insônia por quase a vida inteira, então me identifiquei com a frase “parecia algo que valia a pena tentar para quem tem insônia”.
O que me ajudou muito foi um simples aparelho de ruído branco, daqueles comumente usados para fazer bebês dormirem.
A vantagem é que durmo muito bem, ele não se conecta à internet e não precisa de app.
A desvantagem é que agora praticamente não consigo dormir sem ele, então preciso levá-lo em viagens ou acampamentos, e até comprei uma unidade reserva caso quebre.
Outra grande melhora foi tentar aceitar que as preocupações que me acordavam à noite eram exageradas e que a vida é bastante ok. Exigiu esforço de verdade, mas funcionou.
Deixo isso aqui na esperança de que ajude alguém que sofre com o sono.
https://www.amazon.com/Yogasleep-Portable-Soothing-Rechargea...
Ele fica em Ajustes -> Acessibilidade -> Áudio/Visual -> Sons de Fundo; cada som precisa ser baixado uma vez, mas depois fica no dispositivo.
Como é inconveniente entrar tão fundo nos ajustes toda vez, é melhor adicionar um controle como “Sons de Fundo” à Central de Controle para ligar e desligar o som do mar.
Quando quero tomar uma medida extra para não acordar no meio da noite, ligo isso no iPad e vou dormir.
Ele também pode servir como mesa para apoiar o celular e ponto de carregamento.
Eu não conseguia dormir sem ruído branco e também tinha alergia a cachorro; agora os dois problemas foram resolvidos.
Acredito que as sensações físicas levaram ao estado mental, mas não consigo provar.
A maioria dos diagnósticos presume o contrário: que o estado mental cria sintomas físicos como agitação, ranger/apertar os dentes e aquela sensação de vazio no estômago.
Quem sofre com nervos comprimidos, como uma ciática difícil de tratar, talvez deva considerar também possíveis causas físicas.
No meu caso, a osteoporose fez a coluna colapsar, e isso foi resolvido com uma fusão lombar S1-L5-L4.
A cirurgia e a recuperação foram muito difíceis, mas agora muitas vezes durmo como um cadáver, o que é ótimo. Pode variar de pessoa para pessoa.
Tenho zumbido mais forte em um ouvido, então é útil poder ajustar cada lado separadamente.
Talvez, à medida que eu envelhecer e a perda auditiva aparecer, eu precise depender menos da tecnologia.
Em casa, uso um produto simples que fica ligado na tomada e faz som com um ventilador; ele é mais ou menos assim: https://res.cloudinary.com/guest-supply/image/upload/f_auto,...
Em viagens, levo um modelo portátil pequeno e recarregável: https://www.amazon.com/Machine-Babelio-Adults-Non-looping-So...
Como uso Android, não tenho sons embutidos como no iOS.
“Quando falo em backdoor, o que quero dizer? Claro que a Eight Sleep precisa de uma forma de enviar atualizações e oferecer serviço e suporte. Isso é esperado.
Mas permitir que todos os engenheiros da Eight Sleep acessem remotamente, via SSH, a cama dos clientes, contornem todos os procedimentos oficiais de revisão de código e executem código arbitrário passa dos limites.
E encontrei evidências de que isso está acontecendo de fato.”
Isso é realmente uma história enorme
Eu administro uma empresa de SaaS de observabilidade para empresas de hardware chamada Memfault, e vivem me perguntando se não podemos oferecer uma solução de acesso remoto
Muitos concorrentes de fato oferecem
Mas vemos isso como (a) uma enorme responsabilidade de segurança e (b) algo fácil demais de abusar
No fundo, como os consumidores não se importam, até isso mudar dá para presumir que muitos dispositivos Linux embarcados terão esse tipo de backdoor
O estado de segurança do produto em si não foi inesperado, mas a parte seguinte foi chocante
“Eu estava disposto a aceitar o seguinte: a cama custa US$ 2.000, não funciona se a internet cair, recursos básicos ficam atrás de uma assinatura adicional de US$ 19 por mês, e o controle da cama só é possível por um app móvel”
Nada nessa cama deveria depender de servidores externos, e nada deveria exigir assinatura
É triste ver que o mercado parece burro demais para votar contra a indústria de tecnologia rentista
O conceito em si é absurdo, mas, se vende, vende
Por exemplo, você compra a cama e depois troca a placa de fábrica por uma placa lógica ESP32 pré-programada
Não as considero burras
Essa camada de americanos sempre preferiu pagar por serviços contínuos em vez de fazer as coisas de forma prática por conta própria
É provável que pensem inconscientemente: “deixo a equipe de suporte em Bangladesh cuidar da conectividade e das atualizações do app móvel, e eu só preciso deitar a cabeça e ganhar muito dinheiro”
As empresas de tecnologia de hoje parecem ser fundadas sem consideração por bom comportamento
Nem mesmo fazem direito o mínimo de suporte ao cliente que demonstraria respeito pelos clientes
O setor de IoT vem sofrendo problemas continuamente, e os adotantes já se queimaram repetidas vezes, então no longo prazo o mercado colhe o que plantou, mas a espionagem e a vigilância escondidas ficam mais sofisticadas a cada ano
Isso é um problema sério para tecnologias futuras. Quem usaria produtos cibernéticos ou de suporte à vida dessas empresas?
Talvez se aplique a elas o rigor imposto a empresas de dispositivos médicos como a Medtronic, mas não está claro se essa regulação também cobre segurança da informação e privacidade
Estamos claramente em uma era de autoritarismo crescente. A China ficou muito mais autoritária sob Xi Jinping, fascistas de direita estão em ascensão na Europa, e a polarização extrema, no caminho atual, leva a um autoritarismo cíclico mesmo supondo que a próxima eleição aconteça
A Rússia está tentando ampliar sua esfera de influência e abalar instituições democráticas no mundo inteiro
A privacidade enfraquecida e a coleta de dados são ferramentas para que Estados autoritários tenham consciência informacional total, e isso fica muito pior com a ascensão de uma IA funcional
O futuro da humanidade é sombrio, e dá para sentir o filtro se aproximando
Gostei da frase “No fim, a inquietação cibernética ficou grande o bastante para eu procurar uma solução mais simples e menos conectada à internet para a necessidade de uma cama com controle de temperatura”
E quase arregalei os olhos ao perceber a implicação seguinte
“Eles podem saber quando você está dormindo. Podem detectar se há duas pessoas, e não uma, dormindo na cama. Podem saber se é de noite e não há ninguém na cama.”
A pergunta mais realista é se existe algum veículo de consumo que faça análises de segurança de produtos
Acho que lugares como a Consumer Reports deveriam divulgar se um produto é ou não um pesadelo de segurança
No fim, esse tipo de coisa precisa ser amplamente divulgado e espalhado aos consumidores pelas redes sociais, mas veículos em formato de revista poderiam assumir parte dessa responsabilidade
Como não há interseção entre potenciais compradores e pessoas que se preocupam com segurança, a receita publicitária seria exatamente zero
Funcionários curiosos e menos éticos poderiam dar apelidos a usuários especialmente “ativos” ou “interessantes”, apostar em seus favoritos e começar a ligar quem dorme com quem
Mais seriamente, isso é um dispositivo de coleta de dados para aprender os hábitos dos usuários e vendê-los a outras empresas ou usá-los em novos negócios
Qualquer coisa que envie dados de volta sem consentimento claro e explícito não os está enviando para ajudar o usuário
https://www.technologyreview.com/2024/02/27/1088154/wifi-sen...
Gostei da parte que diz que o CEO parece um seguidor do Musk
Até o texto dos tweets é parecido, algo como “parte de San Francisco dormiu mal. Precisamos consertar isso”
Mas hoje em dia chego a sentir saudade disso
No fim, ele está colocando um backdoor onde as pessoas dormem, e com certeza existe um mercado para esses dados
Uma assinatura de cama de US$ 20 por mês é objetivamente engraçada
É difícil imaginar como essa empresa consegue atrair qualquer cliente que não seja zero
Quando você percebe o quanto a qualidade do sono é importante e o quanto este produto pode ajudar, uma assinatura de cama de US$ 20 por mês vira um custo ridiculamente pequeno
Um bom colchão firme é caro
Mas não tenho nenhum interesse em conexão com a internet nem em controle de temperatura, e odeio assinatura ainda mais
Isso é engraçado porque mostra o quanto as pessoas são ingênuas e dependentes ao esperar que a tecnologia resolva todos os problemas da vida
O mercado está aberto para ser dominado, mas ninguém tentou competir direito com a EightSleep
A EightSleep é muito refinada, e os concorrentes parecem produtos dos anos 90 no mau sentido. O HydroSnooze nem controle remoto tem
É uma cama feita de ouro e caviar? Este texto é confuso
A questão central é: “o que você estaria disposto a pagar, cerca de US$ 70 por mês, considerando amortização em 5 anos incluindo a cama, por algo que melhora seu sono sem você fazer nada nem colocar nada no corpo?”
As alternativas são remédios para dormir, exames do sono, benzodiazepínicos, suplementos, perda de peso, exercícios, rotinas de higiene do sono etc. Eu já tentei ou ainda faço algumas delas, e funcionam, mas todas dão trabalho
Sono é mais importante para a minha saúde do que o que eu como. Existem pessoas assim, e você provavelmente já viu colegas ou amigos andando por aí exaustos
Vi o Bryan Johnson falando disso e fui verificar; o preço, o app e a assinatura pareciam idiotas, e entendo o que todo mundo aqui está dizendo. Faz sentido
Mas havia uma política de teste grátis, e a curiosidade venceu. Até agora, nesses 5 ou 6 meses, tem sido surpreendentemente bom
Dá para colocar na cama botões/áreas falsos para mudar a temperatura sem o app
O app mencionado no texto também funciona 100% e é rápido. Quando estou em casa, é tão rápido que parece funcionar via LAN
Para comparar, o app da Nest, de US$ 3,2 bilhões, é pouco confiável e lento. Basta pensar em quantos dias da vida você já perdeu esperando a autenticação do Google e a conexão antes de mudar a temperatura do cômodo em que está sentado
Isso deve explicar por que vende
Aliás, agora a cama não custa US$ 2.000, e sim US$ 3.000 mais imposto sobre vendas. Amortizando em 5 anos, dá US$ 3.000 + US$ 240 * 5 = US$ 4.200, dividido por 60 meses
Há muitos equívocos neste thread vindos de pessoas que não verificaram o produto. Na verdade, nem é uma cama; é uma capa com refrigeração líquida que vai por cima do colchão existente
Se quiser um colchão elétrico que se levanta quando você ronca, isso custa mais alguns milhares de dólares
Minha esposa usa um BedJet, que tem tanto controle remoto quanto app e, felizmente, funciona sem uma conexão ativa com a internet
Ele regula a temperatura usando uma espécie de lençol com uma bolsa por onde sopra ar
Para mulheres que têm ondas de calor e calafrios por causa da menopausa, esse controle chega ao ponto de preservar a sanidade
Algumas mulheres não sofrem tanto no período em torno da menopausa, mas é um processo que mexe fortemente com os hormônios
Se você é parceiro de uma mulher passando pela transição da menopausa, precisa acreditar nela quando ela fala sobre o que está vivendo
Muitos parceiros não sabem o quanto isso pode destruir uma pessoa, e elas merecem toda a empatia possível
Mas o app é totalmente tosco e com cara de antigo, e o meu não veio com controle remoto
Se você usa HomeAssistant e precisa de um controle melhor, pode colocar a integração ESPHome BedJet em um ESP32 extra: https://esphome.io/components/climate/bedjet.html
É um pouco irônico precisar de um ESP32 externo para se comunicar com o ESP32 dentro do BedJet
Ela tem ondas de calor o tempo todo
Fico curioso para saber se o BedJet é realmente tão bom assim e se sua esposa o recomendaria sem reservas
Também gostaria de saber se houve outros produtos que ajudaram sua esposa
Desculpe se a pergunta for pessoal, mas se isso puder melhorar o sono da Sara, seria algo capaz de mudar a vida dela
As variações hormonais causam queda de cabelo, insônia severa e alterações de humor, reduzindo muito a qualidade de vida
É difícil de ver, não existe uma solução mágica para consertar, e também não é que minha esposa esteja fazendo algo “errado” que precise mudar
Só a parte “a Eight Sleep colhe dados da cama das pessoas e às vezes tweeta que está vendo você dormir”, junto com o screenshot de novembro de 2023 em que o CEO publicou dados de sono de San Francisco no Twitter, já é motivo suficiente para eu não usar essa empresa
É realmente assustador
Não sei por que ela é frequentemente classificada como empresa de tecnologia, além de ter criado uma versão preta da Casper
Talvez seja pela forte associação com o Elon
Lembro porque eu tinha assinado as atualizações por e-mail
Ainda bem que acabei não assinando, e pelo que me lembro perdi o interesse pelos mesmos problemas que o autor disse ter “deixado passar”
Assinatura de cama? Quero mais é mandar à merda
Os outros produtos concorrentes têm um produto principal muito pior, então, infelizmente, é preciso tolerar as palhaçadas da EightSleep
É uma história completamente separada, mas, para qualquer empresa, é ilegal fornecer produtos ou serviços gratuitamente ao governo; então, se o CEO da Pod enviar camas Pod para funcionários do DOGE, ele estaria violando a lei
Basicamente, isso é considerado suborno, e acho que na prática também é
São US$ 2.000 por cama, mas é um custo bem baixo para obter um tratamento regulatório favorável com uma pequena doação
E seria preciso ter base para isso. Dando uma busca rápida no Google, parece que não é ilegal se um órgão do governo confirmar por escrito