Amazon Echo Dot no elimina el contenido personal después de un restablecimiento de fábrica

¿Es posible hacer que los dispositivos de IoT sean privados?

Los dispositivos de Internet de las cosas o IoT (Internet Of Things), que registran amplios detalles de la vida diaria de los usuarios, tienen un interés natural en la privacidad. Los fabricantes ofrecen medidas para abordar estas preocupaciones, tales como: la posibilidad de un restablecimiento de fábrica para eliminar el historial. 

No obstante, el consumidor debe tener confianza en que estas medidas de privacidad y seguridad funcionan como se anuncia. Aparentemente, esta confianza sería incorrecta en el caso de al menos un altavoz inteligente de alto perfil.

La investigación científica sobre 86 Amazon Echo Dots usados ​​ha demostrado que un restablecimiento de fábrica no elimina ningún dato de los dispositivos. 

https://i.blogs.es/efa313/amazon_echo/1366_2000.jpg

Todavía se pueden recuperar mediante técnicas forenses relativamente sencillas. Los Echo Dots generalmente contienen contraseñas Wifi, direcciones MAC de enrutadores e inicios de sesión de Amazon, entre otros datos confidenciales.

Los problemas de seguridad continúan afectando a los dispositivos de IoT; Los Echo Dots tienen un proceso de restablecimiento de fábrica vulnerable

Los investigadores de Northeastern University, ubicada en la ciudad de Boston, Massachusetts, en el Nordeste de Estados Unidos, compraron 86 Echo Dots usados ​​en eBay y mercados de pulgas durante 16 meses, y también compraron seis nuevos puntos y cargaron datos de prueba en ellos. 

El 61% de los dispositivos usados ​​ni siquiera habían pasado por el restablecimiento de fábrica más básico. Pero incluso después de un restablecimiento de fábrica, los investigadores pudieron acceder a datos personales que se habían almacenado previamente con la herramienta forense disponible públicamente Autopsy.

Esto contradice el marketing de Amazon, que dice que la función de restablecimiento de fábrica permite al usuario final eliminar de forma segura todo el “contenido personal de los dispositivos relevantes”. 

El problema principal es que los dispositivos usan memoria flash, que es común en dispositivos inteligentes de IoT y electrónicos con un enfoque en la portabilidad. La memoria flash es más difícil de borrar permanentemente los datos porque solo permite un número limitado de ciclos de borrado (normalmente decenas de miles) antes de que un bloque de memoria quede inutilizable. 

Dado que los medios de almacenamiento de estos dispositivos de IoT no durarían mucho si los borrados reales se realizaran constantemente, los datos “eliminados” generalmente simplemente se invalidan y se mueven a un lado no utilizado del bloque (en un proceso llamado “nivelación de desgaste”). Estas páginas invalidadas, que aún contienen los datos, permanecen en su lugar hasta que se llena un bloque con ellas y se inicia un borrado real.

Acceder a la memoria flash que se ha restablecido de fábrica de esta manera requiere cierta habilidad técnica y equipo especial, pero nada que sea un obstáculo real para el entusiasta del bricolaje promedio. 

Los investigadores pudieron eliminar físicamente los chips de memoria de los puntos de eco y colocarlos en dispositivos especiales diseñados para la lectura, y también para acceder a la memoria sin quitar el chip con una aguja conductora. Una vez que cualquiera de estos métodos está en su lugar, la memoria se puede leer usando una herramienta forense como Autopsy, que simplifica gran parte del proceso.

Los datos confidenciales no solo se pueden restaurar desde los dispositivos, sino que también se pueden volver a hacer funcionales después de un restablecimiento de fábrica y un montaje. Si se quita un Echo Dot de su “red doméstica”, debe solicitar una notificación de la aplicación al propietario para obtener permiso cuando se conecte a otra red.  Sin embargo, una vez que se ha iniciado un restablecimiento de fábrica, se puede hacer que el dispositivo funcione en una nueva red con los datos antiguos aún almacenados en los bloques no válidos recuperados. 

Cuando se le preguntó, Alexa devolvería el nombre del propietario anterior y respondería a los comandos de voz. Entre otras cosas, los investigadores pudieron controlar otros dispositivos IoT conectados a la red, crear pedidos de Amazon y acceder a contactos.

Los Echo Dots no devolvieron la dirección del usuario, pero podría estimarse aproximadamente pidiendo al dispositivo que busque las instalaciones más cercanas, como bibliotecas y tiendas de comestibles. La clave de todo esto es que el proceso de restablecimiento de fábrica no elimina el token de autenticación necesario para conectar la cuenta de Amazon del propietario.

https://static.independent.co.uk/s3fs-public/thumbnails/image/2013/08/06/14/bezos.jpg

La vulnerabilidad pone en duda la seguridad de otros dispositivos de IoT

Aunque toda esta investigación se realizó solo en altavoces inteligentes Echo Dot, los investigadores creen que esta vulnerabilidad probablemente se aplique a otros dispositivos portátiles y de IoT de Amazon, como tablets y Fire TV. Puede aplicarse a una gama aún más amplia de dispositivos IoT de almacenamiento flash basados ​​en NAND similares que manejan el borrado de datos y el restablecimiento de fábrica de manera similar.

Es probable que la vulnerabilidad afecte a los usuarios de los dispositivos IoT de Amazon, ya que un dispositivo robado podría permitir que el ladrón ingrese a una cuenta de Amazon (y, por lo tanto, también acceda a las tarjetas de crédito guardadas) y los dispositivos antiguos tendrían que ser destruidos con una eliminación similar a la de los discos duros.

Los investigadores creen que han encontrado una solución viable, que le propusieron a Amazon. Impulsaría una actualización de firmware que cambiaría sus dispositivos de IoT para cifrar información personal vital como contraseñas, tokens y datos confidenciales. 

No haría imposible el proceso por el que pasaron los investigadores, pero agregaría el paso más difícil de romper el cifrado de cualquier dato de interés. Amazon respondió a los investigadores que dijeron que estaban trabajando en medidas de mitigación, pero no especificaron exactamente cuáles eran.

Smartket
Logo