Собственик на електрическа тротинетка в Естония се оказва заключен извън собственото си превозно средство – не заради повреда, а заради фалита на производителя. Компанията Äike, която миналата година обяви несъстоятелност, произвеждаше електрически тротинетки, които разчитат изцяло на мобилно приложение и облачни сървъри, за да изпълнят дори най-базовата функция – включване.

Докато стартъпът съществува, моделът работи. След фалита – собствениците остават със скъпи, но практически неизползваеми устройства, които се отключват само ако несъществуващият вече бекенд отговори. Част от функциите продължават да работят временно, други изчезват напълно.

Reverse engineering вместо сервиз

Един от тези собственици – Расмус Моорац, естонски изследовател по киберсигурност и пентестер – решава да не оставя ежедневното си придвижване в ръцете на фалирала компания. Вместо това той започва да анализира как всъщност работи тротинетката.

Изследването на Android приложението и Bluetooth трафика показва нещо ключово: заключването, отключването и базовите проверки се извършват локално чрез Bluetooth, а облакът играе второстепенна роля.

Процесът на автентикация е прост – тротинетката изпраща кратко предизвикателство, приложението отговаря с криптографски подпис и достъпът се разрешава. На теория това трябва да предпазва от случайни хора, които биха се опитали да я откраднат.

Един ключ за всички – класическа IoT грешка

На практика обаче Моорац открива сериозен пропуск. Тайният ключ, използван за генериране на отговора, никога не е бил коректно конфигуриран. Вместо уникален ключ за всяка тротинетка, всички устройства са били доставени с един и същ фабричен, „placeholder“ частен ключ – очевидно предназначен да бъде заменен преди серийното производство, но никога не е бил.

След това откритие отключването на собствената му тротинетка без облака става тривиално. По-лошото – същият метод работи за всяка тротинетка Äike в Bluetooth обхват, независимо от собственика. С кратък proof-of-concept скрипт и стандартни инструменти Моорац успява да отключи всяка налична наблизо тротинетка от този модел.

Макар това да не отваря вратата за масова кражба – Äike не оперира в мащаба на големите споделени флотилии, а споделените модели използват различен хардуер – случаят е показателен за типичен IoT анти-патърн:

• фабрични настройки, оставени без промяна

• липса на реално управление на ключове

• пълна зависимост от сървър, който може да изчезне

По-широкият проблем: какво се случва със смарт устройствата след фалит

Моорац твърди, че е уведомил доставчика на хардуера, но получил отговор, че управлението на ключовете е отговорност на производителя – безполезен отговор, когато производителят вече не съществува.

Този случай ясно показва по-дълбок проблем: когато „умните“ устройства умират заедно със своите създатели, reverse engineering престава да бъде хоби и се превръща в базово умение за упражняване на собственост.

За индустрията това е още едно предупреждение, че сигурността „по подразбиране“, централизираният контрол и липсата на офлайн fallback механизми не са просто лош дизайн – те са риск за потребителите, който остава дълго след като логото на компанията изчезне.