X4 Smartwatch für Kinder hat undocumented Backdoor mit Kamera

Das kann einfach nicht oft genug gesagt werden: Jedes Gerät, das irgendwie mit dem Internet verbunden ist, hat die Möglichkeit, kompromittiert zu werden. Besonders besorgniserregend ist dies bei Geräten, die Kinder verwenden. Jeder, der ein Kind mit einer Xplora X4 Smartwatch hat, sollte sich über die Nachricht, dass eine undocumented Backdoor enthalten ist, die unter anderem Schnappschüsse macht, Sorgen machen.

Backdoor auf Kinder-Smartwatch gefunden

Es klingt zwar wunderbar, dass Ihr Kind eine eigene Smartwatch hat, aber denken Sie daran, dass sie mit dem Internet verbunden ist und kompromittiert werden kann. Die X4 von Xplora läuft auf Android, kann Anrufe an von den Eltern genehmigte Nummern tätigen und empfangen, einen SOS-Signal senden, GPS-Daten über den Standort des Kindes senden und kann über eine App auf dem Smartphone der Eltern gesteuert werden usw. Es klingt so sicher.

Diese Kinder-Smartwatch beinhaltet jedoch auch eine nicht offengelegte Backdoor, die von Forschern bei Mnemonic, einem norwegischen Sicherheitsunternehmen, gefunden wurde. Die Uhr enthält Befehle, die den Standort melden, Fotos aufnehmen, die an einen Xplora-Server gesendet werden, und Anrufe tätigen, die alle Geräusche aufnehmen, die sie erfassen kann.

Vorinstallierte Apps auf der Uhr stammen vom Entwickler Qihoo 360. Das Unternehmen wurde im Juni in eine US-Handelsministerium-Sanktionsliste aufgenommen, wegen Verbindungen zur chinesischen Regierung und dem Glauben, wahrscheinlich “Aktivitäten entgegen den nationalen Sicherheits- oder Außenpolitikinteressen der Vereinigten Staaten” zu engagieren.

Das bedeutet, dass diese Kinder-Smartwatch nicht nur die Fähigkeit hat, Informationen über Ihre Kinder an die Server des Unternehmens zu senden, sondern auch mit einem Unternehmen in einem Land verbunden ist, das oft wegen einer Vorgeschichte von Spionage-Hacks blockiert ist.

Patch wird veröffentlicht

Die Backdoor auf der X4-Smartwatch erforderte jedoch heldenhafte Anstrengungen, um gefunden zu werden. Damit jemand anderes sie finden kann, müsste er nicht dasselbe tun, sondern müsste die Telefonnummer der Uhr und einen einzigartigen Verschlüsselungsschlüssel wissen, der in jede Uhr fest integriert ist.

Xplora hat eine Stellungnahme veröffentlicht, in der sie sagen, dass sie “jede potenzielle Sicherheitsanfälligkeit äußerst ernst nehmen.”

Sie diskutierten die erforderlichen Anstrengungen, um auf die Backdoor auf der Smartwatch zuzugreifen, und fügten hinzu, dass niemand, der an der Herstellung beteiligt ist, Zugang zu der Telefonnummer hat, die mit der Smartwatch verbunden ist, um das besprochene Szenario zu reproduzieren.

“Selbst wenn jemand mit physischem Zugang zur Uhr und der Fähigkeit, eine verschlüsselte SMS zu senden, diese potenzielle Schwachstelle aktiviert, wird das Schnappschussfoto nur auf den Server von Xplora in Deutschland hochgeladen und ist für Dritte nicht zugänglich. Der Server befindet sich in einer hochsicheren Amazon Web Services-Umgebung.”

Xplora fährt fort zu sagen, dass nur zwei Mitarbeiter Zugang zu der “sicheren Datenbank, in der Kundeninformationen gespeichert sind,” haben. Aber das könnte Sie mehr oder weniger sicher fühlen lassen.

Darüber hinaus war das Problem, das die Forscher entdeckten, “auf einer Schnappschussfunktion basierend, die in den ursprünglichen Prototyp-Uhren enthalten war,” um “von Eltern aktiviert zu werden, nachdem ein Kind einen SOS-Notrufknopf drückt. Wir haben die Funktionalität für alle kommerziellen Modelle aufgrund von Datenschutzbedenken entfernt. Der Forscher fand heraus, dass ein Teil des Codes nicht vollständig aus der Firmware entfernt worden war.”

Seit Xplora über die Backdoor informiert wurde, haben sie einen Patch entwickelt, und dieser ist verfügbar. Sie sagen, dass die Uhr in den Vereinigten Staaten nicht erhältlich ist. Die Xplora-Website sagt, sie sei in Großbritannien, Deutschland, Spanien, Frankreich und Polen erhältlich.

Aber nehmen Sie diese Informationen über die Backdoor dieser Kinder-Smartwatch genau so, wie sie sind. Sie war dazu gedacht, auf der Uhr zu sein, wurde aber entfernt. Zumindest wurde das Unternehmen einmal beabsichtigt, die Funktion einzuschließen, dann wurde sie entfernt. Und behalten Sie diese Informationen im Hinterkopf, wenn Sie sich entscheiden, eine Kinder-Smartwatch von einem anderen Hersteller zu kaufen. Wissen Sie, dass dies zumindest möglich ist.

Wenn Sie mehr Informationen über Backdoors wünschen, folgen Sie mit und lesen Sie über kryptografische Backdoors.