X4 Montre Connectée pour Enfants A une Porte Dérobée Non Documentée avec Caméra

Il ne peut pas être dit assez : chaque appareil qui se connecte à Internet d’une manière ou d’une autre a la capacité d’être compromis. Là où cela est particulièrement préoccupant, c’est avec les appareils utilisés par les enfants. Tout parent ayant un enfant avec une montre connectée Xplora X4 devrait s’inquiéter de cette nouvelle qui révèle qu’il y a une porte dérobée non documentée qui, entre autres choses, prend des instantanés.

Porte Dérobée Trouvée sur la Montre Connectée pour Enfants

Bien qu’il semble merveilleux que vos enfants aient leur propre montre connectée, rappelez-vous qu’elle se connecte à Internet et peut être compromise. La X4 de Xplora fonctionne sous Android, peut passer et recevoir des appels vers des numéros approuvés par les parents, envoyer un SOS, envoyer des notes GPS de l’emplacement d’un enfant, et peut être contrôlée par une application sur le smartphone d’un parent, etc. Cela semble si sûr.

Cependant, cette montre connectée pour enfants inclut également une porte dérobée non divulguée qui a été trouvée par des chercheurs de Mnemonic, une entreprise de sécurité norvégienne. La montre inclut des commandes qui signalent la localisation, prennent des photos qui sont envoyées à un serveur Xplora, et passent un appel téléphonique qui enregistre tous les sons qu’elle peut capter.

Les applications préinstallées sur la montre proviennent du développeur Qihoo 360. L’entreprise a été placée sur une liste de sanctions du Département du Commerce des États-Unis en juin en raison de liens avec le gouvernement chinois et d’une croyance selon laquelle elle est susceptible de s’engager dans des « activités contraires à la sécurité nationale ou aux intérêts de politique étrangère des États-Unis. »

Cela signifie que non seulement cette montre connectée pour enfants a la capacité d’envoyer des informations sur vos enfants aux serveurs de l’entreprise, mais qu’elle est également connectée à une entreprise dans un pays souvent bloqué en raison d’antécédents de piratage d’espionnage.

Patche À Publier

Cependant, la porte dérobée sur la montre X4 a nécessité des efforts héroïques pour être trouvée. Pour que quelqu’un d’autre puisse la trouver, il ne lui faudrait pas la même chose mais il lui faudrait connaître le numéro de téléphone de la montre et une clé de chiffrement unique qui est intégrée dans chaque montre.

Xplora a publié une déclaration disant qu’ils « prennent toute faille de sécurité potentielle très au sérieux. »

Ils ont discuté des efforts nécessaires pour accéder à la porte dérobée sur la montre connectée et ont ajouté que personne impliqué dans la fabrication n’aurait accès au numéro de téléphone associé à la montre connectée pour reproduire le scénario discuté.

« Même si quelqu’un ayant un accès physique à la montre et les compétences pour envoyer un SMS chiffré active cette faille potentielle, la photo instantanée est uniquement téléchargée sur le serveur de Xplora en Allemagne et n’est pas accessible à des tiers. Le serveur est situé dans un environnement Amazon Web Services hautement sécurisé. »

Xplora précise que seulement deux employés ont accès à la « base de données sécurisée où les informations des clients sont stockées. » Mais cela peut vous donner un sentiment de sécurité plus ou moins solide.

De plus, le problème que les chercheurs ont découvert était « basé sur une fonctionnalité d’instantanés incluse dans les montres prototypes initiales » pour « être activée par les parents après qu’un enfant appuie sur un bouton d’urgence SOS. Nous avons supprimé la fonctionnalité pour tous les modèles commerciaux en raison de préoccupations en matière de vie privée. Le chercheur a trouvé que certaines parties du code n’avaient pas été complètement éliminées du firmware. »

Depuis qu’Xplora a été alerté au sujet de la porte dérobée, ils ont développé un patch, qui est disponible. Ils déclarent que la montre n’est pas disponible aux États-Unis. Le site web d’Xplora indique qu’elle est disponible au Royaume-Uni, en Allemagne, en Espagne, en France et en Pologne.

Mais considérez cette information concernant cette porte dérobée sur la montre connectée pour enfants exactement comme ce qu’elle est. Elle était censée être dans la montre mais a été retirée. Au minimum, à un moment donné, l’entreprise envisageait d’inclure la fonction, puis l’a retirée. Et gardez cette information à l’esprit si vous décidez d’acheter une montre connectée pour enfants d’un autre fabricant également. Sachez que cela est au moins possible.

Si vous souhaitez plus d’informations sur les portes dérobées, suivez et lisez les portes dérobées cryptographiques expliquées.