Backdoor được phát hiện trong chiếc giường

Loại Jeff Bezos ra khỏi giường của tôi

• Eight Sleep là gì?

  • Chia sẻ trải nghiệm phát hiện khóa AWS trên một thiết bị IoT.
  • Đã phát hiện một backdoor trong giường, và đây là một trong những lý do khiến các chuyên gia bảo mật cảm thấy mệt mỏi với những thiết bị không cần thiết kết nối Internet.

• Tính năng và vấn đề của Eight Sleep

  • Đây là một chiếc giường cung cấp tính năng điều chỉnh nhiệt độ.
  • Khi mất kết nối Internet thì không hoạt động, và các tính năng cơ bản cũng cần đăng ký thuê bao bổ sung.
  • Chỉ có thể điều khiển thông qua ứng dụng di động.
  • Sau khi phân tích firmware, đã phát hiện vấn đề bảo mật và quyết định tìm một giải pháp đơn giản hơn.

• Vấn đề backdoor

  • Phát hiện rằng các kỹ sư của Eight Sleep có thể SSH vào giường của mọi khách hàng để thực thi mã tùy ý.
  • Đây là một vấn đề bảo mật nghiêm trọng có thể xâm phạm quyền riêng tư của khách hàng.

• Rủi ro của khóa AWS

  • Khóa AWS đã được dùng cho việc streaming dữ liệu, và điều này tạo ra nguy cơ phát sinh chi phí rất lớn.
  • Sau khi báo cáo vấn đề, Eight Sleep đã thu hồi khóa.

• Giải pháp thay thế bằng bộ làm lạnh bể cá

  • Có thể triển khai chức năng điều chỉnh nhiệt độ bằng cách nối các ống cao su gắn với lớp phủ của Eight Sleep vào bộ làm lạnh bể cá.
  • Cách này là một giải pháp đơn giản giúp tránh kết nối Internet, backdoor và các vấn đề bảo mật.

• Kết luận

  • Eight Sleep cung cấp một sản phẩm đổi mới, nhưng các vấn đề bảo mật và mô hình thuê bao có thể gây bất tiện cho người dùng.
  • Có thể sử dụng bộ làm lạnh bể cá để dùng chức năng điều chỉnh nhiệt độ theo cách an toàn và đơn giản hơn.

[GN⁺]

Ý kiến Hacker News

• Là người bị mất ngủ, tôi từng nghĩ sản phẩm này có giá trị

  • Tôi cũng từng có trải nghiệm tương tự nên rất đồng cảm
  • Thứ đã giúp tôi là máy tạo tiếng ồn trắng mà người ta hay dùng khi ru trẻ ngủ
  • Điểm tốt: nhờ thiết bị này mà tôi có thể ngủ ngon
  • Điểm xấu: giờ tôi không thể ngủ nếu thiếu nó, và khi đi du lịch cũng luôn phải mang theo
  • Một cách khác giúp cải thiện giấc ngủ là chấp nhận rằng cuộc sống của mình nhìn chung cũng khá ổn
  • Khi nhận ra những điều mình lo lắng đã bị phóng đại lên, chất lượng giấc ngủ của tôi đã tốt hơn
  • Hy vọng trải nghiệm này cũng sẽ giúp ích cho người khác

• Tình trạng bảo mật của sản phẩm không hẳn là ngoài dự đoán, nhưng những điểm sau mới thật sự gây sốc

  • Chiếc giường có giá $2,000
  • Mất Internet là không hoạt động
  • Các chức năng cơ bản bị giấu sau gói đăng ký thêm $19/tháng
  • Cách duy nhất để điều khiển giường là thông qua ứng dụng di động
  • Sản phẩm không nên cần phụ thuộc vào máy chủ bên ngoài, cũng không nên cần phí thuê bao
  • Thật đáng tiếc khi thị trường không phản đối hành vi tìm kiếm địa tô của ngành công nghệ

• Cuối cùng tôi đã chán ngấy các vấn đề an ninh mạng nên quyết định tìm một chiếc giường điều chỉnh nhiệt độ ít phụ thuộc vào kết nối Internet hơn

  • Đến đoạn này tôi thật sự tỉnh cả ngủ
  • Họ có thể biết bạn ngủ vào lúc nào
  • Họ có thể phát hiện trên giường có hai người hay một người
  • Họ có thể biết ban đêm có ai rời khỏi giường hay không
  • Tôi tự hỏi liệu các ấn phẩm về tiêu dùng có làm bài đánh giá bảo mật cho sản phẩm hay không
  • Những nơi như Consumer Reports nên công bố liệu một sản phẩm có phải là cơn ác mộng về bảo mật hay không
  • Rốt cuộc mọi người cần lan truyền những thông tin như thế này, và mạng xã hội nên cảnh báo người tiêu dùng

• Khi nói về backdoor thì ý nghĩa chính xác là gì

  • Eight Sleep cần một cách để đẩy bản cập nhật, cung cấp dịch vụ và hỗ trợ
  • Nhưng việc mọi kỹ sư đều có thể SSH từ xa vào giường của khách hàng để chạy mã tùy ý thì là quá mức
  • Tôi đã tìm thấy bằng chứng cho thấy điều này thực sự đang xảy ra

• Vợ tôi dùng Bedjet, có điều khiển từ xa và ứng dụng

  • May mắn là nó vẫn hoạt động ngay cả khi không có kết nối Internet
  • Nó dùng một tấm phủ dạng túi để thổi không khí vào nhằm điều chỉnh nhiệt độ
  • Với những phụ nữ trải qua thời kỳ mãn kinh, việc điều chỉnh nhiệt độ giúp họ giữ được sự ổn định tinh thần

• Một số phụ nữ không chịu đau khổ quá lớn trong giai đoạn tiền mãn kinh và mãn kinh, nhưng hormone bị ảnh hưởng rất mạnh

  • Lời khuyên cho bạn đời của phụ nữ đang trải qua mãn kinh: hãy tin những gì họ đang trải qua
  • Nhiều người bạn đời không nhận ra quá trình này khó khăn đến mức nào

• Chi tiết CEO là người theo Musk khá buồn cười

  • Ông ấy dùng ngôn ngữ tương tự trong tweet: "Một bộ phận ở SF đã ngủ không ngon. Chúng ta cần sửa điều đó"

• Gói thuê bao giường $20/tháng thì khách quan mà nói là lố bịch

  • Tôi không thể tưởng tượng nổi công ty này lôi kéo khách hàng bằng cách nào

• Eight Sleep thu thập dữ liệu về chiếc giường của mọi người, và thỉnh thoảng còn tweet rằng họ đang theo dõi bạn ngủ

  • Chỉ riêng vậy cũng đã đủ lý do để không dùng dịch vụ này
  • Rất rợn người

• Có vẻ CEO Matteo của Eight Sleep đang tập trung vào việc mang lại giấc ngủ ngon cho DOGE

  • Ngày càng có thêm nhiều người theo sau xuất hiện

• Có một esp32 ở cạnh giường

  • Bằng cách ghi lại cường độ rssi, có thể biết ai đó đã ở trên giường hay đã đổi tư thế
  • pir phát hiện chuyển động, nhưng chỉ theo dõi rssi thôi cũng đã đủ
  • Điện thoại cũng có thể hiệu quả tương tự, và có lẽ một số sdk theo dõi rssi của điện thoại để xem có thay đổi nào trong môi trường xung quanh hay không
  • Điều đó gợi ra rất nhiều điều