Gdy ty oglądasz najnowszy talk-show, twój telewizor zerka na ciebie przez wbudowaną kamerę. Twój notebook obserwuje cię, kiedy surfujesz, a smartfon skanuje potajemnie każdy kąt twojego mieszkania i wszystkie nagrania ukradkiem wysyła hakerom. To wizja rodem z horrorów, która jednak wkrótce może się ziścić. Wiele z prywatnych podłączonych do Sieci urządzeń ma przecież kamery, a te okazują się niewystarczająco chronione przed nieautoryzowanym dostępem z zewnątrz.
W USA firmy wypożyczające notebooki po kryjomu podglądały swoich klientów w domach, a nauczyciele szpiegowali uczniów. A i tak wydaje się to niewinną rozrywką w porównaniu z możliwościami, jakie dają hakerom urządzenia mobilne wyposażone w kamery. Gdy my swobodnie poruszamy się po biurze czy mieszkaniu, prowadząc telefoniczną pogawędkę ze znajomym, oko smartfonowej kamery – uruchomionej przez perfidnego trojana – rejestruje kolejne zdjęcia pomieszczeń. Z kolei z tych zdjęć powstają szczegółowe, bezstopniowo zoomowalne panoramy mieszkań i biur. Haker dzięki takim zdjęciom pozna nie tylko rozkład pomieszczeń, ale też zerknie na nasz naścienny kalendarz, przeczyta poufny raport leżący na biurku i pozna treść wyświetlanych na monitorze emaili. Strach pomyśleć, co może zobaczyć sprytny haker przez kamerę Smart TV.
Prezentujemy potencjalne niebezpieczeństwa, hakerskie sztuczki oraz sposoby na zabezpieczenie się przez szpiegowaniem. Jedno jest pewne: oprócz programów, które zamieszczamy na płycie, 100% skuteczności daje… zasłonięcie lub fizyczne odłączenie kamery.
PC & NOTEBOOK: obce oczy
Kamery internetowe istnieją już od dawna – to samo dotyczy nadużyć, do których są wykorzystywane.
Od połowy lat 90. dostępne są kamery internetowe do pecetów, używane na ogół do czatów wideo albo prostych zadań nadzorczych. Wiele notebooków i komputerów All-in-One ma fabrycznie zamontowaną kamerę, której niepozorna soczewka o średnicy ołówka znajduje się powyżej wyświetlacza. Każdy zainstalowany na komputerze program może ją włączyć i przesyłać do dowolnego serwera w Internecie zdjęcia, wideo i nagrania z mikrofonu.
Do września 2012 roku wykorzystało to kilka firm oferujących leasing komputerów. Pecety i notebooki miały preinstalowane oprogramowanie zabezpieczające firmy DesignerWare do lokalizowania i blokowania komputerów, za które nie zapłacono raty. Pracownicy siedmiu wynajmujących firm nielegalnie używali oprogramowania do przechwytywania wszystkich możliwych informacji: prywatnych wiadomości, danych dostępowych do różnych stron i danych bankowych, ale również zdjęć z kamery przedstawiających dzieci i dorosłych, niekiedy bez odzieży albo w sytuacjach intymnych. Amerykańska Federalna Komicja Handlu zabroniła firmom szpiegostwa, ale afera uszła im na sucho. Podobny przypadek wywołał poruszenie w roku 2010, kiedy nauczyciele z jednego z okręgów w Pensylwanii przez wypożyczone MacBooki potajemnie kontrolowali swoich uczniów w domach. O tym, do czego w czasach cybermobbingu może doprowadzić szpiegowanie za pomocą kamer internetowych, świadczy samobójcza śmierć 18-letniego studenta Tylera Clementi z New Jersey. Jego współlokator kamerą internetową potajemnie sfilmował Clementi w kompromitujących sytuacjach, poinformował o tym na Twitterze i pokazywał film.
Tak ochronicie swoją prywatność na pececie
Największą kontrolę będziemy mieli nad zewnętrznymi kamerami internetowymi na USB: kiedy nie są używane, można je przykryć albo odłączyć od gniazda USB. Tylko to ostatnie wyłącza również wbudowany mikrofon. W notebookach pewne zabezpieczenia sprzętowe są coraz rzadsze. Klawisze funkcyjne wyłączające kamerę internetową oferują znaczną, ale nie stuprocentową ochronę, ponieważ za pomocą oprogramowania teoretycznie kamerę można włączyć ponownie. Jeśli wasza kamera ma diodę informującą o aktywności, miejcie ją na oku: gdy dioda się świeci, a nie działa oprogramowanie kamery, ani nie trwa właśnie czat wideo, oznacza to czerwony alarm. Należy ją wyłączyć i uruchomić procedurę dokładnego wyszukiwania malware’u.
Programy szpiegujące za pomocą kamery to głównie tzw. backdoory. Dlatego w profi laktyce istotną rolę odgrywają te same działania, które zalecane są w przypadku walki z malware’em: należy instalować aplikacje z godnych zaufania źródeł i używać aktualizowanego na bieżąco oprogramowania antywirusowego i antyszpiegowskiego, na przykład Spybot – Search & Destroy (na płycie). Oprócz tego aktywny musi być firewall Windows. Powinniście zezwalać tylko na przekonujące wyjątki.
SMARTFON: pod ciągłą obserwacją
Smartfon pozwala wejrzeć głęboko w sferę prywatną użytkownika. Nie tylko przez kamerę, ale także przez inne wbudowane sensory.
To urządzenie – ponieważ jest ciągle podłączone do Sieci i wyposażone nie tylko w kamerę ale też i różnorodne czujniki – stanowi atrakcyjny cel dla ciekawskich hakerów. Inaczej niż w przypadku stacjonarnego peceta interesujące są tutaj nie tylko pojedyncze kompromitujące sceny, ale także różnorodność informacji, które można zdobyć razem z materiałem zdjęciowym – na przykład gdzie określony obraz został zarejestrowany. Naukowcy zmanipulowali już smartfon w taki sposób, że z dużej liczby wykonanych potajemnie zdjęć stworzyli spójną i zoomowalną panoramę gabinetu, w którym mogli precyzyjnie wyszukiwać wartościowe informacje.
Nie tylko hakerzy, ale już także producenci smartfonów i ich biznesowi partnerzy są żywotnie zainteresowani informacjami, jakich dostarczają wasze telefony. Przykładem jest ad-tracking wprowadzony przez Apple’a w iOS 6. Funkcja działa, opierając się na numerze, który jednoznacznie łączy użytkownika z jego wyposażonym w OS urządzeniem. Gdy odwiedzacie strony internetowe i korzystacie z aplikacji, jest on raportowany do sieciowego serwera, dzięki czemu jego operator otrzymuje dokładne dane o tym, czym się właśnie interesujecie i na jaką reklamę najprawdopodobniej zareagujecie.
Szpiegowanie przez mikrofon telefonu i czujniki
Jeśli ktoś wierzy, że jego smartfon i kamera są chronione przez koncepcję bezpieczeństwa Androida, to się myli. System operacyjny opiera się na dwóch podstawowych fi larach: po pierwsze użytkownik musi przyznać każdej aplikacji szczegółowe uprawnienia, a po drugie Android skrupulatnie separuje aplikacje. W efekcie malware może wysłać dane do Internetu, tylko jeśli ma uprawnienia dostępu do Sieci. Aplikacja proof of concept Soundcomber przechytrza jednak system. Wymaga zaledwie uprawnienia do rejestrowania dźwięku i może się ukrywać jako nieszkodliwe narzędzie do robienia notatek głosowych. Potajemnie nagrywa rozmowy telefoniczne i ekstrahuje z nich wypowiadane albo wprowadzane za pomocą wybierania tonowego numery. Te przesyła do Internetu, uruchamiając przeglądarkę androidową z określonym URL, co nie wymaga uprawnień. URL zawiera podsłuchane numery, które w ten sposób przesyłane są do serwera.
Soundcomber może też przemycać dane przez swego rodzaju martwą skrzynkę kontaktową do drugiej, zainstalowanej równocześnie malware’owej aplikacji. W tym celu program do nagrywania wielokrotnie zmienia na przykład uprawnienia do któregokolwiek pliku. Informacje kodowane są w sekwencji zmian. Druga aplikacja dekoduje je i przesyła je do Sieci. W ten sposób trojany mogą przesyłać również zdjęcia z kamery internetowej. Obok kamery i mikrofonu do szpiegowania was mogą posłużyć także czujniki ruchu smartfonu. Udowadnia to projekt badawczy (sp)iPhone, który wykorzystuje bardzo wrażliwe akcelerometry smartfonu do ustalania, co wpisuje się przy użyciu klawiatury, obok której na stole leży smartfon. Ten ostatni rejestruje wibracje i na podstawie ich kolejności oraz słownika – który jednak z grubsza musi być dostosowany do tematu – rekonstruuje wpisywany tekst. Badacze osiągnęli przy tym skuteczność trafi eń na poziomie 80 proc.
Spacerem przez wasze mieszkanie
Szczególnie niepokojące jest to, co potrafi aplikacja naukowa Place Raider z US Naval Surface Warfare Center: aparat regularnie robi zdjęcia kamerą smartfonu. Przez to, że program działa w tle i podczas wykonywania fotografii na chwilę wycisza dźwięki telefonu (a więc i migawkę), użytkownik nie dowie się o tym, że jest szpiegowany. Aplikacja analizuje zdjęcia jeszcze na urządzeniu, co przy mocy obliczeniowej smartfonu jest możliwe.
Fotografie niedoświetlone i poruszone oraz duplikaty są kasowane. Użyteczne zdjęcia aplikacja wysyła do serwera, który na podstawie takich samych punktów zdjęć łączy wiele przypadkowych fotek w panoramę środowiska, w którym smartfon był używany i noszony. Za pomocą specjalnego programu badacze byli w stanie zbudować panoramę i odczytać informacje z leżącego na biurku czeku, z kalendarza urlopowego wiszącego na ścianie albo z włączonych monitorów komputerowych. To cenne dane na przykład dla osób planujących włamanie lub chcących przechwycić poufne dane przechowywane na biurku.
Co zaradzi szpiegowaniu przez smartfon?
Wprawdzie zaprezentowane tutaj szpiegowskie aplikacje są jeszcze projektami badawczymi, ale wykorzystanie ich potencjału przez pomysłowych hakerów jest tylko kwestią czasu. Podczas gdy użytkownicy iOS-u korzystają z pewnej ochrony oferowanej przez Apple’a, to użytkownicy Androida muszą zadbać o bezpieczeństwo sami. Działanie szpiegowskich aplikacji jest możliwe poprzez nadawanie im uprawnień, które użytkownicy androidowych telefonów często przyznają im zbyt lekkomyślnie. Jeśli program ma dostęp do aparatu i do Sieci, to w każdej chwili możne rejestrować zdjęcia i filmy i wysyłać je do Internetu, dlatego szczególnie ważne jest, aby instalować tylko aplikacje zaufanych producentów i faktycznie sprawdzać przyznawane uprawnienia.
Aby chronić się przed trojanami, powinniście jedynie nielicznym programom z godnych zaufania źródeł pozwalać na dostęp do kamery i Sieci. Najlepiej później ograniczyć uprawnienia (patrz ramka po prawej stronie). Aplikacjom fotograficznym należy zabronić dostępu do Sieci i tym samym uniknąć wszelkiego rodzaju potajemnego przekazywania danych. Edytowane zdjęcia zapisujcie w telefonie i udostępniajcie je przez galerię Androida.
Użytkownicy iOS-u nie są w stanie tak precyzyjnie zarządzać uprawnieniami aplikacji, ale za to mogą polegać na dokładniejszej kontroli programów w App Storze. W Apple App Store dla iOS-u niezwykle trudno jest zamieścić działającego w ukryciu trojana. Aplikacje w iOS-ie, w przeciwieństwie do Androida, mogą pozostać aktywne w tle tylko wtedy, kiedy mają ku temu dobry powód – Apple bardzo dokładnie sprawdza, dlaczego program chciałby działać w tle. W każdym smartfonie warto jednak odinstalować wszystko, czego nie używa się regularnie. Odinstalowana aplikacja nie może wyrządzić żadnych szkód.
SMART TV I INNE: spojrzenie na kanapę
Do relaksu w salonie nie pasuje obserwacja przez kamerę telewizora. Czy zagrożenie jest realne?
Najnowsze telewizory Samsunga klasy wyższej mają wbudowaną kamerę internetową. Dzięki temu nie tylko wygodnie prowadzimy wideorozmowy z całą rodziną, ale także używamy innowacyjnych funkcji, takich jak sterowanie gestami i rozpoznawanie twarzy, aby bez uciążliwego logowania móc korzystać ze spersonalizowanych serwisów sieciowych. Jak w każdym systemie dysponującym kamerą i podłączeniem do Sieci, nie można wykluczyć potajemnego włączenia kamery i transmisji obrazu do serwera w Internecie. Smart TV są na razie dla hakerów trudnym i z powodu znikomej liczby tych telewizorów na rynku mało lukratywnym celem. Chodzi tutaj o zamknięte systemy, które są połączone z Internetem przez ruter sieci domowej i tym samym są nieosiągalne z zewnątrz – mówi Stefan Ortloff, analityk z Kaspersky Labs.
Aby umieścić malware w Smart TV, hakerzy musieliby opracować zainfekowaną aplikację, którą użytkownik dobrowolnie zainstalowałby ze sklepu operatora Smart TV. Albo musieliby zainfekować telewizor przez zmanipulowaną stronę w Internecie, którą użytkownik otworzyłby na telewizorze. Ze względu na zróżnicowanie systemów i przeglądarek jest to trudne. Jednak David Petraeus, będący do listopada szefem CIA, już zapowiedział, że władze skorzystają ze wszystkich możliwości, aby precyzyjnie dobrać się do Smart TV i innych urządzeń osób podejrzanych.
Tak zablokujecie szpiegów w salonie
Aby dokładnie sprawdzić, które urządzenie z którym serwerem się komunikuje, zarejestrujcie transfer danych i przeanalizujcie go. W tym celu wyłączcie wszystkie urządzenia sieciowe oprócz swojego peceta i badanego sprzętu. W ruterze wybierzcie potem interfejs, z którym połączone jest urządzenie docelowe, i włączcie logowanie ruchu. Naciśnijcie przycisk Start i podajcie miejsce zapisu na swoim komputerze. Jeżeli wasz ruter nie potrafi zapisać pliku “log.txt”, to warto wgrać do niego alternatywny firmware. Przykładowo firmware Gargoyle (http://www.gargoyle- router.com/) czy dd-wrt.com nie dość, że dodadzą nowych funkcji do naszych ruterów, to pozwolą na łatwe zapisywanie pliku dziennika.
Otwórzcie utworzony plik za pomocą narzędzia Wireshark z płyty DVD. Posortujcie listę pakietów według »Source«. Potem przewińcie do części, w której w »Source« znajduje się adres IP waszego telewizora. W »Destinations« zobaczycie serwer, z którym komunikuje się telewizor. Zapytanie w Sieci pod adresem http://en.utrace.de/ ujawni, kto jest operatorem serwera i gdzie tenże stoi. Jeśli dostrzeżecie coś niepokojącego, odinstalujcie program, który przypuszczalnie generuje podejrzany ruch – na przykład zainstalowaną niedawno nową aplikację. Aby zablokować całą komunikację z wątpliwym serwerem, wpiszcie jego URL, na przykład “przyklad.com”, albo jego adres IP na czarną listę rutera.