बच्चों की स्मार्ट घड़ियों के रूप में सुरक्षा का भ्रम कैसे खरीदें

यह कहानी है कि कैसे मैं अपने बच्चे के जीवन को नई तकनीकों की मदद से थोड़ा सुरक्षित बनाना चाहता था और इसके बारे में क्या आया। हालांकि शीर्षक, मुझे लगता है, आप पहले से ही अनुमान लगा चुके हैं कि क्या चर्चा की जाएगी।

1 सितंबर आ रहा था, और मैं, भविष्य के पहले-ग्रेडर के पिता के रूप में, सोच रहा था कि स्कूल में मेरे बच्चे के पहले दिनों को कैसे संभव हो, उसके लिए और मेरी पत्नी और मैं के लिए शांति से चलें।

मुझे लगता है कि ऐसा कोई व्यक्ति नहीं है जिसने बच्चों की स्मार्ट घड़ी के रूप में इस तरह के नए गैजेट के बारे में नहीं सुना है। आमतौर पर चीन में बने कई उपकरण विकल्पों के साथ बाजार में बाढ़ आ गई है। इन उपकरणों की कीमतें और कार्यक्षमता अलग-अलग होती है, लेकिन उनमें से सर्वश्रेष्ठ में फोन, जीपीएस ट्रैकर, इंस्टेंट मैसेंजर, कैमरा, पेडोमीटर, और निश्चित रूप से घड़ी के रूप में कार्यों की एक विस्तृत श्रृंखला शामिल है। निर्माताओं के अनुसार, इस गैजेट को विशेष रूप से बच्चों के लिए डिज़ाइन किया गया है और इसमें बाल सुरक्षा विशेषताएं शामिल हैं। इसलिए मैंने सोचा, इसलिए मैंने इंटरनेट पर उचित विकल्प चुनना शुरू किया। नतीजतन, मैंने Elari से एक FixiTime 3 घड़ी खरीदी ।

इस घड़ी की कार्यक्षमता प्रभावशाली थी:

• जीपीएस / एलबीएस / वाई-फाई ट्रैकिंग
• 2 कैमरे, कनेक्टेड स्मार्टफोन से वॉच कैमरा का उपयोग
• इनकमिंग और आउटगोइंग वॉयस कॉल के लिए समर्थन, जिसमें छिपा हुआ है
• वॉइस चैट
• pedometer
• ठीक है, अंदर Fixies, जैसा कि उनके बिना

घड़ी का यह सब समृद्ध सेट माता-पिता को आश्वस्त करता है कि उन्हें मिलता है, अगर पूरा नहीं होता है, तो अपने बच्चे पर पर्याप्त नियंत्रण रखें। लेकिन, दूसरी ओर, ऐसी कार्यक्षमता वाले उपकरणों को मज़बूती से अपने उपयोगकर्ताओं के डेटा की सुरक्षा करनी चाहिए। इसके अलावा, ऐसे उपयोगकर्ता बच्चे हैं। यह कल्पना करना डरावना है कि क्या हो सकता है यदि कोई हमलावर किसी बच्चे के उपकरण तक पहुंच प्राप्त करता है और उसकी निगरानी कर सकता है।

इस तरह के विचारों से परेशान होकर, मैंने यह जांचने का फैसला किया कि मैंने खरीदी गई घड़ियों का उपयोग करना कितना सुरक्षित है।

जब मैंने Apple स्टोर से Elari SafeFamily एप्लिकेशन इंस्टॉल किया और QR कोड के माध्यम से घड़ी को इसमें जोड़ा, तो मैंने अपने लैपटॉप पर Fiddler लॉन्च किया और ट्रैफ़िक का विश्लेषण करना शुरू कर दिया। एप्लिकेशन ने सर्वर http://wherecom.com को डेटा भेजा। पहली चीज़ जो मैंने देखी थी कि सामान्य HTTP प्रोटोकॉल का उपयोग किया गया था, कोई ट्रैफ़िक एन्क्रिप्शन नहीं था, न ही HTTPS और न ही SSL पिनिंग । एक चौंकाने वाला विचार मेरे अंदर था कि मामला वहीं खत्म नहीं होगा।

और इसलिए यह निकला। अनुरोधों का विश्लेषण करने और उनमें मापदंडों को प्रतिस्थापित करने के लिए, मैंने पहली भेद्यता की खोज की। इसलिए, अनुरोध करें

http://api.wherecom.com:8099/umeox/api/holder/detail.json?holderId=111111&monitorId=222222 

: , , , , , , , — QR . , , . , monitorId , .

, , .

, , , GPS , (, , ). QR . , QR , , . , .

, , API , .

, , , , , . Elari, , Wherecom.

, , phpMyAdmin, phpinfo.

. , , . , , ? , . , , , .

, , Wherecom technology limited. , , Science & Technology Development Institute of China. , , , , . , , , . , .

, . Elari. , , .

Wherecom, . Facebook Wherecom, -, Linkedin Wherecom. , , , .

. API. , - , .

, , , HTTPS SSL Pinning . , . , . . .

Upd. 04.09.2018
HTTPS, SSL Pinning .