歡迎來到 黑吧安全網 聚焦網絡安全前沿資訊,精華內容,交流技術心得!

相關漏洞現已修補:Orvibo智能家居設備泄露用戶信息

來源:本站整理 作者:佚名 時間:2019-07-03 TAG: 我要投稿

從Orvibo方面了解到,此次涉及到信息泄露的安全漏洞現已修復,并提高了對用戶信息的保護等級,同時他們也希望和專業信息安全研究團隊打成合作,一同保護物聯網安全。
同時,vpnMentor的安全研究團隊在博客中也進行了更新,已確認問題已修復。
下圖為Orvibo方面的公告(英文)

概述
近日,vpnMentor的研究團隊發現Orvibo的用戶數據庫發生了數據泄露。由Noam Rotem和Ran Locar領導的網絡安全研究團隊發現了一個與Orvibo智能家居產品相關的開放式數據庫。該數據庫中包含超過20億條日志,記錄了包括用戶名、電子郵件地址、密碼、精確定位在內的所有內容。只要數據庫保持打開狀態,每天可用的數據量就會不斷增加。Orvibo聲稱他們擁有大約一百萬名用戶,其中包括使用Orvibo智能家居設備的家庭、酒店和商業環境。該數據庫的泄露,構成了對用戶隱私和安全的巨大威脅,具有深遠的影響。數據泄露事件將影響來自世界各地的用戶,我們在日志中看到了來自中國、日本、泰國、美國、英國、墨西哥、法國、澳大利亞和巴西的用戶。我們預計,在超過20億的日志中,還有更多的用戶。我們首先在6月16日通過電子郵件的方式嘗試與Orvibo取得聯系,后續的幾天中沒有收到回復,與此同時,我們還在Twitter上發布推文,提醒他們注意數據泄露的行為。然而,該企業仍然沒有任何回應,同時也沒有關閉數據泄露源。
泄密數據庫中的具體內容
Orvibo服務器提供的數據量非常巨大,并且內容也非常具體,直接體現了該智能家居設備收集到的其用戶的數據。根據該公司的宣傳,有超過100萬用戶在家庭和企業中安裝了Orvibo產品。這家總部位于深圳的公司生產100種不同型號的智能家居或智能自動化產品。在此次數據泄露中,包括如下數據:
1、電子郵件地址
2、密碼
3、帳戶重置代碼
4、精確的地理定位
5、IP地址
6、用戶名
7、用戶ID
8、家庭名稱
9、家庭ID
10、智能設備信息
11、訪問帳戶的設備類型
12、日程信息

在第一個示例中,我們可以看到Orvibo正在收集有關其用戶的大量數據。在具體場景中,并非是所有數據點都被記錄下來。但是,我們還在其他場景中發現了具體的地理數據、家庭名稱、用戶名、密碼以及允許帳戶接管的重置代碼。


這些數據日志用于同一個帳戶,我們可以使用匹配的電子郵件地址和用戶ID來進行驗證。在最一開始,我們只擁有電子郵件地址、IP地址和重置代碼。通過在數據中訪問此代碼,攻擊者就可以輕松禁止用戶登錄其擁有的帳戶,在無需登錄其電子郵箱的情況下就可以重置密碼。該代碼適用于希望重置其電子郵件地址或密碼的用戶,這意味著一個惡意攻擊者可以通過首先更改密碼,然后再更改電子郵件地址的方式,來永久鎖定用戶的帳戶。Orvibo確實在密碼安全性方面做出了一些努力,比如他們使用了MD5對密碼進行哈希處理。


上面的示例中僅體現了我們所擁有的地理位置數據中一小部分樣本。Orvibo會記錄精確的經緯度坐標(即數據中的latotide)。坐標的精度可以將我們引導到用戶的確切地址,這也表明其產品自身將會對用戶位置進行跟蹤,而不是根據IP地址來確定位置。

在某位墨西哥用戶的數據中,會準確顯示出用戶在記錄數據時連接到了哪個設備。根據Orvibo官方網站上面的描述,HomeMate是一個完整的智能家居系統,它使用全系列產品連接用戶的整個家庭。其數據的數量也表明攻擊者利用此漏洞時用戶的易受攻擊程度。

智能鏡子是Orvibo的產品之一,該鏡子能夠顯示天氣和時間計劃。我們發現了一個日志,記錄用戶使用自定義名稱創建的時間計劃。“Winter week AM”說明了有關用戶日歷的準確信息。

這里展現的是一個數據日志,其中包含與單個帳戶相關聯的大量設備。我們可以清晰地看出,該用戶擁有一臺Orvibo智能相機。此外,還有一個設備被命名為“massage room”(按摩室)。盡管并非所有設備名稱都能告訴我們設備的位置,但如果攻擊者希望,設備名稱可能會幫助非法人員查明設備的具體位置,以方便攻擊者后續發動攻擊。并且,“massage room”這個名稱也可能表明這些數據是來源于某個企業。

[1] [2]  下一頁

【聲明】:黑吧安全網(http://www.zjtpzs.live)登載此文出于傳遞更多信息之目的,并不代表本站贊同其觀點和對其真實性負責,僅適于網絡安全技術愛好者學習研究使用,學習中請遵循國家相關法律法規。如有問題請聯系我們,聯系郵箱[email protected],我們會在最短的時間內進行處理。
  • 最新更新
    • 相關閱讀
      • 本類熱門
        • 最近下載
        神秘东方电子游艺 好卷赚钱模式 做展览赚钱吗 微博大胃王靠什么赚钱 圣魔之光石赚钱方法 dnf那些卖辅助的赚钱吗 网上编织店赚钱吗 中国古今最会赚钱的是谁 犹太赚钱故事 苹果赚钱软件是什么软件下载 师门不赚钱 拍完了戏怎样赚钱 网页游戏能否赚钱 109单开赚钱任务 剑网三转服赚钱 如今免费的代理赚钱好 抖音刷视频赚钱教程