ベッドで見つかったバックドア
(trufflesecurity.com)- インターネット接続とアプリに依存する Eight Sleep の温度調節ベッドで、リモートSSHアクセスの痕跡とAWSキーが見つかり、スマートベッドがセキュリティ・プライバシー・信頼性のリスクを同時に抱えていることが示された
- ファームウェアは更新URLに
deviceIdの値だけを入れれば取得でき、production.jsonにはremote-connectivity-api.8slp.netのようなリモートホストにつながる SSH設定 が含まれていた - デバイスに登録された公開鍵に紐づくメールアドレスから、Eight Sleepのエンジニアリングチームが顧客のベッド内にあるLinuxベースのコンピュータへアクセスできるのではないかという懸念が生じた
- 露出していた AWSキー にはKinesisへの書き込み権限があるように見え、悪用された場合は毎秒5,000件の
PUTリクエストにより月10万ドル規模のコストを発生させうると試算された - Eight Sleepカバーのチューブを 150ドルの水槽用チラー につなぐ物理的な代替手段は、アプリ・サブスクリプション・インターネット接続なしで同様の温度調節を提供する
Eight Sleepベッドが抱える基本的な制約
- Eight Sleepはベッドの温度を温めたり冷やしたりできる製品で、不眠に悩むユーザーにとって魅力的な機能を提供する
- 実際に製品を使うには、価格面と接続性の制約を受け入れる必要がある
- ベッドの価格は 2,000ドル
- インターネットが切れると動作しない
- 基本機能の一部は月 19ドルのサブスクリプション の先にある
- 操作手段はモバイルアプリのみ
- 温度調節そのものは有用だったが、ファームウェアを確認した後、より単純でインターネット依存の少ない代替手段を探すことになった
ファームウェアのダウンロードとリモートSSHの痕跡
- Eight Sleepのファームウェアは更新URL経由でダウンロードできた
https://update-api.8slp.net/v1/updates/…{anynumber}の箇所には任意の数字を入れればよかった
- ファームウェア内部には、リモートSSHアクセスを思わせる設定があった
- SSHが
remote-connectivity-api.8slp.netのような リモートホスト に公開されている痕跡がある - 通常SSHはローカルネットワークからのみアクセス可能であるべきだが、
production.jsonの変数はリモートアクセスが開かれている形に見えた
- SSHが
- デバイスにはアクセスを許可する 公開鍵 が登録されていた
- 公開鍵に付いていたメールアドレスは、エンジニアリングチーム全体が秘密鍵にアクセスできる可能性を示唆していた
- この推測が正しければ、Eight Sleepのエンジニアリングチームは顧客のベッド内にあるLinuxベースのコンピュータを制御できる
リモートアクセスがもたらしうる影響
- ベッドは睡眠関連データを通じて、ユーザーの生活パターンを把握できる
- いつ寝ているかが分かる
- ベッドに1人ではなく2人が寝ているかを検知できる
- 夜なのにベッドに誰もいないことが分かる
- リモートアクセスが可能なら、正規の制御機能も外部から操作対象になりうる
- 温度変更
- 振動機能のオン
- アラームの停止
- ベッドがホームネットワークに接続されていれば、他の機器へのアクセス問題に発展する可能性がある
- スマート冷蔵庫、スマートコンロ、スマート洗濯機、ノートPCなどが同じネットワーク上にあるかもしれない
- ベッドを経由してルーティング可能な機器のセキュリティが、Eight Sleepのエンジニアに委ねられる形になる
- ユーザーはこうしたアクセスがいつ行われたのか確認するための ログや通知 を受け取れない
- すべての顧客デバイスに対してエンジニアが任意のSSHアクセスを持つ方式は、セキュリティのベストプラクティスからかけ離れている
AWSキーとKinesisのコストリスク
- ファームウェアで見つかった AWSキー は、データをAmazonへストリーミングするために使われていたようだ
- キーの正確なポリシーは確認できなかった
- 通報直後にEight Sleepがそのキーを失効させたためだ
- 周辺の文脈から、Kinesisへの 書き込み権限 があったことは確認できる
- 攻撃者がこのキーを使っていれば、Kinesisに毎秒5,000件の
PUTリクエストを送れた可能性がある - この場合、Eight Sleepには月 100,000ドル 規模のAWSコストが発生しうる
水槽用チラーで作る代替手段
- Eight Sleepカバーのゴムチューブを外して 150ドルの水槽用チラー につなげば、同様の温度調節機能を得られる
- 必要な作業は単純だ
- eBayでEight Sleepカバーを数百ドルで入手できる
- チューブを固定している結束バンドを切る
- カバーのチューブを水槽用チラーに接続する
- 約30秒で終わる、元に戻せる非破壊作業だ
- 水槽用チラーは名称に反して、冷却だけでなく加熱もできる
- ペルチェ素子を使って流れる液体の温度を調節する
- Eight Sleepと同種の技術を使っている
- この方式は、アプリ、サブスクリプション、インターネット接続、バックドア、セキュリティ責任なしでベッドの温度調節を提供する
- Eight Sleepのインターネット接続を取り除く別のプロジェクトとして Free Sleep project があるが、水槽用チラーの物理ボタン方式のほうがより単純な選択肢だ
ビジネスモデルと長期的な信頼性
- Eight Sleepはベンチャー資金 1億1,000万ドル を調達し、年間売上が 3億ドル を超える企業だ
- 製品にはサブスクリプションモデルが組み込まれており、親会社のサーバーが停止すれば、いずれ動かなくなるインターネット接続機器の一つに数えられる
- 単純な水槽用チラー方式は、サーバー依存性とリモートアクセスの問題を減らした温度調節の代替手段になる
1件のコメント
Hacker Newsのコメント
屋内ガーデンシステムを買って、不具合があると思ってカスタマーサポートに連絡したところ、サポート側が確認した結果、問題はなく慣らし時間が必要だと言われた。
ところがその過程で、カメラを確認したと言われた。
後で中古でもう1台買って掃除していたら、中身はただのRaspberry Piで、micro HDMIとキーボードを挿してみると、Raspberry Pi OSがそのまま動いていた。
アップデートもなく、VNCも有効になっていて、会社の人たちが自分のデバイスにリモート接続してカメラ映像を見たり、自分のネットワーク上で何かをしたりできる構造だった。セキュリティ上の悪夢だ。
できれば有線ネットワーク内だけで使い、ファイアウォールでインターネットアクセスを遮断する。
こういう理由でZigbeeデバイスが好きで、Matterや「どこにでもIP」という流れはあまり歓迎できない。
どんな機能があるのかも分からないし、中にはカメラまで付いているものもあった。
足りないのはマイクだけだが、Alexaにつながる製品もあるので、その願いまで既にかなったようなものだ。
「Alexa、寝室でこぼしたものを拭いて。」
「申し訳ありませんが、それにはディープクリーニングが必要です。2枚目のクレジットカードに残り枠がありますので、火曜日のお出かけ時間に合わせてディープクリーニングサービスを注文しました。」
人生の大半で不眠症に悩まされてきたので、「不眠症の人には試してみる価値がありそうだった」という言葉に共感する。
自分に大きく効いたのは、赤ちゃんを寝かしつけるときによく使うシンプルなホワイトノイズ機だった。
利点はとてもよく眠れること、そしてインターネットに接続されず、アプリも不要なこと。
欠点は、今ではその機器なしではほとんど眠れないので旅行やキャンプにも持って行かなければならず、故障に備えて予備まで買ったことだ。
もう一つ大きく改善したのは、夜中に自分を起こしていた心配事は誇張されていて、人生はかなり悪くないのだと受け入れようと努めたことだった。実際に努力は必要だったが、効果はあった。
睡眠で苦しんでいる誰かの役に立てばと思って残しておく。
https://www.amazon.com/Yogasleep-Portable-Soothing-Rechargea...
設定 -> アクセシビリティ -> オーディオ/ビジュアル -> バックグラウンドサウンドで使え、各サウンドは一度ずつダウンロードする必要があるが、その後はデバイスに残る。
毎回設定の奥深くまで入るのは不便なので、コントロールセンターに「バックグラウンドサウンド」のようなコントロールを追加して、海の音をオン・オフするのがよい。
夜中に目が覚めないよう追加の対策をしたいときは、iPadでオンにして寝ている。
スマホを置くテーブル兼充電ポイントとしても使える。
ホワイトノイズなしでは眠れず、犬アレルギーもあったが、今ではどちらも解決した。
身体感覚が精神状態につながったと信じているが、証明はできない。
ほとんどの診断は逆に、精神状態が落ち着かなさ、歯を食いしばること、胃が沈むような感覚といった身体症状を生むと仮定する。
治りにくい坐骨神経痛のような圧迫神経に悩む人は、あり得る身体的原因も考えてみる価値がある。
自分の場合は骨粗しょう症で脊椎が潰れ、S1-L5-L4腰椎固定術で解決した。
手術と回復は非常に大変だったが、今では死体のようによく眠れることが多く、とても良い。個人差はあるかもしれない。
片耳の耳鳴りの方がひどいので、左右を別々に調整できるのが役に立つ。
年を取って難聴が進めば、技術に頼る必要は減るかもしれない。
家では電源につないでファンで音を出すシンプルな製品を使っていて、だいたいこんな見た目: https://res.cloudinary.com/guest-supply/image/upload/f_auto,...
旅行のときは充電式の小型ポータブル製品を持っていく: https://www.amazon.com/Machine-Babelio-Adults-Non-looping-So...
Androidなので、iOSのような内蔵サウンドはない。
「バックドアと言うとき、私が何を指しているのか？ もちろん Eight Sleep には、アップデートを配信し、サービスとサポートを提供する手段が必要だ。それは予想できることだ。
だが、Eight Sleep の全エンジニアが顧客のベッドにリモートで SSH 接続し、正式なコードレビュー手順をすべて迂回して任意のコードを実行できるようにするのは一線を越えている。
そして実際にそうしたことが起きている証拠を見つけた。」
これは本当にとんでもない話だ
Memfault というハードウェア企業向けのオブザーバビリティ SaaS 企業を運営しているが、リモートアクセスソリューションを提供できないかと何度も聞かれる
競合の中には実際に提供しているところも多い
だが私たちは、これは (a) 巨大なセキュリティ上の責任であり、(b) あまりにも悪用されやすいと見ている
根本的に消費者は気にしないので、それが変わるまでは、組み込み Linux デバイスのかなりの数にこうしたバックドアがあると思ってよい
製品のセキュリティ状態そのものは予想外ではなかったが、次の部分には衝撃を受けた
「私は次のことを受け入れるつもりだった。ベッドの価格は2,000ドル、インターネットが切れると動作しない、基本機能が月19ドルの追加サブスクの後ろにある、ベッドの操作はモバイルアプリでしかできない」
このベッドのどの機能も外部サーバーに依存すべきではないし、どの機能もサブスク料金を必要とすべきではない
市場がレントシーキング型のテック産業にノーを突きつけるにはあまりにも愚かに見えて悲しい
概念自体がばかげているが、売れるなら売れるのだろう
たとえばベッドを買ったあと、工場出荷時のボードを事前にプログラムされた ESP32 ロジックボードに交換するような形だ
彼らが愚かだとは思わない
この階層の米国人はもともと、実用的に自分でやるより継続サービスに金を払って任せる側だった
「バングラデシュの支援要員に接続性とモバイルアプリのアップデートをいじらせておいて、自分はただ頭を横たえて大金を稼げばいい」と無意識に考えている可能性が高い
最近のテック企業は、良い振る舞いへの配慮なしに創業されているように見える
顧客を尊重する最低限であるカスタマーサポートすらまともにしない
IoT 業界はずっと問題を抱えてきたし、導入者は繰り返し痛い目に遭っているので、長期的には市場の自業自得だが、こっそり覗き見して監視する行為は年々巧妙になっている
未来のテクノロジーでは深刻な問題だ。こんな会社のサイバネティクスや生命維持製品を誰が使うのか
Medtronic のような医療機器会社に適用される厳格さが適用される可能性はあるが、その規制が情報セキュリティとプライバシー保護まで含むのかは確かではない
私たちは明らかに権威主義が強まる時代にいる。中国は習近平の下ではるかに権威主義的になり、欧州では右翼ファシストが台頭し、極端な党派性は、現在の進路のままなら次の選挙が行われるという前提でさえ、循環的な権威主義につながる
ロシアは勢力圏を広げ、世界中の民主制度を揺さぶろうとしている
弱体化したプライバシー保護とデータ収集は、権威主義国家が全面的な情報認識を備えるための道具であり、機能する AI の台頭によってはるかに悪化する
人類の未来は暗く、フィルターが近づいている感じがする
「結局、サイバー面の気持ち悪さが十分に大きくなったので、温度調整ベッドへの要求には、もっと単純でインターネット接続の少ない解決策を探すことにした」という文がよかった
そして次の含意に気づいて、目が飛び出しそうになった
「彼らはあなたがいつ寝ているかを知ることができる。ベッドに1人ではなく2人が寝ているかを検知できる。夜なのにベッドに誰もいないことも分かる。」
より現実的な問いは、消費者向けメディアの中に製品のセキュリティレビューをするところがあるのか、ということだ
Consumer Reports のようなところが、その製品がセキュリティ上の悪夢かどうかを公開すべきではないかと思う
結局こうした内容を広く知らせ、ソーシャルメディアが消費者に広める必要があるが、雑誌型メディアがその責任の一部を担えるように思う
潜在購入者とセキュリティを気にする人の交集が存在しないので、広告収益はきっかり0だろう
好奇心が強く倫理観の薄い従業員たちが、とりわけ「活発な」または「興味深い」ユーザーにあだ名を付け、好んで見る対象に賭け、誰が誰と寝ているかを結びつけ始めるかもしれない
もっと真面目に言えば、これはユーザーの習慣を学習し、他社に売ったり新事業に活用したりするためのデータ収集装置だ
明確で明示的な同意なしにデータを送り返すものはすべて、ユーザーを助けるために送っているのではない
https://www.technologyreview.com/2024/02/27/1088154/wifi-sen...
CEOがMuskの信奉者みたいだという部分が気に入った
ツイートの文言まで似ていて、「サンフランシスコの一部はよく眠れなかった。われわれが直さなければならない」みたいな感じ
でも最近は、むしろその程度が恋しいくらい
彼は人々が眠る場所にバックドアを入れているようなものだし、そのデータには間違いなく市場があるはず
月20ドルのベッドサブスクは客観的に笑える
この会社がゼロではない数の顧客をどうやって引き寄せているのか想像しにくい
睡眠の質がどれほど重要か、この製品がどれほど役に立ち得るかに気づくと、月20ドルのベッドサブスクは笑えるほど小さな出費になる
良い硬めのマットレスは高い
でもインターネット接続や温度調節にはまったく興味がないし、サブスクはなおさら嫌だ
これは、人々が人生のあらゆる問題をテクノロジーが解決してくれると期待して、どれほど無邪気で依存的になっているかを示していて笑える
市場は食い荒らしやすい状態で開いているのに、誰もEightSleepとまともに競争しようとしてこなかった
EightSleepは非常に洗練されていて、競合製品は悪い意味で90年代の製品みたいだ。HydroSnoozeにはリモコンすらない
金とキャビアでできたベッドなのか？この記事は紛らわしい
要点は「何もせず、体に何かを入れなくても睡眠を改善してくれるものに、ベッド込みで5年償却として月約70ドル、何を差し出せるか」だ
代替案には睡眠薬、睡眠検査、ベンゾジアゼピン、サプリ、減量、運動、睡眠衛生ルーティンなどがある。自分も試したことがあるか今もやっていて、効果はあるが、全部手間になる
睡眠は自分が食べるものより健康に重要だ。こういう人たちはいるし、同僚や友人の中にも疲れた様子で動き回っている人を見たことがあるはず
Bryan Johnsonが話しているのを見て調べたが、価格・アプリ・サブスクはばかげて見えたし、ここでみんなが言っていることも理解できる。正しい
でも無料体験ポリシーがあり、好奇心が勝った。今まで5〜6カ月の間、驚くほど良かった
アプリなしで温度を変える偽のボタン/領域をベッドに貼り付けられる
記事で言及されていたアプリも100%動作し、速い。家にいるときはLANで動いているように感じるほど速い
比較すると、32億ドルのNestアプリは信頼性も速度も劣る。座っている部屋の温度を変える前にGoogle認証と接続を待つせいで、人生のうち何日をすでに失ったか考えてみればいい
これで、なぜ売れるのか説明になるはず
ちなみに今はベッドが2,000ドルではなく3,000ドルで、売上税が付く。5年償却なら3,000ドル + 240ドル * 5 = 4,200ドルで、それを60カ月で割ればいい
このスレッドには、製品を確認していない人たちの誤解が多い。実際にはベッドでもなく、既存のマットレスの上に載せる液冷カバーだ
いびきをかいたときに持ち上げてくれる電動マットレスが欲しければ、さらに数千ドルかかる
妻はBedJetを使っていて、リモコンとアプリがどちらもあり、幸いアクティブなインターネット接続なしでも動作する
空気を送り込むポケットのようなシーツを使って温度を調節する方式
更年期でほてりと悪寒を経験する女性にとって、この調節機能は正気を保たせてくれるレベル
一部の女性は閉経前後をそれほどつらく感じないが、ホルモンを大きく揺さぶる過程だ
閉経前後を経験している女性のパートナーなら、彼女たちが経験していることを話すとき信じるべき
これが人をどれほど壊し得るか分かっていないパートナーは多く、可能な限りの共感を受けるに値する
ただしアプリは完全に粗雑で古くさい感じで、自分のものにはリモコンがなかった
HomeAssistantを使っていて、より良い制御が必要なら、余っているESP32にESPHomeのBedJet統合を載せればいい: https://esphome.io/components/climate/bedjet.html
BedJet内部のESP32と通信するために外部ESP32が必要だという点は、少し皮肉だ
ほてりが続いている
BedJetは本当にそれほど良いのか、奥さんがためらわず勧めるか知りたい
そのほかに奥さんの役に立った製品があるかも知りたい
私的な質問なら申し訳ないが、Saraの睡眠を改善できるなら人生が変わるほどのことだ
ホルモン変動のせいで脱毛、重い不眠、気分の変化が起き、生活の質が大きく落ちている
見ているのがつらいし、直せる魔法のような方法もなく、妻が何か「間違った」ことをしていて変えるべきというわけでもない
「Eight Sleepは人々のベッドデータを収穫し、ときどきあなたが眠っているのを見ているとツイートする」という部分と、2023年11月にCEOがサンフランシスコの睡眠データを公開ツイートしたスクリーンショットだけでも、この会社を使わない理由として十分
本当に不気味
Casperの黒いバージョンを作ったこと以外に、なぜよくテック企業に分類されるのか分からない
Elonとの強いつながりのせいかもしれない
メール更新に登録していたので覚えている
それでも結局登録しなくてよかったし、記憶では筆者が「見送った」と言っていたのと同じ問題のせいで気持ちが離れた
ベッドのサブスクだなんて、ふざけるなと言いたい
他の競合製品は中核製品がずっとひどいので、残念ながらEightSleepのばかげた行為を受け入れなければならない
まったく別の話ですが、どんな会社であれ政府に商品やサービスを無料で提供するのは違法なので、PodのCEOがDOGEの職員にベッド型Podを送れば、法律違反ということになります
基本的に賄賂と見なされますし、実際そうだと思います
ベッド1台2,000ドルですが、少額の寄付で規制上の好意的な扱いを得るコストとしてはかなり安いです
そして根拠が必要です。ざっとGoogleで調べたところ、政府機関が書面で確認すれば違法ではないようです