כשלי אבטחה בשמירת נתונים משעוני כושר

This post is also available in: English (אנגלית)

חוקרים איתרו כשלי אבטחה חמורים בשעוני כושר, דבר שעלול לחשוף את הנתונים לגורמים לא רצויים. רבים משעוני הכושר מודדים את מס' הקילומטרים שעובר המשתמש במהלך ריצה באמצעות GPS, מודדים את קצב הלב והדופק או בודקים אם המשתמש ישן. "ביותר ויותר מקרים נעשה שימוש בנתונים אלה על ידי צד שלישי מעבר למטרה המקורית של המכשיר", ציין פרופ' אחמד רזה סדקי ממרכז אבטחת הסייבר באוניברסיטה הטכנית של דרמשטאדט, גרמניה.

הנתונים הנאספים על ידי שעוני הכושר כבר שימשו כהוכחה בבתי משפט בארה"ב, והמשטרה ועורכי הדין כבר החלו להכיר במכשירים לבישים בתור "הקופסא השחורה" של גוף האדם.

לאחרונה החלו כמה חברות ביטוח בארה"ב להציע הנחות למבוטחים, שימסרו נתונים אישיים משעוני הכושר שלהם. הדבר עלול להביא למעשי מרמה על ידי עבריינים שישתמשו בנתונים על מנת להשיג רווחים כספיים או אף להשפיע על תוצאות משפט, מזהיר סדקי. על כן חשוב ששידור, עיבוד ואחסון המידע האישי הרגיש יתבצעו לפי תקני אבטחה מחמירים.

אתר האוניברסיטה מדווח כי המחקר, בשיתוף אוניברסיטת פדואה באיטליה, יצר מניפולציה של הנתונים בדרכם לשרת הענן ובחן את האבטחה של פרוטוקולי התקשורת.

למרות שכל המערכות מבוססות-הענן משתמשות בפרוטוקול מוצפן כגון HTTPS להעברת נתונים, החוקרים הצליחו לזייף את הנתונים בכל המקרים. מתוך 17 שעוני כושר שונים שנבדקו, רק מכשירים של ארבעה יצרנים נקטו באמצעים כלשהם להגן על הנתונים, להבטיח שהנתונים לא ישונו. "אמצעים אלה לא יצליחו לעצור תוקף נחוש. ניתן לבצע מניפולציות בנתונים גם בעזרת ידע מועט ב-IT", מזהיר סדקי, לאור העובדה שאף אחד מהמכשירים לא עושה שימוש בהצפנה קצה לקצה או כל אמצעי הגנה יעיל אחר במהלך סנכרון הנתונים.

חמישה מהמכשירים שנבדקו לא סיפקו אפשרות סנכרון, אולם יצרנים אלה אחסנו את הנתונים על הסמרטפון בטקסט פשוט, בלתי מוצפן, וניתן לקריאה על ידי כל אחד. במקרה שהסמרטפון נגנב או נפגע על ידי תוכנה זדונית יש סכנה שהנתונים ידלפו.