This post is also available in:
English (אנגלית)
מצלמות רשת, מיקרופונים, מסכים ואביזרי מחשב אחרים נראים לעיתים כמו ציוד היקפי פשוט, אך רבים מהם הם למעשה מחשבים קטנים בפני עצמם, הכוללים מעבד, זיכרון וקושחה משלהם. עובדה זו יוצרת בעיית אבטחה שלעיתים אינה זוכה לתשומת לב מספקת: השתלטות על התוכנה שפועלת בתוך האביזר עלולה להעניק לתוקף יכולות שמנגנוני ההגנה הרגילים של מערכת ההפעלה כלל לא תוכננו להתמודד איתן.
חוקר האבטחה צ'אז שלארפ בחן את הבעיה באמצעות הבינה המלאכותית קלוד של חברת אנתרופיק, שבה נעזר לצורך הנדסה לאחור של מספר מכשירים שהיו על שולחנו. מה שהתחיל כניסיון להסיר התראות חוזרות על "ניקוי פיקסלים" ממסך מתוצרת אסוס התרחב לניסוי שכלל מצלמות רשת, מיקרופונים, חומרה ללכידת וידאו ותאורה חכמה.
הקושחה של המסך נותחה באמצעות הנדסה לאחור לאחר 13 הנחיות וכ־1.2 שעות של עבודה בסיוע בינה מלאכותית. החוקר זיהה מנגנון קושחה כפול ובדיקת סיכום ביקורת, אך דיווח כי קיימות מעט מאוד הגנות שמונעות כתיבה של תוכנה שעברה שינוי אל המכשיר.
ממצאים מדאיגים יותר התגלו במצלמת רשת מתוצרת אינסטה־360. הניתוח חשף פקודת יו־אס־בי נגישה שאפשרה קריאה וכתיבה שרירותיות של קבצים. החוקר פיתח קושחה ששונתה כך שתבטל את נורית החיווי הירוקה בזמן צילום, כלומר המצלמה הייתה יכולה לפעול מבלי לספק למשתמש את האזהרה החזותית הרגילה.
על פי דיווח של Cyber News, גם המיקרופון מתוצרת שור חשף בעיה נוספת. ממשק היו־אס־בי שלו אפשר גישה לעשרות פקודות באמצעות טכנולוגיית ווב־היד, בהן גישה לזיכרון ושליטה בנורות החיווי. בניסוי התברר כי ניתן לשנות את התנהגות ההשתקה של המיקרופון, בעוד שנורית החיווי ממשיכה לגרום למשתמש לחשוב שההקלטה מושבתת.
גם במכשירים נוספים נמצאו חולשות דומות. ניתוח בסיוע בינה מלאכותית אפשר ליצור כלי לעדכון קושחה עבור התקן לכידת וידאו מתוצרת אלגאטו. במנורת התאורה החכמה של אותה חברה נמצאו מנגנונים משמעותיים יותר להגנה על שלמות הקושחה, אך החוקר גילה שניתן לעקוף את בדיקת החתימה באמצעות בקשת אינטרנט שנבנתה במיוחד לשם כך.
חשיבות הניסוי נובעת בין היתר מהאופן שבו בינה מלאכותית הפחיתה משמעותית את המאמץ הנדרש כדי להבין קושחה לא מוכרת. משימות שבעבר דרשו עבודת הנדסה לאחור ידנית וממושכת יכולות יותר ויותר לעבור לסוכני בינה מלאכותית, המסוגלים לנתח קבצים בינאריים, לאתר פונקציות רלוונטיות ולסייע בפיתוח שינויים בקוד.
לכך עשויות להיות השלכות משמעותיות עבור גופי ביטחון, ממשל ותשתיות קריטיות, שבהם ציוד היקפי רגיל עשוי להיות מחובר למחשבים המטפלים במידע רגיש. מצלמה או מיקרופון שנפרצו עלולים לעקוף את אמצעי החיווי הפיזיים שעליהם מסתמך המשתמש, בעוד שקושחה זדונית בציוד היקפי עשויה לספק לתוקף נקודת אחיזה מתמשכת שמערכות אבטחת נקודות קצה עלולות שלא לזהות.
הממצאים אינם מעידים שכל אחד מהמכשירים שנבדקו ניתן לפריצה אוטומטית מרחוק. חלק מהמתקפות דורשות גישה פיזית באמצעות USB או הרשאת משתמש לטכנולוגיות דפדפן המאפשרות גישה להתקנים חיצוניים. בנוסף, מדובר בניסוי שערך חוקר יחיד ולא בבדיקת אבטחה שיטתית של כלל שוק הציוד ההיקפי.
עם זאת, המחקר מדגיש בעיה שהולכת והופכת משמעותית יותר: לא מספיק לאבטח את המחשב עצמו כאשר האביזרים המחוברים אליו מכילים חומרה הניתנת לתכנות ומוגנת לעיתים בצורה חלשה בהרבה. ככל שבינה מלאכותית מורידה את רף המומחיות הנדרש לניתוח קושחה, יצרנים עשויים להידרש להתייחס לאבטחת הקושחה של ציוד היקפי באותה רצינות שבה הם מתייחסים כיום לאבטחת מחשבים ומכשירים מרכזיים אחרים.
