Съдържание
Пълен курс по етично хакерство от нула до експерт
Хаквайте като хакери с черна шапка. Тестове за проникване, Kali Linux, хакване на WiFi и уеб сайтове, както и хакерският начин на мислене зад всичко това.
1008 GB за 10 дни от една кафемашина в домашна мрежа. 100 пъти повече от полученото. Тя трябваше само да прави кафе. Политиката на Keurig гласи, че тези кафемашини имат вградена камера, и то още от 2020 г.
На 6 октомври мъж, подвизаващ се под името Nomad в X, отворил мрежовото табло за управление, което поддържа за дома на родителите си. Той работи в сферата на IT повече от десет години, а понастоящем работи в Prusa – производителя на 3D принтери. Той наглежда тяхната мрежа от разстояние, а системата, която използва за целта – UniFi – показва какво количество данни изпраща и получава всяко устройство в къщата.
Един ред се откроил. Устройство с име Keurig-20CE2A28C5CE – моделът Keurig K-Supreme SMART, притежаван от родителите му. За 10 дни и 9 часа то било изпратило 1008,45 GB и получило 9,94 GB.
Получените данни са тези, които постъпват – като филм, обновяване или уеб страница. Изпратените са тези, които дадено устройство излъчва навън. Тази кафемашина е изпратила около сто пъти повече, отколкото е получила. Това прави около 97 GB на ден, или приблизително 9 мегабита в секунда, ден и нощ, от машина, която прави кафе.
Той я изключил от контакта, публикувал екранна снимка и заявил, че родителите му ще си вземат нова кафемашина. Публикацията надхвърлила 2,4 милиона гледания.
По-късно същия ден той погледнал по-отблизо. По-голямата част от този трафик никога не е напускала къщата. Той се е движел в домашната мрежа, а не навън към интернет, като потребителят смята, че това е било софтуерен дефект в конкретната бройка. Въпреки това трафикът задръстил точката за достъп до WiFi, към която била свързана кафемашината – устройството, с което комуникират безжичните устройства в дома.
Кафемашината вече се намирала в отделна мрежа за интелигентни устройства, често наричана IoT мрежа, изолирана от лаптопите и телефоните. Той обмислил да прихване пакетите ѝ, за да види какво има вътре в тях, но предпочел да я остави изключена от мрежата. Устройство, което може да залее мрежа по този начин, написал той, не си струва да се държи свързано.
Към момента на писане Keurig не бяха отговорили публично. Той така и не прихванал този трафик, така че съдържанието на въпросния терабайт остава неизвестно.
Политиката за поверителност на Keurig, в сила от 13 февруари 2026 г., описва подробно какво е проектирана да събира кафемашината. Тя обхваща уебсайта и приложението на компанията, както и това, което тя нарича свои свързани с интернет устройства – смарт кафемашините.
За тези кафемашини Keurig събира историята на потреблението ви: коя напитка, какъв размер и каква сила. След това идва следното изречение:
„Тези кафемашини включват и камера, проектирана да заснема изображение на зоната, където се поставя капсулата в кафемашината.“
Според политиката някои свързани функции се нуждаят от тази камера. Keurig може да я използва и за диагностика, за да проверява дали кафемашината работи правилно.
В същата част от политиката се изброява какво събира Keurig от устройството, което използвате за нейните услуги. Вашият IP адрес, идентификатор на устройството, рекламни идентификатори, операционната ви система, нейната версия и часовата ви зона присъстват там. Също така и информация за безжичната и мобилната ви връзка, като например вашия доставчик на услуги и силата на сигнала ви.
Функцията, която трябва да знае коя капсула е поставена в кафемашината, се нарича BrewID, въпреки че политиката не свързва изрично по име камерата с нея.
BrewID дебютира на 27 юли 2021 г. с модела K-Supreme Plus SMART на цена от 199,99 долара. След като кафемашината се свърже с WiFi, тя разпознава марката и степента на изпичане на поставената от вас капсула K-Cup и настройва приготвянето според препоръките на пекарната. От Keurig заявяват, че това работи за над 900 разновидности капсули.
Тя също така води отчетност. Проследява колко капсули използвате и чрез Auto-Delivery поръчва нови, преди да са ви свършили.
Кафемашината се свързва към домашна мрежа само на 2,4 GHz с WPA2-PSK – обикновеният WiFi с една парола.
По-надолу се намира раздел, изискван от законодателството за защита на личните данни, в който „продадени“ и „споделени“ са правни термини. В него Keurig Dr Pepper – компанията зад Keurig – изброява какво е продала или споделила за анализи и за насочени към вас реклами:
- → Идентификатори и информация за контакт
- → Местоположение, неточно
- → Интернет и електронна активност
- → Изводи за профила – заключенията, които дадена компания прави за вас въз основа на вашите данни
За всяка от тези четири категории политиката посочва едни и същи получатели: трети страни рекламодатели, доставчици на анализ на данни и собствените филиали на компанията – останалите дружества в нейната група.
Политиката също така посочва, че Keurig може да използва външни инструменти за анализ и проследяване, като поименно споменава Google Analytics. Тези инструменти помагат на Keurig или на компаниите зад тях да ви показват по-целенасочени реклами както в собствените услуги на Keurig, така и в интернет пространство.
Този списък обхваща общо всички услуги на Keurig, така че политиката не уточнява дали част от това са и данни от самата кафемашина.
Приложението разкрива повече. Страницата му в App Store на Apple изброява шест типа данни, които могат да се използват за вашето проследяване: покупки, информация за контакт, история на търсене, история на сърфиране, идентификатори и данни за потреблението.
Проследяването има строго определено значение в този магазин. То означава свързване на данните, които дадено приложение събира за вас или вашето устройство, с данни от приложения и уебсайтове, притежавани от други компании, с цел насочени реклами или измерване на ефективността на рекламите. Споделянето на тези данни с брокер на данни – компания, която събира информация за хората и я препродава – също се причислява към това.
Десет типа данни са свързани с вашата самоличност, което означава, че са обвързани с вас чрез вашия профил, устройството ви или други детайли. Наред с тези шест, десетте включват финансова информация, местоположение, потребителско съдържание и диагностика.
Камерата не е новост. Върнах се назад през архивирани копия на политиката за поверителност. Версията, влязла в сила на 1 януари 2020 г., не споменава камера. Следващата, в сила от 1 юли 2020 г., вече я споменава. Тогава формулировката е била по-предпазлива. Смарт кафемашините „може също да включват“ камера и тя „може да бъде задължителна“ за някои услуги.
Моделът K-Supreme Plus SMART излезе на пазара с BrewID на 27 юли 2021 г. Keurig вписа камерата в своята политика за поверителност цяла година преди кафемашината да бъде пусната в продажба.
Във версията, влязла в сила на 8 май 2023 г., и двете условни форми бяха отпаднали. Оттогава насам политиката гласи, че тези кафемашини включват камера и че тя е задължителна.
Версията, която влезе в сила на 27 януари 2022 г., съдържа и нещо друго. Разделът ѝ за жителите на Калифорния започва със следното изречение: „В Keurig Dr Pepper ние не продаваме вашите данни.“ Няколко реда по-долу в същия раздел се изброява какво е продала компанията през предходните 12 месеца за реклами, насочени към вас. Идентификатори, геолокация, интернет активност и профилни заключения са били предоставени на външни рекламодатели и на нейните собствени филиали.
Самата политика обяснява това разминаване: според законодателството на Калифорния „продажба“ обхваща и начина, по който компанията споделя ограничена клиентска информация между своите филиали.
Към май 2023 г. изречението за това, че данните ви не се продават, вече липсва. Списъкът все още присъства в настоящата версия, вече обозначен като „продадени или споделени“, като сред получателите са добавени и доставчици на анализ на данни.
Човекът, който откри терабайта, нарече кафемашината и „DRM защита, чакаща да бъде активирана“ — ограничение, което би могло да ви принуди да използвате единствено официални капсули на Keurig. Той не обясни откъде идва това, но Keurig е правила подобно нещо и преди, а заключването беше преодоляно още през същата година.
През 2014 г. Keurig пусна Keurig 2.0. Тези кафемашини работеха със софтуер, който приемаше само капсули, лицензирани от Keurig. Проверката се извършваше в капака. The Boston Globe описа вграден инфрачервен сензор, който търси невидимо мастило, отпечатано върху фолиото на капака. При капсула без това мастило на екрана се появяваше съобщение: „Опа! Тази опаковка не е предназначена за тази кафемашина.“
My K-Cup — капсула за многократна употреба, която пълните със собствено кафе — беше извадена от продуктовата линия.
От страна на самата Keurig използваха друга дума. През август 2014 г. говорител на Green Mountain Coffee Roasters, тогавашната компания майка на Keurig, заяви, че всяка кафемашина Keurig 2.0 ще има камера, която може да „разчита“ патентован маркерен материал (taggant). Това е скрит маркер, каза тя, „вграден в капака на всяка опаковка с марката Keurig“. Двете описания се различават, но и двете се отнасят до едно и също действие: установяване каква капсула се намира в кафемашината.
На 9 декември 2014 г. Кенет Бъклър от Caffeine Security публикува предупреждение за сигурността (advisory) относно уязвимост в списъка с разпространение Full Disclosure, където изследователите публикуват открити дефекти. Той я нарече „Keurig 2.0 Genuine K-Cup Spoofing Vulnerability“. Кафемашината проверяваше капака, но не проверяваше дали този капак вече е бил използван.
Така че атаката се състоеше в използван капак. Приготвяте оригинална капсула, отлепвате фолиото на капака ѝ цяло и го запазвате. Поставяте в кафемашината капсула от друга марка, поставяте запазения капак отгоре, като подравнявате пробития отвор, затваряте машината и тя приготвя кафето. Той даде на уязвимостта оценка за сериозност 4,9 от 10.
През май 2015 г. компанията съобщи, че продажбите на кафемашини и аксесоари са спаднали с 23 процента за едно тримесечие. В конферентен разговор с инвеститори изпълнителният директор Брайън Кели заяви, че Keurig е подценила колко важна е за потребителите капсулата за многократна употреба и че премахването ѝ е било грешка. Той посочи, че тя ще бъде върната.
Още през февруари 2014 г. TreeHouse Foods заведе антитръстов иск срещу Keurig в Ню Йорк — дело за нелоялен контрол върху пазара. От март 2014 г. последваха 27 колективни иска с подобни претенции, заведени едновременно от името на цяла група купувачи. През юли 2020 г. Keurig се съгласи да плати 31 милиона долара, за да постигне споразумение с една от тези групи: купувачи, които са придобили своите продукти на Keurig през магазини и други търговци, а не директно от Keurig.
През 2014 г. Keurig говореше за камера, която чете капака. Днес в собствената ѝ политика пише, че смарт кафемашините разполагат с камера, насочена към капсулата, като никъде в тази политика или на продуктовите страници не се посочва, че тя се използва за блокиране на капсули.
Кафемашините на Keurig присъстват в около 40 милиона домакинства в САЩ, показват собствените данни на компанията от февруари 2024 г.
Можете и сами да проверите какво изпраща смарт устройство във вашия дом, като му позволите да се свърже през машина, която контролирате. На лаптоп с Linux и Wi-Fi, NetworkManager може да превърне лаптопа в точка за достъп (hotspot) — негова собствена малка Wi-Fi мрежа.
Смарт кафемашините на Keurig изискват 2,4 GHz мрежа, затова задайте обхвата на bg, което е настройката за 2,4 GHz. Заменете wlan0 с името на вашата Wi-Fi карта; nmcli device го показва:
Свържете устройството към тази мрежа. След това прихванете трафика му с tshark, версията на Wireshark за команден ред, и филтрирайте по MAC адреса на устройството — хардуерния адрес, който ще намерите във вашия рутер или в собствените мрежови настройки на устройството:
Оставете го да работи известно време и го спрете с Ctrl+C. Съдържанието на връзките остава криптирано, но две неща остават четими. Преди устройството да отвори връзка, то прави справка за името на сървъра, до който иска да достигне. Когато криптираната връзка стартира, то изпраща това име отново. Това са DNS заявката и Server Name Indication (SNI), и заедно те показват с кого комуникира устройството:
Правете това единствено със свои собствени устройства и във вашата собствена мрежа.
- → Отворете приложението на вашия рутер или mesh мрежа и погледнете данните за всяко устройство; именно там се появи това
- → Поставете смарт устройства като кафемашина или телевизор в отделна мрежа за гости или IoT мрежа, изолирана от вашия лаптоп и телефон
- → Ако никога не използвате приложението на Keurig, няма причина да държите кафемашината свързана с Wi-Fi
- → В САЩ използвайте връзката „Do Not Sell or Share My Personal Information“ в долната част на keurig.com
- → На iPhone отворете раздела App Privacy на страницата на приложението в магазина, преди да го инсталирате
- → Преди да закупите смарт уред, прочетете частта от неговата политика за поверителност, посветена на свързаните устройства; именно там Keurig посочи камерата