毫无疑问，今天的消费者的选择倾向于方便而不是安全。当一款可以让我们的生活变得更便捷的新玩意进入消费者市场时，我们通常想要抓住科技潮流下单购买。不幸的是，每一个新的物联网设备都会让用户面临一系列可能的安全问题和隐私问题。

作为Checkmarx安全研究团队正在进行的研究的一部分，他们最近正在调查几个物联网设备，包括人工智能家用机器人公司Trifo生产的Ironpie M6智能真空吸尘器。由于该设备有一台摄像机，该团队对测试吸尘器的安全性和隐私性产生了好奇。

根据Trifo的说法，Ironpie是“一种人工智能驱动的机器人吸尘器，能够飞快地吸入污垢、灰尘、碎屑——甚至是沙子”，声称其“致力于清洁和保护您的家，所以您可以做更重要的事情。我让您的家远离污垢、灰尘、碎屑、沙子等等；还用我的高级实觉系统来阻挡入侵者。我一直保持警惕，工作时从不睡觉。”

Trifo可以通过WiFi连接到互联网，可以远程控制吸尘，也可以远程观看视频流，因为它有一个摄像机。将摄像机连接到互联网的安全问题是显而易见的，这也是这项研究背后的动机之一。

作为研究团队调查的结果，其发现了几个高级程度和中等严重程度的安全漏洞。下表总结了这些漏洞。这些漏洞可能会给Ironpie的用户带来风险，应该尽快修复。我们团队利用发现的漏洞的视频可以点击这里在这里找到。

在这项研究中，发现了几个漏洞和不良编码实践。其中一些是没有实际使用案例的弱安全性的执行漏洞，而另一些则表现出对一个自称安全产品的严重安全立场的严重误导，就像Trifo的情况一样。

有3个潜在故障领域需要理解。在Ironpie生态系统工作的每个组件中都可以找到问题：

• 真空吸尘器本身
• 安卓手机应用程序
• 及其支持后端服务器。

发现的问题汇总

Trifo家用安卓应用更新不安全

Trifo安卓应用程序名为Trifo Home，就常见的安卓编程错误而言，App基本上是安全的，但除了一个关键程序：更新程序。更新是以非标准方式进行的。（举例而言，不是通过谷歌游戏商店）由于Trifo应用程序在应用程序开始向更新服务器查询新的APK（安卓安装包，.apk）时使用了一个HTTP请求。攻击者可以监控并轻松更改传输中的请求，并强制应用程序更新到恶意版本——由攻击者控制。

MQTT远程访问

MQTT是一种机器对机器（M2M）的物联网连接协议。它被设计成一种极其轻量级的发布/订阅消息传输。在Trifo的例子中，支持MQTT服务器的是Trifo真空吸尘器、后端服务器和Trifo家庭应用程序之间的桥梁。服务器用于提供和接收部署的真空中的事件，然后将这些事件传递给适当的Trifo Home应用程序的图形用户界面（GUI）。

由于缺乏适当的身份验证机制，攻击者可以连接到模拟任何客户端标识的MQTT服务器，这很容易预测。

MQTT加密不安全

尽管安卓应用程序通过SSL使用MQTT，但Ironpie真空吸尘器通过未加密的链接连接到MQTT服务器，交换一些数据包，之后MQTT负载被加密。这基本上允许攻击者计算任何客户端标识。有了这些知识，就有可能：

   远程攻击者可以监控流量进入Ironpie，因为他可以订阅任何一个易于猜测的媒体访问控制地址并获取流量。这包括可用于解密所有流量的dev_key。

   本地攻击者也可以模拟MQTT服务器，从而完全控制真空吸尘器。

RTMP视频馈送访问

远程攻击者有可能通过MQTT访问信息，举例而言真空吸尘器连接到网络的SSID，获取内部真空IP地址、其媒体访问控制地址和其他信息。有了这些信息，攻击者就可以获得一个密钥，使他们能够访问所有连接的、正在工作的Ironpie真空系统的视频源，而不管它们位于何处。

披露和事件概述

当漏洞第一次被发现时，我们的研究团队确保它们能够重现利用它们的过程。一旦这一点得到证实，Checkmarx 研究团队负责任地将他们的发现通知了Trifo。在Checkmarx安全研究团队多次尝试与Trifo就发现的漏洞进行沟通后，Trifo没有给我们任何回应。研究团队最初于2019年12月16日联系了Trifo，并公开分享了他们的研究结果的完整报告。

据Checkmarx研究团队所知，Trifo Ironpie生态系统仍然存在漏洞。然而，该团队目前并没有发布任何关于漏洞的额外技术信息，以确保Checkmarx不会让Trifo Ironpie用户面临不必要的风险。如果Trifo修补了这些漏洞，Checkmarx将发布一份更可靠的技术报告，概述我们可以如何利用这些问题，因为我们相信，这其中有很大的学习价值，有助于为更安全的设备开发铺平道路。

结语

这种类型的研究活动是我们持续努力的一部分，旨在推动制造基于消费者的物联网设备的供应商在软件安全实践方面进行必要的变革，同时提高购买和使用这些设备的消费者的安全意识。在当今日益联系紧密的世界中，保护消费者和企业的隐私必须是我们所有人的首要任务。

请浏览Checkmarx官网或者微信公众号了解安全研究团队的更多研究。