Ξεχάστε τα ρομποτικά σκουπάκια — τα ρομπότ της Yarbo με λεπίδες αποτελούν ακόμη μεγαλύτερο πρόβλημα ασφαλείας.
Είμαι ξαπλωμένος στο χώμα. Έρχεται καταπάνω μου. Και ύστερα, με μια απότομη κίνηση, ανεβαίνει πάνω στο στήθος μου. Αν ο Andreas Makris δεν σταματήσει εγκαίρως το ρομποτικό χλοοκοπτικό των 200 λιβρών, μπορεί να σύρει τις λεπίδες του πάνω στο σώμα μου.
Ο Makris σίγουρα δεν μπορεί να απλώσει το χέρι και να πατήσει το κουμπί έκτακτης διακοπής — βρίσκεται σχεδόν 6.000 μίλια μακριά, έχοντας χακάρει αυτό το ρομπότ από την άλλη άκρη του πλανήτη για να δείξει τα τεράστια κενά ασφαλείας στα ρομποτικά χλοοκοπτικά της Yarbo. Κι εγώ έχω πάρει τη συζητήσιμη απόφαση να ξαπλώσω στην πορεία του χλοοκοπτικού, για να δω πόσο μακριά μπορεί να φτάσει ο Makris, ο ερευνητής ασφάλειας που ανακάλυψε αυτές τις αδυναμίες.
Μέχρι να με αγγίξει το χλοοκοπτικό, ο Makris έχει ήδη αποδείξει το επιχείρημά του: τα ρομποτικά χλοοκοπτικά των 5.000 δολαρίων της Yarbo έχουν τόσο σοβαρές τρύπες ασφαλείας, που ένας ξένος χάκερ μπορεί εύκολα να πάρει τον έλεγχο μιας συσκευής με λεπίδες στις ΗΠΑ. Και όχι μόνο μίας. Χιλιάδες και χιλιάδες κινεζικά ρομπότ με λεπίδες είναι στη διάθεσή του. Κάθε ρομπότ Yarbo στον κόσμο, είτε είναι ρυθμισμένο να κόβει γρασίδι, χιόνι ή χόρτα, θεωρητικά αναφέρεται πλέον σε εκείνον.
«Μπορώ να κάνω ό,τι θέλω με όλα τα μποτ», λέει ο Makris στο The Verge. «Δεν είναι καθόλου ασφαλές».
Και, όσο απίστευτο κι αν ακούγεται, ο απομακρυσμένος έλεγχος είναι μόνο η κορυφή του παγόβουνου.
Όπως ο Sammy Azdoufal, που έγινε γνωστός παγκοσμίως όταν το The Verge αποκάλυψε αποκλειστικά πώς έκανε χιλιάδες ρομποτικές σκούπες DJI Romo να τον αναγνωρίζουν και να αρχίσουν να ακολουθούν τις εντολές του, έτσι και ο Makris διαπίστωσε ότι τα ρομπότ της Yarbo κάνουν κάτι ανάλογο. Αν έχεις πρόσβαση σε ένα ρομπότ, έχεις πρόσβαση σε όλα.
Μόνο που αυτά τα ρομπότ έχουν λεπίδες — και οι χάκερ μπορούν να χρησιμοποιήσουν τις ενσωματωμένες εντολές του ρομπότ για να παρακάμψουν τις δικλίδες ασφαλείας. Ακόμη κι αν πατήσεις το μεγάλο κόκκινο κουμπί έκτακτης διακοπής πάνω στο ίδιο το χλοοκοπτικό, ένας χάκερ μπορεί να στείλει άλλη εντολή και να το ξεκλειδώσει, λέει ο Makris.
Και επειδή το Yarbo είναι ένας πλήρης υπολογιστής Linux, με δικό του backdoor και με ίδιο πάντα root password, οι χάκερ θα μπορούσαν να το επαναπρογραμματίσουν εξ αποστάσεως ώστε να κάνει τα πάντα: να βάλει τις λεπίδες σε λειτουργία, να ερευνήσει το οικιακό σου δίκτυο, να μετατρέψει το ρομπότ σε μέρος botnet για να παρενοχλεί στόχους στο διαδίκτυο.
Η Yarbo ιδρύθηκε το 2015 ως εταιρεία ρομποτικών εκχιονιστικών και πουλά ολοκληρωμένα ρομπότ για τον κήπο με αρθρωτά εξαρτήματα, που τα μετατρέπουν σε χλοοκοπτικό, φυσητήρα φύλλων, εκχιονιστικό, θαμνοκοπτικό και μπορντουροκόπτη. Κάθε εξάρτημα σπρώχνεται ή τραβιέται από το ίδιο βασικό ρομπότ, που κινείται με ερπύστριες και μπορεί να ανεβαίνει ανηφόρες. Γι’ αυτό και όλα μπορεί να είναι ευάλωτα σε χάκερ.
Ο Makris ξεκινά δείχνοντάς μου έναν χάρτη, φτιαγμένο με vibe coding, με τις τοποθεσίες όπου βρίσκονται υποτίθεται όλα τα ρομπότ Yarbo στις ΗΠΑ και την Ευρώπη, περίπου 5.400 συσκευές. (Παρακολουθεί πάνω από 11.000 παγκοσμίως.) Έπειτα, καθώς παρακολουθώ τη ροή του βίντεό του, πατά ένα κουμπί για να πάρει τον έλεγχο ενός ρομπότ στο βόρειο τμήμα της Νέας Υόρκης.
Το ρομπότ αυτό ήδη έκοβε γρασίδι σε ένα χωράφι, με ένα λευκό σπίτι να φαίνεται στο βάθος. Όμως διακόπτουμε το κανονικό του πρόγραμμα. Ο Makris σέρνει με το ποντίκι του ένα μικρό χειριστήριο στην οθόνη και βλέπω την κάμερα του ρομπότ να στρέφεται ακολουθώντας κάθε του κίνηση. Δεν υπάρχει σχεδόν τίποτα που να τον εμποδίζει να το οδηγήσει όπου θέλει, να παρακολουθήσει αυτή την οικογένεια, να καταλάβει πότε μπαίνουν και πότε βγαίνουν.
Ανάλογα, ίσως τίποτα να μην εμποδίζει έναν κακόβουλο να παρακολουθήσει, για παράδειγμα, κινήσεις στρατευμάτων κοντά σε πυρηνικό σταθμό. Ο Makris έχει ήδη εντοπίσει 12 διαφορετικά ρομπότ Yarbo σε απόσταση 3 χιλιομέτρων από μεγάλο σταθμό ηλεκτροπαραγωγής — ένα από αυτά φαίνεται να είναι καταχωρισμένο σε αναλυτή πυρηνικής ασφάλειας.
Έπειτα, ο Makris με αφήνει ξανά άφωνο: μου δείχνει ότι μπορεί να τραβήξει τις διευθύνσεις email των ιδιοκτητών, τους κωδικούς Wi-Fi και τις ακριβείς συντεταγμένες GPS των σπιτιών τους. Όταν ψάχνω μια διεύθυνση στο Google Maps, βλέπω δορυφορική εικόνα που μοιάζει να δείχνει το ίδιο ακίνητο που είδαμε μέσω των καμερών του ρομπότ.
Τέσσερις μέρες αργότερα, οδηγώ στους λόφους της Silicon Valley αναζητώντας αποδείξεις. Στο πρώτο κιόλας σπίτι της διαδρομής μου, η καρδιά μου σκιρτά. Κοιτάζοντας από το πεζοδρόμιο το κατηφορικό πίσω μέρος μιας αυλής, βλέπω ένα ρομπότ Yarbo ακριβώς εκεί όπου είχε δείξει ο Makris. Όταν βγάζω το τηλέφωνό μου για να σαρώσω τα τοπικά δίκτυα Wi-Fi, βλέπω τα ίδια ιδιωτικά access points που είχε εντοπίσει εκείνος στη σάρωσή του.
Αργότερα, στέλνω email στον ιδιοκτήτη, χρησιμοποιώντας την ίδια διεύθυνση που έδωσε το ρομπότ της Yarbo, και παίρνω απάντηση. Δέχεται να συναντηθούμε από κοντά.
Ο Wayne Yu θέλει να μάθει πώς το ρομποτικό του χλοοκοπτικό με οδήγησε κατευθείαν στην πόρτα του. Ως άνθρωπος που αγαπά τα gadget, λέει ότι δεν τον ανησυχεί που η Yarbo μας έδωσε φωτογραφίες του σπιτιού του. «Οι άνθρωποι χακάρουν συσκευές συνέχεια, οπότε δεν μου κάνει εντύπωση», μου λέει.
Ούτε τον ανησυχεί ότι κάποιος θα του κλέψει το χλοοκοπτικό: «Είναι βαρύ, και είναι ανηφορικό — το βλέπεις αυτό, σωστά; Για να πάω εγώ μέχρι το χλοοκοπτικό, ήδη πονάνε τα πόδια μου», λέει γελώντας, προσθέτοντας ότι γι’ αυτό αγόρασε ένα Yarbo εξαρχής, επειδή δυσκολευόταν να κουρεύει τη μεγάλη κλίση. Όταν όμως τον ρωτάω πώς νιώθει που ο χάκερ, από την άλλη άκρη του πλανήτη, με οδήγησε κατευθείαν στην πόρτα του και μου έδωσε το email και τους κωδικούς Wi-Fi του, λέει ότι νιώθει άβολα. «Όχι καλά. Όχι καλά», επαναλαμβάνει ο Yu.
Όταν του δείχνω τους κωδικούς Wi-Fi, επιβεβαιώνει ότι είναι δικοί του.
Ο Matt Petach δεν εκπλήσσεται τόσο που βρέθηκα στην πόρτα του. Τίποτα δεν φαίνεται να ταράζει τον συνταξιούχο αρχιτέκτονα δικτύων της Yahoo και της Microsoft, ακόμη κι όταν του δείχνω τον δικό του κωδικό Wi-Fi. Λέει ότι πρόκειται για απομονωμένο δίκτυο guest, ρυθμισμένο να απορρίπτει αυτόματα άγνωστες συσκευές, και ότι ο κωδικός του guest είναι απλώς ο δημόσια αναρτημένος αριθμός τηλεφώνου του.
Όλοι πρέπει να αντιμετωπίζουν τέτοια gadget ως εχθρικούς παράγοντες, λέει ο Petach. «Είναι λυπηρό ότι, στο όνομα της ευκολίας, οι ιδιοκτήτες σπιτιών και άλλοι χρήστες ουσιαστικά καλούνται να αντιμετωπίζουν την τεχνολογία σαν τον καλύτερο φίλο τους, τον έμπιστο βοηθό τους», μου λέει.
Θα πρέπει να σκέφτεστε την κακή ασφάλεια όπως τα χαμένα χαρακτηριστικά ασφαλείας σε ένα ηλεκτρικό εργαλείο, προτείνει: «Αυτό μοιάζει πολύ περισσότερο με αλυσοπρίονο χωρίς προστατευτικό χεριού, χωρίς φρένο, με χαλαρή αλυσίδα που είναι έτοιμη να σου κόψει το πόδι από στιγμή σε στιγμή».
Ακόμη και ο Petach, όμως, φαίνεται να ξαφνιάζεται λίγο από τις πρακτικές ασφαλείας της Yarbo.
Ο Makris εξηγεί ότι όχι μόνο κάθε ρομπότ Yarbo έχει το ίδιο hardcoded root password, αλλά οι ιδιοκτήτες δεν μπορούν να προστατευτούν απλώς ορίζοντας μόνοι τους καλύτερο κωδικό. Κάθε φορά που η Yarbo ενημερώνει το firmware ενός ρομπότ, ο root κωδικός του επιστρέφει ξανά στον προκαθορισμένο. Οι χάκερ μπορούν να μπουν ξανά μέσα. «Ουάου, αυτό είναι χειρότερο απ’ ό,τι νόμιζα», λέει ο Petach.
Φαίνεται επίσης ότι η Yarbo δημιούργησε σκόπιμα το backdoor απομακρυσμένης πρόσβασης που επιτρέπει στους χάκερ να κάνουν τα χειρότερα. «Εγκαθίσταται αυτόματα σε κάθε ρομπότ, δεν μπορεί να απενεργοποιηθεί από τον ιδιοκτήτη και αποκαθίσταται ενεργά αν αφαιρεθεί», γράφει ο Makris.
Γι’ αυτό ο Makris αποφάσισε να κάνει κάτι που συνήθως αποφεύγουν οι ερευνητές ασφάλειας: σήμερα δημοσιεύει την έρευνά του, μαζί με τις επίσημες αναφορές ευπαθειών CVE, χωρίς να δώσει πρώτα στην Yarbo χρόνο να διορθώσει το πρόβλημα. Όταν είχε επικοινωνήσει αρχικά με την εταιρεία για να την ενημερώσει, δεν βρήκε υπεύθυνο ασφαλείας ούτε πρόγραμμα bug bounty, ενώ η υποστήριξη πελατών προσπάθησε να παρουσιάσει την απομακρυσμένη πρόσβαση ως ασφαλές και χρήσιμο χαρακτηριστικό που οι μηχανικοί της Yarbo θα χρησιμοποιούσαν μόνο για απομακρυσμένη διάγνωση προβλημάτων πελατών.
Με βάση αυτό και όσα είδε στις πρακτικές ασφάλειας της Yarbo — «είτε δεν τους νοιάζει αρκετά είτε είναι θέμα δεξιοτήτων», λέει — ο Makris φοβάται ότι η Yarbo και άλλες εταιρείες δεν θα πάρουν το μάθημα και δεν θα διορθώσουν αυτά τα προβλήματα αν δεν εκτεθούν δημόσια. «Είναι το σωστό να κάνουμε, και αυτό προσπαθούμε να κάνουμε εδώ: να προειδοποιήσουμε τον κόσμο και να βγάλουμε την πληροφορία ώστε να καταλάβουν ότι αυτό είναι εκ κατασκευής κακό και ότι κανείς δεν φαίνεται να νοιάζεται», λέει.
Υπάρχουν κι άλλοι λόγοι να πιστεύει κανείς ότι η Yarbo ίσως να μην είναι η πιο αξιόπιστη εταιρεία εκεί έξω. Η Yarbo λέει ότι τα «εταιρικά της γραφεία» βρίσκονται στη Νέα Υόρκη — η σελίδα της στο Kickstarter και ο ιστότοπός της περιέχουν φωτογραφίες από πολυτελή μεσαίου ύψους γραφεία. Όμως το Google Maps δείχνει ότι η πραγματική της διεύθυνση στη Νέα Υόρκη είναι ένα μονώροφο κτίριο που στεγάζει επίσης δύο επιχειρήσεις detailing αυτοκινήτων, μια ασφαλιστική εταιρεία και ένα Etsy shop που ειδικεύεται σε δερμάτινα βραχιόλια με καρφιά. Στην πραγματικότητα, η Yarbo είναι απλώς ένα ακόμη όνομα για τη Hanyang Tech, με έδρα τη Σεντζέν της Κίνας.
Έχουμε προσπαθήσει επίσης περισσότερες από μία φορές να δοκιμάσουμε τα χλοοκοπτικά της Yarbo τα τελευταία χρόνια, αλλά βρεθήκαμε αντιμέτωποι με ασυνήθιστα αιτήματα. Οι υπεύθυνοι δημοσίων σχέσεων της εταιρείας ζητούσαν επανειλημμένα διαβεβαιώσεις ότι δεν θα δημοσιεύσουμε αρνητική κριτική και κάποια στιγμή ζήτησαν να υπογράψουμε μια «Συμφωνία Συνεργασίας», η οποία περιλάμβανε ρήτρα μη δυσφήμισης και θα μας υποχρέωνε να «δημιουργήσουμε και να μοιραστούμε ένα αφιερωμένο άρθρο αξιολόγησης μέσα σε 21 εργάσιμες ημέρες». (Αρνηθήκαμε.) Πιο πρόσφατα, η εταιρεία πρότεινε: «αν το προϊόν δεν ανταποκρίνεται στις προσδοκίες κατά τη διάρκεια της δοκιμής, θα περιμέναμε να αποφασίσετε να μην συμπεριλάβετε την Yarbo στο τελικό άρθρο». (Και πάλι, δεν συμφωνήσαμε.)
Σε email προς το The Verge, η Yarbo λέει ότι θα προχωρήσει τουλάχιστον σε ορισμένες ενέργειες με βάση την έρευνα του Makris.
«Εφαρμόζουμε ενεργά έναν μηχανισμό έγκρισης από τον πελάτη μέσα στην εφαρμογή, πιο καθαρή απεικόνιση των συνεδριών, ισχυρότερο audit logging και ιστορικό πρόσβασης για τον πελάτη, ώστε η απομακρυσμένη διαγνωστική πρόσβαση να είναι διαφανής, περιορισμένη και ανακλητή», γράφει ο senior PR manager της Yarbo, Showan Hou.
Όμως δεν φαίνεται η Yarbo να έχει καταλάβει ακόμη — ή να είναι διατεθειμένη να παραδεχτεί — ότι υπάρχει πραγματικό πρόβλημα:
«Με βάση τη σημερινή μας εξέταση, δεν γνωρίζουμε καμία περίπτωση κατά την οποία συσκευή Yarbo να έχει γίνει αντικείμενο πρόσβασης ή ελέγχου από μη εξουσιοδοτημένο τρίτο μέρος. Το διαγνωστικό περιβάλλον δεν είναι δημόσια προσβάσιμο· η πρόσβαση απαιτεί εσωτερική εξουσιοδότηση βάσει ρόλων και περιορίζεται σε εγκεκριμένες διαδικασίες υποστήριξης. Συνεχίζουμε να εξετάζουμε τις πληροφορίες που μας δόθηκαν και θα αντιμετωπίσουμε υπεύθυνα τυχόν επιβεβαιωμένα ζητήματα».
Όταν ο Makris είπε αρχικά στην εταιρεία ότι η απομακρυσμένη πρόσβαση αποτελούσε τεράστιο κίνδυνο ασφάλειας, η Yarbo ισχυρίστηκε επίσης ότι «το Yarbo σας παραμένει απολύτως ασφαλές και υπό τον αποκλειστικό σας έλεγχο».
Γι’ αυτό τελικά βρέθηκα κάτω από ένα χλοοκοπτικό Yarbo — στο πλαίσιο μιας ελεγχόμενης δοκιμής για να διαπιστωθεί πόσο ασφαλές και «secure» είναι πραγματικά το μηχάνημα. Έχω ήδη καταλάβει ότι ο κίνδυνος ξεπερνά κατά πολύ τις λεπίδες· ότι ζούμε σε μια άγρια κατάσταση, όπου τα σύγχρονα gadget μπορούν να αποκαλύψουν την ακριβή σου θέση GPS, να μεταδώσουν ζωντανό βίντεο του σπιτιού σου εξ αποστάσεως και να παραβιάσουν το οικιακό σου δίκτυο με μία κίνηση.
Όταν μιλάω με ερευνητές όπως ο Makris, γίνεται σαφές ότι η Yarbo είναι απλώς ένα ιδιαίτερα κραυγαλέο παράδειγμα σε έναν ωκεανό από μη ασφαλείς συσκευές. Αλλά ένα παράδειγμα όπως η Yarbo μπορεί να μας βοηθήσει να καταλάβουμε πόσο άσχημα έχουν γίνει τα πράγματα.
Ένα Παρασκευή, με την άδειά του, φτάνω στο σπίτι του Petach. Μπαίνουμε σε βιντεοκλήση: ο Makris στη Γερμανία, ο Petach στη Νότια Καλιφόρνια, κι εγώ ο μόνος που βρίσκομαι φυσικά στο σπίτι. Με λίγα κλικ, ο Makris παίρνει τον έλεγχο του Yarbo μπροστά στα μάτια μου, τόσο όταν είναι αδρανές όσο και ενώ βρίσκεται ήδη στη μέση του κουρέματος. Βλέπω ότι εκείνος με βλέπει μέσα από τις κάμερες του Yarbo.
Είναι ώρα να δούμε αν το Yarbo διαθέτει ενσωματωμένους μηχανισμούς ασφαλείας, όπως, ας πούμε, αποφυγή εμποδίων. Ξαπλώνω στο έδαφος.
Δεν είμαι τελείως ηλίθιος. Οι λεπίδες δεν γυρίζουν, και δουλεύουμε το ρομπότ με την όπισθεν — οπότε πρώτα με χτυπούν οι ερπύστριες, όχι οι λεπίδες.
Αλλά καθώς τα πρώτα εκατό κιλά μετάλλου, πλαστικού και εξαιρετικά εύκολα παραβιάσιμου υπολογιστή με καρφώνουν στο έδαφος — και ο Makris τελικά, ευτυχώς, κάνει πίσω — συνειδητοποιώ ότι αυτό το επιστημονικό πείραμα δεν ήταν τόσο ασφαλές όσο νόμιζα.
