Securelist發佈了一篇教育機器人安全研究
智能玩具機器人是一種專為兒童設計的互動式裝置，可以通過語音、觸摸和視頻與兒童進行交流和學習。這種玩具機器人看起來很可愛，也很有趣，但是它們的安全性如何呢？最近，一項安全研究揭示了一款智能玩具機器人的多個漏洞，這些漏洞可能讓黑客接管機器人的控制權，甚至與兒童進行視頻聊天。
這款智能玩具機器人的名字叫做Miko，它是一款由印度公司Emotix開發的人工智能機器人，主要面向6歲以上的兒童。Miko擁有一個圓形的頭部，兩個可動的手臂，一個帶有輪子的底座，以及一個內置的攝像頭和麥克風。Miko可以通過Wi-Fi連接到互聯網，並通過藍牙連接到一個專用的智能手機應用程序，該應用程序允許用戶設置機器人的參數，查看機器人的狀態，以及與機器人進行視頻通話。
安全研究人員對Miko進行了一系列的測試，發現了以下幾個漏洞：
- 未加密的Wi-Fi連接：Miko在首次設置時會創建一個未加密的Wi-Fi熱點，用戶需要連接到該熱點，然後通過應用程序輸入家庭Wi-Fi的密碼，以便Miko可以連接到互聯網。然而，這個過程存在一個風險，就是黑客可以在附近偽造一個同名的Wi-Fi熱點，並截獲用戶輸入的家庭Wi-Fi的密碼，從而獲得用戶的網絡訪問權限。
- 未驗證的API請求：Miko通過一個RESTful API與後端服務器進行通信，該API負責處理機器人的配置文件、狀態信息、視頻通話等功能。然而，這個API沒有實現任何形式的身份驗證或授權，這意味著任何人只要知道機器人的標識符，就可以發送任意的API請求，並獲得機器人的敏感信息，甚至修改機器人的設置。
- 未加密的視頻通話：Miko通過一個名為Agora的第三方服務提供視頻通話功能，該服務使用了一個名為**Real-Time Messaging Protocol (RTMP)**的協議來傳輸視頻數據。然而，這個協議是未加密的，這意味著黑客可以在網絡上嗅探到視頻數據的流量，並將其重播或保存，從而侵犯用戶的隱私。
- 未保護的固件更新：Miko通過一個名為FOTA的服務來接收和安裝固件更新，該服務使用了一個名為HTTP的協議來下載固件文件。然而，這個協議也是未加密的，這意味著黑客可以在網絡上攔截到固件文件的下載請求，並替換為惡意的固件文件，從而實現對機器人的遠程控制。
這些漏洞顯示了智能玩具機器人的安全風險，如果不及時修復，可能會給兒童和家庭帶來嚴重的後果。因此，我們建議智能玩具機器人的開發者和用戶都要重視這些問題，並採取相應的措施，例如使用加密的協議和驗證的機制，以及定期檢查和更新機器人的固件，以保護自己和他人的安全和隱私。
詳情請看：