圣誕將至，你敢給孩子買芭比娃娃嗎?
圣誕節(jié)就要到了，你有沒有想過要買一個芭比娃娃送給女兒呢?
美泰公司(Mattel)生產(chǎn)的Hello Barbie 終于在商場上架了，但安全專家卻提出了芭比娃娃會涉及一些安全和隱私問題。Hello Barbie是ToyTalk公司開發(fā)的一個新系列。
智能芭比娃娃：Hello Barbie
ToyTalk是2011年成立的一個初創(chuàng)公司，旨在打造與人工智能siri結(jié)合的兒童玩具。Hello Barbie是它與Mattel公司展開合作的第一款產(chǎn)品，它內(nèi)置了麥克風，支持WiFi連接，借助ToyTalk開發(fā)的智能語音系統(tǒng)，能分析小朋友的語言并做出“符合邏輯”的回答。
今年二月份的時候，Register曾報道過Hello Barbie中存在安全和隱私問題;現(xiàn)在Hello Barbie已經(jīng)可在商場中買到，但是安全研究員卻還是在玩具中發(fā)現(xiàn)了一些安全問題。
“聯(lián)網(wǎng)的Barbie玩具有一個麥克風、揚聲器、一個小的嵌入式計算機(附著一個可以維持一小時的電池)、一個WiFi硬件。當你按下皮帶扣上的按鈕時，Barbie就會瞬間清醒并提出一個問題，開關打開時麥克風也會隨之打開。”
上周安全專家Matt Jakubowski解釋道，連接WiFi的Hello Barbie可被入侵，泄露用戶的WiFi名稱、賬戶ID、玩具中的MP3文件。
由于這款玩具具有智能回答兒童問題的功能，它可以同時記錄下這些數(shù)據(jù)，并發(fā)送回ToyTalk公司。有專家指出這項行為侵犯兒童隱私，家長可竊聽兒童隱私，不法分子也可以利用玩具中的漏洞竊聽他們的隱私。
“我們還可以將用戶的服務器換成我們自己的服務器，做所有我們想做的事情，而這一切也只是時間問題。”
ToyTalk反駁安全人員的質(zhì)疑
ToyTalk CEO Oren Jacob對Matt Jakubowski提出的安全問題給予如下回應：
“有研究員指出發(fā)現(xiàn)一些設備數(shù)據(jù)并聲稱這是hack。盡管研究者用于發(fā)現(xiàn)數(shù)據(jù)的路徑很不顯眼也不是用戶友好型的，需要著重提出的是，所有這些信息都可通過Hello Barbie Companion 應用程序直接得到。據(jù)我們所知，沒有用戶數(shù)據(jù)、Barbie文件和安全隱私保護功能被入侵過。”
Jakubowski稱竊取用戶賬號ID非常容易，但是攻擊者還需要獲取密碼才能登錄Hello Barbie賬戶。然而獲取用戶密碼也不難，利用魚叉式釣魚攻擊或者社工技術就可以竊取到。但是ToyTalk的安全專家則持不同的態(tài)度，認為這種情景是基本不可能實現(xiàn)的。
無商業(yè)化童年運動(CCFC)要求Hello Barbie玩具從市場上下架，并遞交了一份6000人的請愿書。Hello Barbie是一款可怕的玩具，因為其威脅著兒童的隱私，威脅著兒童的幸福和創(chuàng)造力。“我們必須停止美泰公司和ToyTalk公司‘偵查’兒童的私人玩樂，停止大量生產(chǎn)這些‘竊聽者’。”
即使Hello Barbie今天是安全的，但這不能表示它明天同樣安全。安全專家將會對軟件的組件進行逆向工程，以找出存在的安全漏洞。
具體的安全問題分析請關注@SomersetRecon的twitter!
