Amazon Sidewalk jest rewolucyjny, ale jego ogromny zakres niepokoi ekspertów ds. prywatności

Podczas gdy Amazon się zbliżył Chodnik, próba połączenia inteligentnych urządzeń z sąsiedzką siecią Wi-Fi w „wyrafinowany sposób” z mając na uwadze prywatność, eksperci nadal obawiają się, jak skuteczny będzie ten projekt ze strony bezpieczeństwa punkt widzenia.

Amazon ogłosił w zeszłym tygodniu, że klienci mają czas do 8 czerwca na zrezygnowanie z najnowszego projektu, aby inteligentne urządzenia były stale połączone za pomocą systemu Wi-Fi typu mesh. Jeśli nie chcesz brać udziału, oto jak zrezygnować na urządzeniach Echo i Urządzenia dzwonkowe.

Program, który został pierwotnie ogłoszony we wrześniu 2019 r., wykorzystuje współdzieloną sieć o niskiej przepustowości, która: użyje części domowej sieci Wi-Fi, aby połączyć się z urządzeniami Amazon Echo, kamerą bezpieczeństwa Ring i światłami oraz Płytki śledzące Bluetooth. Sieć Wi-Fi typu mesh jest pomocna, gdy urządzenie utraci połączenie, w którym to momencie automatycznie połączy się z sąsiednim Wi-Fi przez kanał 900 MHz.

Według firmy Biuletyn informacyjny dotyczący prywatności i bezpieczeństwa, projekt został „starannie zaprojektowany” z myślą o ochronie prywatności, a konkretnie o sposobie gromadzenia, przechowywania i wykorzystywania metadanych.

Na przykład, każde urządzenie użytkownika podczas rejestracji w programie będzie miało „unikalny klucz sesji” z serwerem Sidewalk Network Server (SNS) i serwerem aplikacji. Gdy urządzenie zostanie zidentyfikowane i stanie się częścią systemu, SNS nie będzie w stanie zidentyfikować użytkownika i sprawia, że ​​„trudno jest każdemu, w tym Amazonowi, poskładać historię aktywności w całość czas."

Informacje są owinięte warstwami ochrony, ale nic nie jest „zero ryzyka”

Źródło: Amazonka

Amazon zauważa również, że informacje dla urządzeń pracujących w sieci będą przesyłane w, jak to nazywa, „pakietu”, który będzie miał trzy warstwy ochrony szyfrowania. Szyfrowanie odbywa się w celu „zapewnienia, że ​​dane są widoczne tylko dla zamierzonej strony”.

„Takie podejście do szyfrowania oznacza, że ​​Amazon nie będzie w stanie zinterpretować treści poleceń lub wiadomości wysyłane przez Sidewalk przez usługi lub punkty końcowe (aplikacje) stron trzecich” – pisze Amazon.

John Verdi, wiceprezes Future of Privacy Forum, wspieranej przez branżę organizacji non-profit z siedzibą w Waszyngtonie, powiedział w wywiad To, co sprawia, że ​​ten program jest silny z punktu widzenia prywatności, to fakt, że tylko urządzenia Amazon mogą uczestniczyć, a także są zaufane wzmacniacz. Dodał, że użytkownicy nie mogą po prostu dodać do programu zaufanego urządzenia, takiego jak iPhone lub osobisty laptop użytkownika.

„Oznacza to, że Amazon może ograniczyć fizyczne urządzenia sprzętowe, które łączą się z urządzeniami producenta Amazon i zaufanymi partnerami. Nie tylko każde urządzenie może się połączyć. Istnieje walidacja samego urządzenia” – powiedział.

Verdi dodał również, że program nie będzie używał dużej ilości danych, które są zwykle używane do strumieniowego przesyłania wideo. Sidewalk zużywałby tylko do 500 MB przepustowości miesięcznie, stosunkowo niewielką ilość – choć nie bez znaczenia dla osób korzystających z połączenia o stałej przepustowości.

„Sieć kratowa Sidewalk [prawdopodobnie] nie wykorzystuje przepustowości, która znacząco wpłynie na wrażenia online właściciela” – powiedział.

Verdi dodał, że nie ma „oczywistego ani prostego sposobu”, w jaki osoba trzecia mogłaby manipulować systemem.

„Teraz nic nie jest zerowe ryzyko. Zawsze istnieje szansa, że ​​na światło dzienne wyjdzie nowy exploit lub nowatorska metoda zastosowana przez złośliwego aktora. Nie wiemy. Ale kiedy spojrzeć na istniejące zabezpieczenia, są to poważne zabezpieczenia techniczne. Nie są trywialne” – powiedział.

„Istnieje ryzyko związane z każdym produktem, ale czy powiedziawszy to, ryzyko wydaje się dobrze złagodzone? Tak."

Biała księga jest pełna skomplikowanego żargonu

Sumit Bhatia, dyrektor ds. komunikacji i mobilizacji wiedzy w Cybersecure Catalyst na Ryerson University w Toronto, powiedział w wywiadzie, że Amazon oficjalny dokument szczegółowo opisuje bezpieczeństwo i prywatność, ale używa wyrafinowanego języka, który utrudnia zwykłym osobom zrozumienie, w jaki sposób system Pracuje.

Bhatia powiedział, że chociaż jest to krok w kierunku budowy inteligentnej dzielnicy lub miasta, musi być odpowiednia framework z systemami, które zostały przetestowane przed wdrożeniem projektu na dużą skalę, takiego jak Amazon, stara się zrobić.

„Fakt, że oni (Amazon) nie uruchamiają tego w zamkniętej grupie, ale uruchamiają to w całym kraju ludzi, świadczy o podejściu, które chcą przyjąć” – powiedział. „Korzystają z tego masowego podejścia w Stanach Zjednoczonych jako, moim zdaniem, okazji do gromadzenia danych i wielu ludzi, którzy są (część opt-in) są królikami doświadczalnymi dla tych danych, ale kosztem potencjalnych zagrożeń i konsekwencji, których nie mamy wiedzieć."

I chociaż Amazon określił jasne wytyczne dotyczące prywatności, Bhatia sugeruje, że jest to kolejny sposób, w jaki Amazon może tym razem stworzyć profil użytkownika, tworząc program usług połączonych.

„Amazon podchodzi bardzo strategicznie do tego, jak to robią, ponieważ robią to, nie będąc trochę internetem usługodawcą, ale nadal mogą ubiegać się o własność sieci, w której mogą agregować dane większej puli osób”, he powiedziany. "To dla mnie jest problematyczne."

Skąd Amazon wie, że bez testów beta programu jest skuteczny?

Rebecca Herold, dyrektor generalna firmy Privacy Professor Consultancy i ekspert ds. prywatności, zgodziła się z Bhatią w wywiadzie, dodając, że biała księga zawiera „obfite ilości tekstu i żargonu”.

Zauważa, że ​​pomimo wyraźnego wyszczególnienia przez Amazon metody szyfrowania, która jest „bardzo ochronna”, nadal istnieją problemy.

„Widzieliśmy już, jak można wykorzystać sieć mesh do prostego odszyfrowywania za pomocą prostych narzędzi, takich jak konfigurowanie tabel IP, które poinstruują urządzenia, aby przekazywały ruch ze wszystkich urządzeń Echo lub wszystkich innych typów urządzeń IoT do pewien pełnomocnik. A wysyłając go do określonego serwera proxy, może zastąpić certyfikaty serwera Amazon.

„Sposób, w jaki to działa, polega na tym, że urządzenia IoT zaakceptują certyfikat tego, kto pierwszy odpowie na nie. Chcę po prostu siedzieć w mojej sieci w mojej okolicy i wymyślić sposób na włączenie moje urządzenia do sieci i prawdopodobnie mógłbym oszukać wiele z tych urządzeń, aby mi zaufały” powiedziany.

Herold pochwalił się, że Amazon stara się również pomóc w skuteczniejszym odnalezieniu zwierzaka, zgubionych kluczy, a w niektórych przypadkach pacjentów cierpiących na demencję lub chorobę Alzheimera. Ale dotyczy to również tego, czy masz prześladowcę, powiedziała.

Podobnie jak Bhatia, Herold powiedziała, że ​​martwi się, że nie ma sprawdzonej wersji beta programu.

„Jak przetestowali tę rzecz w wersji beta? Jak w ogóle upewnili się, że testy były dokładne i że zadziałają? Kiedy masz do czynienia z nowymi protokołami Wi-Fi, które w zasadzie stworzyli, musisz je bardzo dokładnie przetestować. Wydaje się, że tak nie jest, szczególnie w niektórych grupach internetowych, które śledzę, w których ludzie zrezygnowali” – powiedziała.

Program to wygrana dla konsumentów: Higginbotham

Pomimo zastrzeżeń Bhatii i Herolda, Stacey Higginbotham, dziennikarka technologiczna, która skupia się na na urządzeniach IoT, wyjaśnia w swoim najnowszym biuletynie, że ogólny program Amazona jest wygraną konsumentów.

„Głęboko wierzę, że ta sieć przyniesie ogólną korzyść konsumentom i programistom, którzy mogą dodawać nowe funkcje lub budować nowe, tańsze urządzenia, które z niej korzystają” – napisała. „Funkcje prywatności i bezpieczeństwa są legalne. Ponownie: Amazon nie widzi Twoich danych i nie widzi danych programistów. Ani nikt inny. Innymi słowy, myślę, że powinieneś się zgłosić”.

Dodaje, że jeśli jesteś „maniakiem kontroli” lub kimś, kto jest dobrze zorientowany w protokołach bezpieczeństwa, ale nadal jest ostrożny, mogą zrezygnować.

„Większość doszła do wniosku, że po prostu nie chcą, aby ich sieć domowa była wykorzystywana jako pomost dla nieznanych pakietów. A jeśli te pakiety były nielegalne? Co się stanie, jeśli dostawca usług internetowych nie zezwoli na taki rodzaj użytkowania? Nie mogę dyskutować z maniakami kontroli, ale mogę wskazać, że sieć AirTag i FindMy Apple działa na podobnym zasady korzystania z danych domowych lub komórkowych do udostępniania danych o lokalizacji Bluetooth w sieci typu mesh ad-hoc”, ona napisał.