Xiaomi Mi Scooter (m365) hackerabile: aggiornamento risolve la vulnerabilità
Un hacker può riuscire a stabilire con semplicità la connessione Bluetooth con lo scooter e procedere all'installazione di un firmware malevolo, tramite il quale è possibile controllare funzioni chiave del mezzo (dal freno all'acceleratore).
Aggiornamento 21/03
Xiaomi risolve la vulnerabilità con l'aggiornamento 1.5.1 rilasciato in modalità OTA. Come spiegato dall'azienda cinese, l'update sarà disponibile previa installazione dell'ultima versione dell'app Mi Home / Xiaomi Home (5.5.0 per Android, 4.13.101 su iOS).
Articolo originale – 12/02
I ricercatori di Zimperium, azienda impegnata nel campo della cibersicurezza, hanno messo in evidenza una vulnerabilità che, se sfruttata dagli hacker, potrebbe consentire di prendere il controllo da remoto di un popolare monopattino elettrico, il Mi Scooter (m365) di Xiaomi. Rani Idan responsabile ricerca software di Zimperium ha dichiarato di aver individuare la falla in poche ore e di essere riuscito a sfruttarla con successo:
Sono stato in grado di prendere il controllo di qualsiasi funzionalità dello scooter senza autenticazione e di installare un firmware malevolo. L'aggressore potrebbe attivare improvvisamente il freno o accelerare …
Il ricercatore sottolinea che il software dello scooter presenta tre principali componenti: uno dedicato alla gestione della batteria, il firmware che serve ad interfacciare hardware e software ed infine quello dedicato al modulo Bluetooth che permette agli utenti di comunicare con lo scooter via wireless sfruttando la companion app per smartphone.
Proprio la connettività Bluetooth rappresenta l'anello debole della catena: il ricercatore ha notato infatti che è possibile collegarsi allo scooter via BT senza necessità di inserire una password o di soddisfare le richieste di altri sistemi di autenticazione. Una volta stabilita la connessione, il ricercatore ha potuto inviare e installare un firmware malevolo, senza che il sistema effettuasse verifiche sulla provenienza.
Nel filmato condiviso da Zimperium si illustra come sia possibile bloccare da remoto lo scooter: facile immaginare che se venisse realmente messo a segno un attacco di questo genere, mentre l'utente è impegnato ad attraversare l'incrocio, le conseguenze potrebbero essere molto gravi.
https://www.youtube.com/watch?v=ASygXa8UVYk
L'applicazione malevola effettua una scansione degli scooter Xiaomi presenti nelle vicinanze e, dopo aver stabilito la connessione, blocca il mezzo sfruttando la funzione antifurto.
Zimperium ha comunicato a Xiaomi la vulnerabilità scoperta, ma per la soluzione bisognerà attendere, visto che il produttore cinese si poggia ad uno sviluppatore esterno per l'implementazione del modulo Bluetooth dello scooter. Xiaomi dice che si tratta di un problema noto e che è al lavoro con il partner per risolverlo:
E' un problema noto internamente. Trattandosi di un prodotto frutto della collaborazione con terze parti, stiamo cercando di comunicare reciprocamente per trovare delle soluzioni.
Non è il primo caso documentato relativo ad una falla nei sistemi di sicurezza degli scooter elettrici: nel 2017 anche Segway/Ninebot fu protagonista di un episodio analogo – la vulnerabilità era sempre riconducibile alla connettività Bluetooth – e rilasciò un firmware con lo scopo di correggere parte dei problemi evidenziati dai ricercatori.
VIDEO
Conta che a Milano li noleggiano.
Il fatto che sia privato è irrilevante nella discussione: un' azienda non è mai in ogni caso equiparabile al singolo cittadino.
La macchina privata ricade totalmente nella voce dei costi e infatti è equiparabile ad un bene di lusso, una macchina del car sharing è UNO STRUMENTO e come tale viene dato in affitto ad un costo, tale costo include anche la manutenzione: quando la macchina si rompe, si guasta o va aggiornata queste spese sono già tenute in considerazione ed effettuate e come in ogni azienda gli strumenti sono soggetti ad ammortamento e quindi viene anche tenuto in considerazione un ciclo vitale che al suo esaurimento porta alla sostituzione dello strumento con un'altro, cosa che il singolo cittadino fa molta più fatica a seguire non ottenendo alcun guadagno dal veicolo.
Aggiungo che il parco automobili PRIVATE circolante in Italia ha mediamente 9 anni( alcune quotidiani riportano 11 anni all' ultimo censimento, altre analisi 9 e mezzo), le auto delle società di sharing hanno un ciclo di vita nettamente inferiore: pertanto già oggi risultano essere sempre in linea con le specifiche più aggiornante del costruttore: tutto questo iter non ha motivo di essere diverso in futuro a prescindere dal tipo di veicolo.
Tu hai commentato ad un mio intervento dove partivo dicendo: "nelle grandi città con l'aumentare del car sharing il problema non si pone". Mi pare ovvio quindi che di questo sto parlando, non ho mai affrontato il discorso su un contesto diverso, ergo non ho mai detto che il problema globale sarà risolto così e realisticamente parlando accadrà esattamente come oggi: il singolo cittadino che puo' permettersi i costi del veicolo lo terrà aggiornato, alcuni la cambieranno e tanti altri usufruiranno degli aggiornamenti solo quando cambieranno il veicolo e altri ancora le trascureranno completamente: ci sono degli obblighi anche oggi, ma c'è sempre qualcuno che se ne frega e tra 100 anni questo comportamento non sarà diverso.
No
Nelle grandi città il car sharing sono realtà consolidate. Io sono di Milano e ho molti amici che non possiedono neppure la macchina: quando ti serve la prendi sotto casa a noleggio( e di giorno ti sposti con i mezzi). Lo scarico della manutenzione ( qualunque essa sia) va al gestore ovviamente ma il dettaglio che trascuri è che nel prezzo del servizio è compresa anche la quota per la manutenzione ordinaria.
Se pensiamo che nel futuro oltre al filtro e cambio olio, ci sarà sicuramente anche l'aggiornamento software, il problema è risolto eccome.
Non è un qualcosa di futuristico in termini cinematografici ma solamente di tempo: SE e QUANDO le macchine saranno a guida autonoma in maggioranza, il venir meno della possibilità di guidarla farà venir meno anche l'interesse di possederla perchè a quel punto non ci sentiremo più rappresentanti da quel tipo di oggetto.
A Modena sono passato davanti ad un auto della polizia piena e non mi hanno fermato quindi solo se trovi lo str***o ti fanno la multa
forse è meglio che faccia solo scooter e il mi9 viva sony
"In teoria" ;)
Si spera :D
Vero. Infatti altrove ho scritto "in teoria" ma in questo caso rispondevo "all'attesa di 20 anni" quando, oggi, neanche in tutti i Paesi europei sono considerati legali.
Ora, si presume di non dover aspettare tanto, voci di corridoio dicono che verso aprile verranno definite le modalità e gli strumenti operativi.
No. Mancano le modalità di attuazione.
Non c'è un pin di default, ma è possibile abilitarlo da app.
"A tale fine, entro trenta giorni dalla data di entrata in vigore della presente legge, [...] sono definiti le modalità di attuazione e gli strumenti operativi della sperimentazione"
I 30 giorni sono scaduti il 31 gennaio.
Ad oggi stando alla legge sono ancora illegali.
In teoria, dalla pubblicazione della recente legge di bilancio, sono diventati legali
Veramente nell'art 190 c. 8 si legge: La circolazione mediante tavole, pattini od altri acceleratori di andatura è vietata sulla carreggiata delle strade.
E un Decreto Ministeriale del 2003 ha sancito che i monopattini elettrici (con una velocità massima o inferiore ai 6 Km/h) possono essere assimilati agli acceleratori di andatura. Invece quelli che superano quella velocità sono assimilati ai ciclomotori a due, tre o quattro ruote e quindi devono essere omologati. Dopodiché possono circolare solo sulla carreggiata.
Ma nella recente legge di Bilancio hanno inserito un'articolo (il 102 che - se t'interessasse ho allegato sotto in un altro commento -) che dovrebbe normalizzare la situazione. Poi è anche vero che a Milano, fino a che non succede nulla, sono anche ben visti.
Veramente nella recente legge di bilancio c'è scritto:
102. Al fine di sostenere la diffusione della micromobilità elettrica e promuovere l’utilizzo di mezzi di trasporto innovativi e sostenibili, nelle città è autorizzata la sperimentazione della circolazione su stradadi veicoli per la mobilità personale a propulsione prevalentemente elettrica, quali segway, hoverboard e monopattini. A tale fine, entro trenta giorni dalla data di entrata in vigore della presente legge, con decreto del Ministro delle infrastrutture e dei trasporti sono definiti le modalità di attuazione e gli strumenti operativi della sperimentazione
il tuo correttore è più interessato alle università più che alle due ruote XD
Divertente
😂 Divertente
Purtroppo il rischio è già concreto. Le Tesla per esempio, possono essere hackerate senza problemi..
sbloccandolo fino a quale velocità si può portare? vorrei battere una di queste sul quarto di miglio https://uploads.disquscdn.c...
Lo comprerò quando Polimi farà uno scarico adeguato.
Quello di serie non mi piace
Ni
Purtroppo...e non ti auguro di usarlo!
Esiste software italiano?
il CdS non ha menzioni per questi mezzi, ma a quanto pare stanno cercando di provvedere con decreti appositi. Nel frattempo leggo tanti commenti su "multe salate" e "sequestri", ma anche googlando non sono ancora riuscito a tirar fuori nemmeno una fake news in tal merito.
A Milano poi ci sono addirittura gli m365 in sharing con app. Io e la mia compagna ne abbiamo comprati due e ci giriamo tranquillamente ovunque. Vigili, polizia, Carabinieri.. nessuno ci ha mai multati, tantomeno fermati.
Ricapitolando: all'atto pratico la legge non li classifica e le f.o. li ignorano.
che rapidità, 40 giorni per un aggiornamento così importante
Solo 20 anni? Non sarà mai vista bene
al momento si. se ti trovano fuori area private ti fanno una bella multa salata e credo anche il sequestro del mezzo.
Per le grandi metropoli l'evoluzione logica è il totale abbandono dell' auto di proprietà a favore di veicoli autonomi in sharing.
Quindi il problema (in questo scenario abbastanza lontano ma reale) non esiste.
Ripeto la mia domanda :
Ma questo coso in Italia è legale?
In teoria potrebbe circolare solo in aree private.
È un piacere relazionarsi con utenti intelligenti come te.
Tranquillo
Grazie per la correzione, non mi veniva la parola
Sarà bello quando il software delle nuove auto sempre più autonome sarà abbandonato come accade sui telefoni, lasciando bug aperti senza più patch.
Tanto dopo qualche anno basta prenderne una nuova se manca il supporto software no?
No un momento, qualsiasi dispositivo si può collegare al BT del monopattino? Non c'è un PIN?
Addirittura...
Quando l'ho letto ho sentito una fitta al cuore.
A me piace roottare, mi da un senso di libertà xD
Smettila di fare disinformazione.
No, te l'hanno scritto sul telefono da remoto.
Mr. robot de noialtri!!🙄🙄
Comunque, a parte gli scherzi, era un problema alquanto prevedibile e visto che si sta digitalizzando tutto ciò che si muove, sarà meglio che chi di dovere trovi una soluzione. (anche se secondo me sarà difficile da trovare)
Aah ok. Vabbè se ti può consolare aggiornano poco o nulla Smart TV da millemila €
History del browser qui in Italia è la cronologia. Tutto qua.
Voglio sono lampadine, giuro! :D
Beh potrebbero benissimo farti accendere qualche elettrodomestico mentre lo usi in modo da farti arrecare del male.
Tipo hai il tritarifiuti smart nel tuo lavello, stai lavando i piatti, un hacker può accenderlo a tua insaputa, ci infili la mano per sbaglio e zaac...il gioco è fatto
O se hai il garage smart, mentre tiri su la serranda per accedere alla tua auto, un hacker può nel momento in cui stai passando verso la serranda chiudertela all'improvviso e farti del male.
😱😱😱 azz à tutto questo non ci avevo pensato 😎😎😎 ma eventualmente il blog sarà implica in concorso ad hackeraggio??
Visto che l’unico modo di conessione è il bt questo non si potrebbe spegnere quando si viaggia e quando si ferma per poco tempo? Tipo se rimane più di 20 s fermo o finche il non scende il cavalletto il bt rimane spento tanto a chi serve vedere i dati se si va con il monopattino?
Oramai hai commentato, cancella tutto cache,, history del browser, sia telefono che computer, cancella il profilo Facebook, vamtatene al lavoro che sei finalmente libero del grande fratello Facebook, cancella anche la tua History di Google e Twitter, poi fai un appuntamento con qualcuno per un caffè nella zona che il tuo capo passa atraverso per andare a lavoro. E li che farai il colpo mentre sarai in bagno. Utilizza un antena Bluetooth per il range estender.
Ricordati di non regalare te direttamente il monopattino al tuo capo. Fai sì che si interessi o magari ofrili un affare, fai che lo prendi anche tu e magari vi danno uno sconto ecc... ;)
Scusami..lo xiaomi box tv.
E tu che ci fai con una loro TV?
Qualcuno ha detto Watch Dogs?
peccato che non hanno bucato nest, ma che chi ce l'aveva era con una password ridic9la
Se lo regalo al capo pensate che qualcuno possa rincondurlo all'articolo?
Di default un router non dovrebbe essere configurabile dall'esterno della rete locale, in ogni caso...Da quel che avevo sentito in passato alcuni dispositivi Cisco invece avevano la porta telnet aperta di default, con password "admin" chiaramente...
Se tanto mi da tanto e quindi un Redmi 5 note rootato viene considerato come un XS max...ma meglio. Questo se hackerato bene può competere con una desmosedici come minimo, ma andrà meglio in curva xD
basta non affidarsi a xiaomi o peggio ancora marche semisconosciute ed attivare ogni misura di sicurezza attivabile (2 fattori, password (anche del router) complessa ecc). Comunque se ti entrano nell'account della banca o nell'email non è tanto meglio, anzi
ci potrebbe essere dentro una camera con microfono che registra tutto quello che c'è intorno
di xiaomi ho comprato il giravite ,quello non è hackerabile
Aggiorneranno insieme allo xiaomi tv..credeteci!
Ci installi SuperSU
E Watch Dogs muto...
Le yeelight si le philips no. Io le uso principalmente in abbinata con i sensori di presenza xiaomi.
Quindi non uso quasi mai il comando vocale e le ho entrambe.
Ovviamente compatibili con Google home Vero ?
grazie!
Yeelight xiaomi o philips xiaomi... E no non mi pagano per fagli pubblicità :) però in casa ne ho 4 e sono soddisfatto
Yeelight xiaomi o philips xiaomi, costano poco funzionano bene.
Su gearbest o altri siti simili cinesi si trovano dai 9 ai 14 euro.
io starei pure in casa perchè ti potrebbero investire in giro
subito sopra quello cinese nelle posizioni basse della classifica
eh, non avendo ancora comprato non mi sento di consigliare nulla, più che altro sto leggendo feedback su amazon e qualcuna sembra più apprezzata di altre... però a me occorrono come luci primarie, per cui ho bisogno di lumen di picco abbastanza elevati, non so se anche tu hai quest'esigenza o punti più a luci d'atmosfera... quelle che mi attiravano di più si chiamano TECKIN E27, vengono circa 13 euro l'una prendendone 4...
cos'è che non lo è?
1615183154915 !
alcuni modelli che consigli?? anche io volevo farci un pensiero
Meno male!
Quello chiaramente potrebbe essere piu' seccante... :D
eh, come ho scritto io insomma: dipende dall'oggetto.
allora non le compro! :D
a parte gli scherzi, ci stavo facendo un pensierino... ormai tanti modelli costano poco e non necessitano di hub dedicati...
No lo smartphone, è lui che fa la spia
Se ti hackerano le telecamere smart, il termostato, le serrande e la serratura di casa ne riparliamo.
Un classico...
Possono fulminarti la lampadina!! :P
anche il mio router comunica con lo smartphone...che faccio, butto il router? :D
Si vabbè...
non che il software italiano sia tanto meglio eh...
addirittura? vabbè, dipende dall'oggetto... cioè, se mi hackerano una lampadina smart grossi danni non possono farmene! :D
dimostra quanto la sicurezza nell'iot sia tutt'altro che considerata
il software cinese