La puerta trasera encontrada en una cama
(trufflesecurity.com)- En la cama con control de temperatura Eight Sleep, que depende de la conexión a internet y de una app, se encontraron indicios de acceso SSH remoto y claves de AWS, lo que muestra que las camas inteligentes conllevan riesgos de seguridad, privacidad y confiabilidad
- El firmware podía descargarse desde una URL de actualización con solo incluir el valor
deviceId, yproduction.jsoncontenía configuraciones SSH que apuntaban a hosts remotos comoremote-connectivity-api.8slp.net - Debido a la dirección de correo asociada con la clave pública registrada en el dispositivo, surgió la preocupación de que el equipo de ingeniería de Eight Sleep pudiera acceder a la computadora basada en Linux dentro de las camas de sus clientes
- Las claves de AWS expuestas parecían tener permisos de escritura en Kinesis, y se calculó que, si se abusaba de ellas, podrían generar costos de unos 100,000 dólares al mes mediante 5,000 solicitudes
PUTpor segundo - Una alternativa física que conecta los tubos de la cubierta Eight Sleep a un enfriador de acuario de 150 dólares ofrece un control de temperatura similar sin app, suscripción ni conexión a internet
Restricciones básicas de la cama Eight Sleep
- Eight Sleep es un producto que ajusta la temperatura de la cama para hacerla más cálida o más fría, una función atractiva para usuarios con insomnio
- Para usar el producto en la práctica, hay que aceptar tanto el precio como sus restricciones de conectividad
- El precio de la cama es de 2,000 dólares
- No funciona si se cae internet
- Algunas funciones básicas están detrás de una suscripción mensual de 19 dólares
- El único medio de control es la app móvil
- Aunque el control de temperatura en sí era útil, tras revisar el firmware surgió la necesidad de buscar una alternativa más simple y menos dependiente de internet
Descarga del firmware e indicios de SSH remoto
- El firmware de Eight Sleep podía descargarse mediante una URL de actualización
https://update-api.8slp.net/v1/updates/…- Bastaba con poner cualquier número en el lugar de
{anynumber}
- Dentro del firmware había configuraciones que parecían corresponder a acceso SSH remoto
- Hay indicios de que SSH estaba expuesto a hosts remotos como
remote-connectivity-api.8slp.net - Normalmente, SSH debería ser accesible solo desde la red local, pero las variables de
production.jsonparecen abrir la puerta a acceso remoto
- Hay indicios de que SSH estaba expuesto a hosts remotos como
- El dispositivo tenía registrada una clave pública que permitía el acceso
- La dirección de correo asociada a la clave pública sugiere la posibilidad de que todo el equipo de ingeniería tuviera acceso a la clave privada
- Si esta suposición es correcta, el equipo de ingeniería de Eight Sleep podría controlar la computadora basada en Linux dentro de las camas de sus clientes
Impacto que podría generar el acceso remoto
- La cama puede revelar patrones de vida del usuario a partir de datos relacionados con el sueño
- Puede saber cuándo duerme una persona
- Puede detectar si en la cama duermen dos personas en vez de una
- Puede saber si es de noche y no hay nadie en la cama
- Si el acceso remoto es posible, las funciones normales de control también podrían quedar expuestas al control externo
- Cambiar la temperatura
- Activar la función de vibración
- Apagar la alarma
- Si la cama está conectada a la red doméstica, el problema podría extenderse al acceso a otros dispositivos
- En la misma red podría haber refrigeradores inteligentes, estufas inteligentes, lavadoras inteligentes, laptops, etc.
- La seguridad de los dispositivos accesibles mediante enrutamiento a través de la cama quedaría, en la práctica, en manos de los ingenieros de Eight Sleep
- El usuario no recibe logs ni notificaciones para verificar cuándo ocurre este tipo de acceso
- Un modelo en el que los ingenieros tienen acceso SSH arbitrario a todos los dispositivos de los clientes está lejos de las mejores prácticas de seguridad
Claves de AWS y riesgo de costos en Kinesis
- Las claves de AWS encontradas en el firmware parecían usarse para transmitir datos hacia Amazon
- No se confirmó la política exacta de las claves
- Esto se debió a que Eight Sleep revocó las claves poco después del reporte
- Por el contexto, sí se pudo confirmar que tenían permisos de escritura en Kinesis
- Si un atacante hubiera usado esta clave, podría haber enviado 5,000 solicitudes
PUTpor segundo a Kinesis - En ese caso, Eight Sleep podría haber enfrentado costos de AWS de alrededor de 100,000 dólares al mes
Alternativa hecha con un enfriador de acuario
- Si se retiran los tubos de goma de la cubierta Eight Sleep y se conectan a un enfriador de acuario de 150 dólares, se puede obtener una función de control de temperatura similar
- El trabajo necesario es simple
- Se puede conseguir una cubierta Eight Sleep en eBay por unos cientos de dólares
- Se cortan las bridas que sujetan los tubos
- Se conectan los tubos de la cubierta al enfriador de acuario
- Es un procedimiento no destructivo, reversible, que toma unos 30 segundos
- Aunque se llame enfriador de acuario, no solo enfría: también puede calentar
- Usa elementos termoeléctricos para regular la temperatura del líquido que circula
- Utiliza el mismo tipo de tecnología que Eight Sleep
- Este método ofrece control de temperatura para la cama sin app, suscripción, conexión a internet, puertas traseras ni responsabilidad de seguridad
- Existe otro proyecto para eliminar la conexión a internet de Eight Sleep, el proyecto Free Sleep, pero el método de botones físicos del enfriador de acuario es una opción más simple
Modelo de negocio y confiabilidad a largo plazo
- Eight Sleep recaudó 110 millones de dólares en capital de riesgo y es una empresa con ingresos anuales superiores a 300 millones de dólares
- El producto incluye un modelo de suscripción y forma parte de la lista de dispositivos conectados a internet que podrían dejar de funcionar algún día si los servidores de la empresa matriz se apagan
- El enfoque simple con enfriador de acuario se convierte en una alternativa de control de temperatura que reduce la dependencia de servidores y los problemas de acceso remoto
1 comentarios
Opiniones de Hacker News
Compré un sistema de jardinería de interior y, pensando que tenía un problema, contacté a soporte al cliente. El equipo de soporte lo revisó y me dijo que estaba bien, que necesitaba tiempo para adaptarse.
Pero en ese proceso dijeron que habían revisado la cámara.
Más tarde compré otro de segunda mano y, al limpiarlo, vi que por dentro era simplemente una Raspberry Pi. Al conectarle micro HDMI y teclado, estaba corriendo Raspberry Pi OS tal cual.
No tenía actualizaciones y VNC estaba activado, así que la gente de la empresa podía conectarse remotamente a mi dispositivo, ver el video de la cámara y hacer cosas en mi red. Una pesadilla de seguridad.
Si es posible los uso solo en la red cableada y bloqueo su acceso a Internet en el firewall.
Por este tipo de cosas me gustan los dispositivos Zigbee, y no me entusiasma mucho la tendencia de Matter y de “IP en todas partes”.
Ni siquiera se puede saber qué funciones tienen, y algunos incluso tenían cámara.
Lo único que faltaba era un micrófono, pero como hay productos que se conectan con Alexa, ese deseo ya se cumplió también.
“Alexa, limpia lo que derramé en el dormitorio.”
“Lo siento, pero eso requiere una limpieza profunda. Como todavía queda crédito disponible en su segunda tarjeta, he pedido el servicio de limpieza profunda para el martes, coincidiendo con su hora de salida.”
He sufrido insomnio durante casi toda mi vida, así que empatizo con eso de que “para alguien con insomnio parecía algo que valía la pena probar”.
Lo que me ayudó muchísimo fue una simple máquina de ruido blanco, de esas que se usan a menudo para dormir a los bebés.
La ventaja es que duermo muy bien, no se conecta a Internet y no necesita app.
La desventaja es que ahora casi no puedo dormir sin ese aparato, así que tengo que llevarlo en viajes o campamentos, e incluso compré uno de repuesto por si se descompone.
Otra gran mejora fue esforzarme por aceptar que las preocupaciones que me despertaban por la noche estaban exageradas y que mi vida estaba bastante bien. Requirió un esfuerzo real, pero funcionó.
Lo dejo por si le sirve a alguien que esté batallando con el sueño.
https://www.amazon.com/Yogasleep-Portable-Soothing-Rechargea...
Se puede usar en Configuración -> Accesibilidad -> Audio/visual -> Sonidos de fondo. Cada sonido hay que descargarlo una vez, pero después queda en el dispositivo.
Como es incómodo meterse tan profundo en Configuración cada vez, conviene agregar al Centro de control un control como “Sonidos de fondo” para activar y desactivar, por ejemplo, el sonido del mar.
Cuando quiero tomar una medida extra para no despertarme a medianoche, lo activo en el iPad y me duermo.
También puede servir como mesa para dejar el teléfono y como punto de carga.
No podía dormir sin ruido blanco y además era alérgico a los perros; ahora ambas cosas están resueltas.
Creo que las sensaciones físicas derivaban en un estado mental, aunque no puedo demostrarlo.
La mayoría de los diagnósticos asumen lo contrario: que el estado mental produce síntomas físicos como nerviosismo, apretar los dientes o esa sensación de vacío en el estómago.
Quienes sufren de un nervio comprimido, como una ciática que no responde bien al tratamiento, quizá deberían considerar también posibles causas físicas.
En mi caso, la osteoporosis hizo que la columna colapsara, y se resolvió con una fusión lumbar S1-L5-L4.
La cirugía y la recuperación fueron durísimas, pero ahora muchas veces duermo como muerto, y eso es excelente. Cada persona puede variar.
Tengo más tinnitus en un oído que en el otro, así que poder ajustar ambos lados por separado me resulta útil.
A medida que envejezca y desarrolle pérdida auditiva, quizá necesite depender menos de la tecnología.
En casa uso un producto simple que se enchufa a la corriente y produce sonido con un ventilador; se ve más o menos así: https://res.cloudinary.com/guest-supply/image/upload/f_auto,...
Cuando viajo llevo un modelo portátil pequeño y recargable: https://www.amazon.com/Machine-Babelio-Adults-Non-looping-So...
Uso Android, así que no tengo sonidos integrados como en iOS.
“Cuando digo backdoor, ¿a qué me refiero? Claro que Eight Sleep necesita una forma de enviar actualizaciones y brindar servicio y soporte. Eso es esperable.
Pero permitir que todos los ingenieros de Eight Sleep se conecten por SSH de forma remota a las camas de los clientes, se salten todos los procesos oficiales de revisión de código y ejecuten código arbitrario, cruza una línea.
Y encontré evidencia de que eso efectivamente está ocurriendo”.
Esto es realmente una historia enorme
Dirijo Memfault, una empresa SaaS de observabilidad para compañías de hardware, y constantemente nos preguntan si podemos ofrecer una solución de acceso remoto.
Muchos de nuestros competidores, de hecho, sí la ofrecen.
Pero nosotros creemos que esto (a) implica una responsabilidad de seguridad enorme y (b) es demasiado fácil de abusar.
En el fondo, como a los consumidores no les importa, hasta que eso cambie se puede asumir que una buena parte de los dispositivos Linux embebidos tendrán este tipo de backdoor.
El estado de seguridad del producto en sí no fue inesperado, pero esta parte sí me impactó:
“Estaba dispuesto a aceptar lo siguiente: la cama cuesta 2.000 dólares, no funciona si se cae Internet, las funciones básicas están detrás de una suscripción adicional de 19 dólares al mes, y la cama solo se puede controlar con una app móvil”.
Nada en esta cama debería depender de servidores externos, y nada debería requerir una suscripción.
Me entristece que el mercado parezca demasiado tonto como para votar en contra de una industria tecnológica rentista.
El concepto en sí es absurdo, pero si se vende, se vende.
Por ejemplo, comprar la cama y luego reemplazar la placa de fábrica por una placa lógica ESP32 preprogramada.
No los considero tontos.
Los estadounidenses de esta clase siempre han tendido a pagar por servicios continuos en lugar de hacer las cosas ellos mismos de forma práctica.
Es probable que piensen inconscientemente: “Dejo que el personal de soporte en Bangladesh se encargue de la conectividad y las actualizaciones de la app móvil; yo solo tengo que apoyar la cabeza y ganar mucho dinero”.
Las empresas tecnológicas de hoy parecen fundarse sin considerar el buen comportamiento.
Ni siquiera hacen bien lo mínimo para respetar al cliente, como el soporte al cliente.
La industria IoT ha tenido problemas constantemente, y los primeros adoptantes se han quemado una y otra vez, así que a largo plazo el mercado se lo tiene merecido; pero el espionaje y la vigilancia encubiertos se vuelven más sutiles cada año.
Es un problema grave para la tecnología del futuro. ¿Quién usaría productos cibernéticos o de soporte vital de una empresa así?
Podría aplicarse el rigor que se exige a empresas de dispositivos médicos como Medtronic, pero no está claro si esa regulación abarca también la seguridad de la información y la privacidad.
Claramente vivimos en una época de creciente autoritarismo. China se volvió mucho más autoritaria bajo Xi Jinping, en Europa ascienden fascistas de derecha, y la polarización extrema, incluso suponiendo que en la trayectoria actual se celebren las próximas elecciones, lleva a un autoritarismo cíclico.
Rusia intenta ampliar su esfera de influencia y sacudir las instituciones democráticas en todo el mundo.
La privacidad debilitada y la recopilación de datos son herramientas para que los estados autoritarios logren una conciencia informativa total, y esto empeora mucho más con el auge de una IA funcional.
El futuro de la humanidad se ve sombrío, y se siente como si se acercara un filtro.
Me gustó la frase: “Al final, la incomodidad cibernética creció lo suficiente como para que decidiera buscar una solución más simple y menos conectada a Internet para mi necesidad de una cama con control de temperatura”.
Y casi se me salieron los ojos al darme cuenta de la implicación de lo siguiente:
“Pueden saber cuándo duermes. Pueden detectar si en la cama duerme una persona o dos. También pueden saber si es de noche y no hay nadie en la cama”.
La pregunta más realista es si existe algún medio de consumo que haga reseñas de seguridad de productos.
Me parece que lugares como Consumer Reports deberían publicar si un producto es o no una pesadilla de seguridad.
Al final, este tipo de información debe difundirse ampliamente y las redes sociales deben llevarla a los consumidores, pero los medios tipo revista podrían asumir parte de esa responsabilidad.
Como no hay intersección entre compradores potenciales y personas preocupadas por la seguridad, los ingresos publicitarios serían exactamente 0.
Empleados curiosos y menos éticos podrían ponerles apodos a usuarios especialmente “activos” o “interesantes”, apostar por sus favoritos y empezar a relacionar quién duerme con quién.
Más seriamente, esto es un dispositivo de recopilación de datos para aprender los hábitos de los usuarios y venderlos a otras empresas o usarlos en nuevos negocios.
Todo lo que envía datos de vuelta sin un consentimiento claro y explícito no los envía para ayudar al usuario.
https://www.technologyreview.com/2024/02/27/1088154/wifi-sen...
Me gustó la parte de que el CEO parece seguidor de Musk
Hasta la redacción del tuit es parecida, algo como “una parte de San Francisco no durmió bien. Tenemos que arreglarlo”
Pero hoy en día casi que extraño algo de ese nivel
Básicamente está metiendo una puerta trasera en el lugar donde duerme la gente, y seguramente hay un mercado para esos datos
Una suscripción de cama de 20 dólares al mes es objetivamente graciosa
Cuesta imaginar cómo esta empresa atrae a una cantidad de clientes distinta de 0
Cuando te das cuenta de lo importante que es la calidad del sueño y de cuánto puede ayudar este producto, una suscripción de cama de 20 dólares al mes se vuelve un costo ridículamente pequeño
Un buen colchón firme es caro
Pero no tengo ningún interés en la conexión a internet ni en el control de temperatura, y mucho menos en una suscripción
Esto da risa porque muestra lo ingenua y dependiente que puede ser la gente al esperar que la tecnología resuelva todos los problemas de su vida
El mercado está servido en bandeja, pero nadie ha intentado competir en serio con EightSleep
EightSleep es muy refinado, y los productos rivales parecen de los 90 en el mal sentido. HydroSnooze ni siquiera tiene control remoto
¿Una cama hecha de oro y caviar? Este artículo confunde
La clave es: “qué darías por unos 70 dólares al mes, amortizado a 5 años incluyendo la cama, por algo que mejora el sueño sin que tengas que hacer nada ni meterte nada en el cuerpo”
Las alternativas son pastillas para dormir, estudios del sueño, benzodiacepinas, suplementos, bajar de peso, ejercicio, rutinas de higiene del sueño, etc. Yo también las probé o las sigo haciendo, y funcionan, pero todas implican esfuerzo
El sueño es más importante para mi salud que lo que como. Hay gente así, y seguramente han visto a compañeros o amigos andar agotados por ahí
Lo revisé después de ver hablar a Bryan Johnson, y el precio, la app y la suscripción me parecieron tontos; también entiendo lo que todos dicen aquí. Tienen razón
Pero había una política de prueba gratis y ganó la curiosidad. Hasta ahora, durante 5 o 6 meses, ha sido sorprendentemente bueno
Puedes pegar a la cama un botón/zona falsa para cambiar la temperatura sin la app
La app que menciona el artículo también funciona al 100% y es rápida. Cuando estoy en casa, es tan rápida que parece funcionar por LAN
En comparación, la app de Nest, que vale 3,200 millones de dólares, es poco confiable y lenta. Basta pensar en cuántos días de vida ya perdí esperando la autenticación de Google y la conexión antes de cambiar la temperatura de la habitación donde estoy sentado
Eso debería explicar por qué se vende
Por cierto, ahora la cama no cuesta 2,000 dólares, sino 3,000 más impuesto sobre ventas. Amortizada a 5 años, son 3,000 dólares + 240 dólares * 5 = 4,200 dólares, y se divide entre 60 meses
En este hilo hay muchos malentendidos de gente que no revisó el producto. En realidad ni siquiera es una cama, sino una cubierta de enfriamiento líquido que se coloca sobre el colchón existente
Si quieres un colchón eléctrico que se levante cuando roncas, eso cuesta varios miles de dólares más
Mi esposa usa BedJet, que tiene tanto control remoto como app, y por suerte funciona sin una conexión activa a internet
Controla la temperatura usando una especie de sábana con bolsa a la que le inyecta aire
Para mujeres que sufren bochornos y escalofríos por la menopausia, ese control puede ser algo que les salva la cordura
Algunas mujeres no la pasan tan mal durante la perimenopausia, pero es un proceso que sacude fuertemente las hormonas
Si eres pareja de una mujer que atraviesa la perimenopausia, tienes que creerle cuando habla de lo que está viviendo
Muchas parejas no saben hasta qué punto puede destrozar a una persona, y ellas merecen toda la empatía posible
Eso sí, la app es completamente torpe y se siente vieja, y el mío no venía con control remoto
Si usas HomeAssistant y necesitas mejor control, puedes poner la integración ESPHome BedJet en un ESP32 extra: https://esphome.io/components/climate/bedjet.html
Es un poco irónico que haga falta un ESP32 externo para comunicarse con el ESP32 dentro de BedJet
Tiene bochornos constantemente
Me pregunto si BedJet es realmente tan bueno y si tu esposa lo recomendaría sin reservas
También quisiera saber si hay otros productos que le hayan ayudado a tu esposa
Perdón si la pregunta es demasiado personal, pero si pudiera mejorar el sueño de Sara, le cambiaría la vida
Las fluctuaciones hormonales le provocan caída del cabello, insomnio severo y cambios de ánimo, lo que ha reducido mucho su calidad de vida
Es duro verlo, no hay una solución mágica, y tampoco es que mi esposa esté haciendo algo “mal” que tenga que cambiar
Solo la parte de “Eight Sleep recolecta datos de las camas de la gente y a veces tuitea que te está viendo dormir”, junto con la captura de noviembre de 2023 en la que el CEO publicó datos de sueño de San Francisco, ya es motivo suficiente para no usar esta empresa
Es realmente escalofriante
No sé por qué se la suele clasificar como empresa tecnológica, aparte de haber hecho una versión negra de Casper
Quizás sea por su fuerte relación con Elon
Lo recuerdo porque me había suscrito a sus actualizaciones por correo
Aun así, me alegra no haberme suscrito al final, y según recuerdo me desanimaron los mismos problemas que el autor dice que “dejó pasar”
¿Una suscripción de cama? Que se vayan al diablo
Los otros productos rivales tienen un producto principal mucho peor, así que, lamentablemente, hay que aguantar las estupideces de EightSleep
Es una historia completamente aparte, pero que cualquier empresa le dé productos o servicios gratis al gobierno es ilegal, así que si el CEO de Pod les manda camas Pod a empleados de DOGE, estaría violando la ley.
Básicamente se considera soborno, y creo que en la práctica también lo es.
Aunque una cama cuesta 2,000 dólares, como costo para obtener un trato regulatorio favorable mediante una pequeña donación, es bastante barato.
Y hace falta sustento. Buscando rápido en Google, parece que no es ilegal si una agencia gubernamental lo confirma por escrito.