image

Bluetooth kuisheidskooi door kwetsbaarheid bij alle dragers te vergrendelen

woensdag 7 oktober 2020, 09:43 door Redactie, 11 reacties
Laatst bijgewerkt: 07-10-2020, 10:45

Een kwetsbaarheid in een bluetooth kuisheidskooi van fabrikant Qiui, die ook in Nederland wordt aangeboden, maakt het mogelijk om die bij alle gebruikers te vergrendelen, zonder dat die het apparaat op eenvoudige wijze kunnen openen. Alleen door de kuisheidskooi fysiek open te breken zou de gebruiker kunnen worden bevrijd. Daarnaast blijkt de API waar de bijbehorende app gebruik van maakt allerlei persoonlijke gegevens te lekken, waaronder locatiedata, plaintext wachtwoorden en uitgewisselde privéberichten.

De Qiui Cellmate kuisheidskooi is via de bijbehorende Qiui-app te bedienen. Het idee achter de kuisheidskooi is dat man zijn lid in het apparaat plaatst en iemand anders de kooi laat bedienen. Deze persoon kan dan bepalen wanneer de kooi wordt geopend. De Cellmate biedt geen fysieke manier om de kooi te openen. Via de bijbehorende app kunnen de drager en de persoon die de kooi kan bedienen met elkaar communiceren. Er zouden naar schatting 40.000 exemplaren van het apparaat in omloop zijn.

Onderzoekers van securitybedrijf Pen Test Partners vonden verschillende kwetsbaarheden in het product. Communicatie tussen gebruikers van de app en de servers van Qiui vindt zonder authenticatie plaats. Verzoeken worden via eenvoudig te achterhalen "member" en "friend" codes uitgevoerd. Zo is de membercode op de registratiedatum van de gebruiker gebaseerd en bestaat de friendcode uit zes cijfers.

Met deze codes is het mogelijk om bij de servers van Qiui van alle gebruikers hun naam, telefoonnummer, geboortedatum, locatiegegevens, de memberbode en het plaintext wachtwoord op te vragen. Via de opgevraagde membercode is het vervolgens mogelijk om de permissies te veranderen, zodat de kuisheidskooi niet meer door gebruikers is te openen. Alleen door het apparaat fysiek open te breken kan het dan bij de drager worden verwijderd.

Op 20 april waarschuwde Pen Test Partners de fabrikant, maar de onderzoekers ontvingen geen reactie. Eind mei werd Qiui opnieuw benaderd, wat leidde tot een nieuwe versie van de app die op 11 juni verscheen. Sommige problemen bleken nog steeds aanwezig te zijn en oudere versies van de app zijn nog steeds kwetsbaar. Qiui werd opnieuw gewaarschuwd, maar het bedrijf gaf geen reactie. De onderzoekers informeerden twee Britse winkels die het product aanbieden, waarop één besloot om hiermee te stoppen. Daarop liet Qiui weten dat de resterende problemen in augustus zouden worden verholpen, maar dat is niet gebeurd. De kwetsbare API is nog steeds operationeel.

Reacties (11)
07-10-2020, 09:50 door Anoniem
eeehm. voor de mensen die niet willen klikken maar wel willen weten wat het is:
het is een soort hangslot voor de man, die daardoor zijn zaken buiten de deur niet kan regelen.

Leuk, als je van spelletjes houdt, maar minder leuk als je dat ding aangemeten krijgt door iemand waardoor je niet meer thuis kunt komen. soort van geavanceerd bomvest op afstand, alleen gaat de bom pas af als je vrouw vraagt wat dat nu weer is, en waar je het vandaan hebt.

man man man...
07-10-2020, 10:06 door Tha Cleaner
Lullig.....

Een soort van super global evil keyholder.

Hele lullige hack... echt klote.

Offtopic: Snel even app store controleren voor updates....
07-10-2020, 10:21 door Anoniem
lullig, ik moest even googlen wat het nog meer zou kunnen betekenen dan het dichtst bij de hand liggende...
komt je vriendin net je werkkamer binnen gelopen... Leuk schat, wanneer komt hij binnen?
07-10-2020, 11:26 door Anoniem
Geeft een nieuwe betekenis aan vendor lock-in
07-10-2020, 12:12 door Anoniem
Door Anoniem: Geeft een nieuwe betekenis aan vendor lock-in
Idem m.b.t. 'member code'.
07-10-2020, 12:31 door Anoniem
Ha, ze hebben de stagiair lekker in de zeik genomen door een spannend speeltje te laten vulnerability testen.

En natuurlijk : het werkt . Een stuk meer clicks op een 'cock cage lockout' dan op "my little pony bricked"

Je kunt ook wel boeiende brandweer-en-ER verhalen vinden van grote moeren gebruikt als doe-het-zelf cock ring.
Ondanks visioenen van slijptollen en hydraulische scharen nabij heel gevoelige delen - het schijnt toch te lukken om die dingen eraf te krijgen zonder (extra) schade aan de patient.
Wbt _extra_ schade : te lang een gestremde bloedsomloop laat een lichaamsdeel afsterven. Geen geintje. priapisme is geen gelukje voor mevrouw, maar een redelijk urgent (orde uren) bezoek aan de Eerste Hulp.
07-10-2020, 13:09 door Anoniem
Dus een moderne én hackbare versie van de kuisheidsgordel.

Voor wie daar niet mee bekend is: https://nl.wikipedia.org/wiki/Kuisheidsgordel

Sommige zaken moet je gewoon niet willen. En zeker niet online.

Ik ben benieuwd wanneer de melding komt dat alle 40.000 apparaten op slot zitten door een aanval.
En aangezien de fabrikant niet thuis geeft, kan dat pijnlijk worden voor de dragers.
07-10-2020, 16:35 door Anoniem
Gewoon de slijptol pakken wat kan er gebeuren
08-10-2020, 01:19 door Anoniem
Door Anoniem: Gewoon de slijptol pakken wat kan er gebeuren

'scrotum self repair'
(niet helemaal slijptol voor een afgesloten cock cage, maar in de buurt)
https://www.snopes.com/fact-check/suture-self/

Lockpicking Lawyer bellen - die kan eerst het ding openen, en daarna de leverancier aanklagen....
08-10-2020, 13:45 door Anoniem
Nou dan heb je wel een hangslot. :)
04-11-2020, 10:55 door Anoniem
Inmiddels is het data lek al gedicht en is het weer veilig om te gebruiken.
Ook mijn kooi was gehacked, maar dat was perfect binnen 2 uur opgelost door een reset.
Inmiddels is de app versie 3.0.47 uit waar je veilig dit kooitje weer mee kan gebruiken.

En voor een ieder die bang is dat zijn vrouw/vriendin er achter komt, gebruik het gewoon niet.
Je kan er nog wel eens raar van staan te kijken als je vrouw/vriendin er wel het nut van inziet.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.