Όσο πιο κοντά έρχονται οι υπολογιστές στο σώμα και στο σπίτι μας, τόσο λιγότερο τους ελέγχουμε. Οι φορετές συσκευές διαφημίζονται ως προσωπική τεχνολογία, σπάνια όμως ανήκουν πραγματικά σε όποιον τις αγοράζει. Το ζήτημα το έχει αναδείξει η εκστρατεία Fight to Repair: οι κάτοχοι αυτών των συσκευών συνήθως δεν έχουν το δικαίωμα να τις εξετάσουν, να τις επισκευάσουν ή να αλλάξουν τον τρόπο που λειτουργούν. Ακόμη κι όταν η τροποποίηση του μη ελεύθερου λογισμικού τους είναι τεχνικά εφικτή, κανείς δεν μπορεί να μοιραστεί τις τροποποιημένες εκδόσεις χωρίς να εκτεθεί σε νομικούς κινδύνους. Είναι το ίδιο πάντα μοτίβο: τεχνολογία που βρίσκεται σε απόσταση αναπνοής από εμάς, αλλά παραμένει εκτός του ελέγχου μας.
«Fast Pair»: γρήγορη σύζευξη, γρήγορη ανασφάλεια
Τα ασύρματα ακουστικά δείχνουν πόσο εύκολα αυτή η απώλεια ελέγχου μετατρέπεται σε πρόβλημα ασφάλειας. Εκατομμύρια συσκευές με Bluetooth χρησιμοποιούν την υπηρεσία «Fast Pair» της Google, μη ελεύθερο λογισμικό που υπόσχεται να κάνει πιο εύκολη τη σύνδεσή τους: μέσω Bluetooth Low Energy και των υπηρεσιών τοποθεσίας του Android εντοπίζει αυτόματα τις κοντινές συσκευές και προτείνει σύζευξη. Ερευνητές ασφάλειας διαπίστωσαν ότι πίσω από αυτή την ευκολία κρυβόταν ένα σφάλμα που άνοιγε σοβαρό κενό ασφάλειας σε πλήθος προϊόντων, ανάμεσά τους ακουστικά μεγάλων κατασκευαστών: μπορούσαν να μετατραπούν σε εργαλεία παρακολούθησης. Οι επιτιθέμενοι είχαν τη δυνατότητα να συνδεθούν αθόρυβα με τη συσκευή και να υποκλέψουν τον ήχο, κατασκοπεύοντας τόσο τον χρήστη όσο και όποιον μιλούσε μαζί του. Σε ορισμένες περιπτώσεις μπορούσαν να ενεργοποιήσουν το μικρόφωνο και να τον εντοπίσουν μέσω του ίδιου του δικτύου της Google.
Το πιο ανησυχητικό είναι ότι οι ερευνητές δεν είχαν πρόσβαση στον πηγαίο κώδικα για να δουν πώς ακριβώς λειτουργεί το «Fast Pair». Για να βρουν τα κενά χρειάστηκε να καταφύγουν σε αντίστροφη μηχανική, μια δύσκολη και χρονοβόρα διαδικασία που δεν θα ήταν καν απαραίτητη αν το λογισμικό ήταν ελεύθερο και μπορούσε ο καθένας να το μελετήσει και να το βελτιώσει.
Το πρόβλημα δεν αφορούσε ένα μοντέλο ή έναν κατασκευαστή, και είναι πολύ πιθανό αμέτρητες συσκευές σε όλο τον κόσμο να παραμένουν ευάλωτες. Ακόμη χειρότερα, οι περισσότεροι χρήστες δεν μπορούν να διορθώσουν τη συσκευή τους παρά μόνο εγκαθιστώντας μια ενημέρωση μέσα από μη ελεύθερο λογισμικό της Google ή του κατασκευαστή. Αντί να έχουν την ελευθερία να επέμβουν και να βελτιώσουν, καλούνται να εμπιστευτούν έναν κώδικα που δεν τους επιτρέπεται να ελέγξουν.
Εξαιτίας των κενών του «Fast Pair», αλλά και των ζητημάτων ιδιωτικότητας που θέτει γενικότερα το Bluetooth, η αμερικανική Ομοσπονδιακή Επιτροπή Επικοινωνιών (FCC) συνιστά πλέον να το απενεργοποιούμε όταν δεν το χρησιμοποιούμε και να αποφεύγουμε τις περιττές συζεύξεις. Η Google δεν είναι, άλλωστε, η μόνη. Πρόσφατα η Apple κυκλοφόρησε ενημέρωση για το κλειστό firmware των ακουστικών Beats Studio Buds, κλείνοντας ένα κενό που επέτρεπε σε επιτιθέμενους να καταγράφουν συνομιλίες μέσω των μικροφώνων. Η Apple διόρθωσε το πρόβλημα, τέτοιες αδυναμίες όμως δεν είναι μεμονωμένα ατυχήματα· είναι σύμπτωμα μιας ευρύτερης λογικής. Όταν οι χρήστες δεν μπορούν να εξετάσουν ούτε να αλλάξουν το λογισμικό των συσκευών τους, εξαρτώνται πλήρως από τις εταιρείες: αυτές θα εντοπίσουν το πρόβλημα, αυτές θα το διορθώσουν, αυτές θα αποφασίσουν για πόσο καιρό θα στηρίζουν ένα προϊόν που εμείς πληρώσαμε.
Η Google κατασκοπεύει με το Nest
Το ίδιο ακριβώς φαίνεται και στα προϊόντα Nest της Google: θερμοστάτες, κουδούνια, κάμερες και συστήματα συναγερμού συνδεδεμένα στο δίκτυο της εταιρείας. Η μάρκα εξακολουθεί να υπάρχει, η Google όμως έχει σταματήσει την υποστήριξη για ορισμένα προϊόντα και για παλαιότερες γενιές συσκευών. Όσο βολικές κι αν παρουσιάζονται, η χρησιμότητα και η ασφάλειά τους κρέμεται από το μη ελεύθερο λογισμικό του κατασκευαστή. Μόλις η Google αποσύρει την υποστήριξη, η συσκευή παύει να λαμβάνει ενημερώσεις και συχνά αχρηστεύεται για τη δουλειά που αγοράστηκε να κάνει.
Στην περίπτωση του συναγερμού «Nest Secure», οι συσκευές έγιναν εντελώς άχρηστες όταν έληξε η υποστήριξη, μετατρέποντας ακριβό εξοπλισμό σε ακριβά πρες-παπιέ. Έχει σταματήσει επίσης η υποστήριξη για αρκετά παλαιότερα μοντέλα θερμοστατών Nest· οι ιδιοκτήτες τους έμειναν με μια συσκευή βιδωμένη στον τοίχο η οποία, όπως το διατυπώνει η ίδια η Google, δεν πρόκειται να λάβει ξανά ενημερώσεις λογισμικού ή ασφάλειας, με ό,τι αυτό μπορεί να σημαίνει για τη λειτουργία της στο μέλλον. Ακριβώς αυτού του είδους η αστοχία αποτρέπεται με ελεύθερο λογισμικό και δικαίωμα στην επισκευή.
Ευτυχώς για τους χρήστες του Nest, ομάδες χάκερ κατάφεραν να αναλύσουν και να ενημερώσουν το λογισμικό της Google και δημοσίευσαν τις μεθόδους τους στο πλαίσιο του εγχειρήματος «No Longer Evil». Οι επεμβάσεις τους στοχεύουν να δώσουν στους κατόχους την ασφάλεια που τους αρνείται η Google, έφεραν όμως στο φως και κάτι ακόμη: πρακτικές παρακολούθησης ενσωματωμένες στις ίδιες τις συσκευές. Η Google έκοψε τη δυνατότητα ενημέρωσης για τα μοντέλα που δεν υποστηρίζει πλέον, δεν έκοψε όμως και την καταγραφή στοιχείων για τους ιδιοκτήτες και τα σπίτια τους. Οι συσκευές Nest, ακόμη και οι εγκαταλελειμμένες, εξακολουθούν να στέλνουν δεδομένα για τις χειροκίνητες αλλαγές θερμοκρασίας, για το πόσο ηλιακό φως μπαίνει στον χώρο, ακόμη και για το αν βρίσκονται άνθρωποι μέσα στο δωμάτιο. Συνδυασμένα, αυτά τα στοιχεία συνθέτουν λεπτομερές προφίλ των συνηθειών και του τρόπου ζωής ενός νοικοκυριού.
Η Google μπορεί να σταμάτησε να συντηρεί αυτές τις συσκευές για λογαριασμό των ιδιοκτητών τους, οι συσκευές όμως συνεχίζουν να δουλεύουν για την ίδια, στέλνοντας πληροφορίες για τους ανθρώπους και τα σπίτια γύρω τους. Οι χάκερ του «No Longer Evil» κατάφεραν να απενεργοποιήσουν αυτή την καταγραφή — άλλη μια απόδειξη για το πόσο κρίσιμο είναι να μπορεί κανείς να μελετά και να τροποποιεί το λογισμικό που τρέχει μέσα στο ίδιο του το σπίτι.
Το βάρος δεν πρέπει να πέφτει στους χρήστες
Είναι ευτύχημα που υπάρχουν κοινότητες ερευνητών και χάκερ πρόθυμων να ρισκάρουν νομικές συνέπειες και να ξοδέψουν χρόνο και κόπο ώστε επισφαλή, κλειστά συστήματα να γίνουν λιγότερο επικίνδυνα. Δεν είναι όμως δουλειά τους. Μια χούφτα εθελοντών δεν μπορεί να σηκώνει το βάρος επιχειρηματικών αποφάσεων που θυσιάζουν την ιδιωτικότητα των πελατών. Οι κατασκευαστές κερδίζουν τρεις φορές — από την πώληση του υλικού, από τον έλεγχο του λογισμικού και από τα δεδομένα των χρηστών. Δεν μπορεί να αποποιούνται την ευθύνη της συντήρησης και ταυτόχρονα να εμποδίζουν τους χρήστες να την αναλάβουν οι ίδιοι.
Οι φορετές και οι οικιακές συσκευές δεν θα έπρεπε να απαιτούν προχωρημένες τεχνικές γνώσεις για να εντοπιστούν και να διορθωθούν οι απειλές που κρύβουν, πολύ περισσότερο όταν οι εταιρείες που ευθύνονται για το λογισμικό διαθέτουν άφθονους πόρους να το κάνουν οι ίδιες. Στα παραδείγματα που είδαμε, ανεξάρτητοι ερευνητές κλήθηκαν να καλύψουν το κενό που άφησαν κατασκευαστές οι οποίοι κράτησαν κλειστό τον πηγαίο κώδικα, κράτησαν τον έλεγχο των ενημερώσεων και αποφάσισαν μόνοι τους πότε θα πάψουν να στηρίζουν εξοπλισμό που είχε ήδη πουληθεί.
Οι χρήστες αξίζουν συσκευές που μπορούν να εξετάσουν, να επισκευάσουν και να βελτιώσουν μόνοι τους, όχι προϊόντα που παραμένουν υπό τον έλεγχο του κατασκευαστή για χρόνια μετά την αγορά. Όταν το λογισμικό δεν είναι ελεύθερο, ο κάτοχος εξαρτάται από την εταιρεία για ενημερώσεις ασφάλειας, για τη συμβατότητα των εφαρμογών, ακόμη και για τις πιο βασικές λειτουργίες — κι εκείνη διατηρεί πάντα τη δυνατότητα να αλλάξει τους κανόνες, να συλλέξει ευαίσθητα δεδομένα ή να αποσυρθεί εντελώς. Γι’ αυτό το ελεύθερο λογισμικό και το δικαίωμα στην επισκευή είναι δύο όψεις του ίδιου αγώνα. Όταν ένας θερμοστάτης συλλέγει αθόρυβα δεδομένα και τα στέλνει στον κατασκευαστή του χρόνια αφότου έπαψε να υποστηρίζεται, ή όταν ένα ακουστικό μπορεί να γίνει «κοριός» στα χέρια επιτήδειων, το πρόβλημα δεν είναι η απροσεξία του χρήστη· είναι η έλλειψη ελευθερίας στο λογισμικό.
Αν έχετε συσκευές ή αξεσουάρ με προαιρετικό Bluetooth, κρατήστε το κλειστό όσο δεν το χρειάζεστε. Ένα μεγαλύτερο βήμα, αν χρησιμοποιείτε προϊόντα και «υπηρεσίες» της Google: αποδεσμευτείτε. Κι αν την έχετε ήδη βγάλει από τη ζωή σας, ενημερώστε τους γύρω σας για το πόσο επιβλαβής είναι.
Πηγή άρθρου: https://www.fsf.org/