Ребята в Symantec собрали портативный сканер Bluetooth 4.0 из говна и палок на базе Raspberry Pi (общая стоимость — $75) и выяснили, какие данные можно поймать от людей, носящих фитнес-браслеты, а заодно проверили остальные цепочки передачи и хранения данных: мобильные приложения и серверы соответствующих сервисов.
Итоги:
- практически все браслеты на BLE открыто передают свой уникальный адрес, по которому их можно дальше отслеживать;
- 20% приложений простым текстом передают личные данные, включая логин и пароль к сервисам;
- у 52% приложений нет политики приватности;
- приложения обращаются, в среднем, к пяти доменам, максимум — к 14;
- в одном случае из-за никакущей реализации управления сеансами была выявлена возможность SQL-инъекции в БД сервиса, с которым связано приложение.
Похоже, что прецедент утечки данных полтора года назад никого не научил.
Статья: http://www.symantec.com/connect/blogs/how-safe-your-quantified-self-tracking-...
Отчёт целиком: http://www.symantec.com/content/en/us/enterprise/media/security_response/whit...