掃地機(jī)器人“叛變”了

電子發(fā)燒友網(wǎng)報(bào)道（文/黃山明）如今不少家庭都已經(jīng)習(xí)慣了掃地機(jī)器人的便捷，相比自己每天親自打掃，有了掃地機(jī)器人的清理顯然要方便的多。但是怎么也沒(méi)有想到，掃地機(jī)器人有一天居然會(huì)“叛變”。

初見(jiàn)端倪

近期，美國(guó)軟件工程師Harishankar Narayanan在其個(gè)人博客上發(fā)布了一篇《The Day My Smart Vacuum Turned Against Me》（掃地機(jī)器人背叛了我）的文章。

之所以發(fā)布這樣一篇文章，是因?yàn)樵?024年，Harishankar購(gòu)買了一臺(tái)iLife A11智能掃地機(jī)器人，平時(shí)都挺好用，能自動(dòng)規(guī)劃路線、繪制房間地圖。

但有一天，Harishankar發(fā)現(xiàn)這臺(tái)掃地機(jī)器人突然停止了工作，無(wú)論充電、重啟都毫無(wú)反應(yīng)，送去檢修，廠商卻表示這臺(tái)設(shè)備“一切正?！薄５婀值氖?，拿回家后，用了幾天它又自己“死機(jī)”了。

Harishankar懷疑，這臺(tái)設(shè)備出現(xiàn)問(wèn)題，可能與自己近期的做的一項(xiàng)事情有關(guān)，那便是此前在路由器上屏蔽了這臺(tái)掃地機(jī)器人與外部服務(wù)器的通信。

將掃地機(jī)器人重啟之后發(fā)現(xiàn)，只要允許它訪問(wèn)互聯(lián)網(wǎng)，便會(huì)立刻恢復(fù)正常。而一旦斷網(wǎng)，又陷入到了死機(jī)狀態(tài)，就像是被遠(yuǎn)程“鎖死”了一樣。就這樣重復(fù)了3-4次后，由于保修過(guò)期，廠商拒絕了維修。因此，Harishankar決定把這臺(tái)掃地機(jī)器人拆開(kāi)看看。

一探究竟

拆開(kāi)后發(fā)現(xiàn)這臺(tái)掃地機(jī)器人的內(nèi)部結(jié)構(gòu)還是比較復(fù)雜的，主控板是一顆全志A33 SoC，常見(jiàn)于平板電腦。系統(tǒng)運(yùn)行的是TinaLinux，全志在嵌入式設(shè)備上使用的一個(gè)輕量版Linux發(fā)行版。

旁邊還有一顆GD32F103 MCU，負(fù)責(zé)管理傳感器數(shù)據(jù)，包括激光雷達(dá)、陀螺儀、編碼器以及一些紅外與碰撞傳感器傳輸?shù)臄?shù)據(jù)。

這套系統(tǒng)結(jié)構(gòu)很像一個(gè)“小型機(jī)器人平臺(tái)”，A33運(yùn)行主邏輯和地圖構(gòu)建算法，而GD32F103控制運(yùn)動(dòng)與傳感器輸入。

與此同時(shí)，Harishankar還從主控芯片中提取出固件鏡像，并在文件系統(tǒng)中發(fā)現(xiàn)了幾個(gè)令人警覺(jué)的東西。一個(gè)是rtty守護(hù)進(jìn)程，這是一個(gè)遠(yuǎn)程終端工具，允許廠商通過(guò)云端直接接入設(shè)備終端。換句話說(shuō)，這個(gè)進(jìn)程可以讓廠商在不經(jīng)過(guò)用戶的同意，進(jìn)入系統(tǒng)執(zhí)行命令。

還有ADB（Android Debug Bridge）端口也是開(kāi)放的，也讓設(shè)備對(duì)外暴露了一個(gè)root權(quán)限的調(diào)試接口，無(wú)需認(rèn)證。只需要通過(guò)ADB connect，就能夠獲得設(shè)備完全的控制權(quán)，這也意味著任何能夠發(fā)現(xiàn)設(shè)備IP的人都能夠做到這一點(diǎn)。

有趣的是，Harishankar還在系統(tǒng)日志中發(fā)現(xiàn)了一條異常的指令“RS_CTRL_REMOTE_EVENT”，在設(shè)備停止工作的那一刻，這條指令便出現(xiàn)在了日志當(dāng)中，隨后掃地機(jī)器人便徹底停止了響應(yīng)。對(duì)此，該工程師推測(cè)這是一個(gè)廠商的遠(yuǎn)程控制命令，用于“遠(yuǎn)程禁用”。

水落石出

為了驗(yàn)證自己的推測(cè)，Harishankar恢復(fù)了這臺(tái)掃地機(jī)器人的聯(lián)網(wǎng)，并對(duì)所有流量進(jìn)行監(jiān)控，結(jié)果發(fā)現(xiàn)它每隔幾分鐘就向3irobotix服務(wù)器（非iLife官方服務(wù)器）上傳數(shù)據(jù)。

這些數(shù)據(jù)包括完整的3D室內(nèi)地圖，使用Google Cartographer SLAM（即時(shí)定位與地圖構(gòu)建技術(shù)）技術(shù)生成，精確到家具位置、入口/出口、盲點(diǎn)，還有移動(dòng)路徑、清潔模式、家居布局、用戶生活習(xí)慣，以及遙測(cè)日志、傳感器數(shù)據(jù)等。

而當(dāng)Harishankar使用路由器屏蔽了這些上傳行為后，設(shè)備突然停止了工作，并再次顯示了那條代碼。因此可以斷定，當(dāng)掃地機(jī)器人檢測(cè)到無(wú)法上傳數(shù)據(jù)時(shí)，便觸發(fā)了遠(yuǎn)程停用。

隨后，工程師在固件中發(fā)現(xiàn)了一段腳本，確實(shí)包含了“遠(yuǎn)程關(guān)閉”邏輯。對(duì)該腳本進(jìn)行修改后，讓設(shè)備忽略遠(yuǎn)程停用指令，具體就是在/usr/bin/cloudctl中，注釋掉disable_device()調(diào)用，并手動(dòng)刪除遠(yuǎn)程服務(wù)啟動(dòng)項(xiàng)，最后重新打包固件，寫回系統(tǒng)，果不其然，該掃地機(jī)器人又重新復(fù)活了。

當(dāng)前，Harishankar還在GitHub中持續(xù)更新調(diào)查，包括反編譯固件、自定義Python腳本（實(shí)現(xiàn)離線控制，如手動(dòng)導(dǎo)航、傳感器接口）。他構(gòu)建了備用控制系統(tǒng)：用Raspberry Pi或自定義硬件替換主板，繞過(guò)云依賴，實(shí)現(xiàn)純本地運(yùn)行（無(wú)需App，靠腳本管理電機(jī)/傳感器）。

同時(shí)在拆解分析過(guò)程中，掃地機(jī)器人系統(tǒng)運(yùn)行了系統(tǒng)運(yùn)行了Google Cartographer（一種用于SLAM的開(kāi)源算法），它會(huì)根據(jù)雷達(dá)數(shù)據(jù)實(shí)時(shí)繪制房間地圖，并將地圖文件上傳到云端進(jìn)行融合或優(yōu)化。這意味著廠商實(shí)際上在遠(yuǎn)程同步用戶家中的地圖副本。

至于為何每次去維修之后掃地機(jī)器人都會(huì)重新恢復(fù)工作，一方面在于維修時(shí)掃地機(jī)器人會(huì)重新聯(lián)網(wǎng)，另一方面售后也會(huì)將機(jī)器人固件重置，無(wú)意中清除了那條遠(yuǎn)程關(guān)閉的指令。而拿回來(lái)工作幾天后，發(fā)現(xiàn)還是無(wú)法將數(shù)據(jù)重新上傳給廠商，因此再次觸發(fā)了“宕機(jī)”指令。

后續(xù)與廠商回應(yīng)

對(duì)于此次的發(fā)現(xiàn)，Harishankar表示，原以為自己購(gòu)買的是一臺(tái)機(jī)器人清潔工具，但實(shí)際上卻是一個(gè)由廠商遠(yuǎn)程管理、可被停用的網(wǎng)絡(luò)節(jié)點(diǎn)，這讓他感到非常的不安。

這一事件也引起了歐美的廣泛報(bào)道，有安全研究者表示這是“典型云強(qiáng)制案例”，呼吁歐盟GDPR/美國(guó)CCPA進(jìn)行調(diào)查。

后續(xù)，Harishankar也在近期聯(lián)系到了iLife，但尚未獲正式回復(fù)。主控SoC供應(yīng)商全志則表示，僅提供硬件參考設(shè)計(jì)，并不參與終端用戶軟件開(kāi)發(fā)。

IoT設(shè)備的遠(yuǎn)程控制和隱性數(shù)據(jù)上傳也并非iLife獨(dú)有，類似架構(gòu)在多個(gè)品牌的智能設(shè)備中普遍存在。包括智能電視、路由器/攝像頭、電動(dòng)車等。

知名網(wǎng)絡(luò)安全企業(yè)Forescout今年4月發(fā)布了一份報(bào)告顯示，全球平均設(shè)備風(fēng)險(xiǎn)指數(shù)同比上漲15%至8.98，創(chuàng)歷史新高。網(wǎng)絡(luò)攻擊面已從傳統(tǒng)IT設(shè)備向OT、IoMT領(lǐng)域快速擴(kuò)張，路由器仍占據(jù)高風(fēng)險(xiǎn)設(shè)備總量的53%，而醫(yī)療物聯(lián)網(wǎng)設(shè)備首次成為風(fēng)險(xiǎn)增長(zhǎng)最快的類別。

IDC 預(yù)測(cè)，今年連接的物聯(lián)網(wǎng)設(shè)備將超過(guò)800億個(gè)。據(jù)IDC的數(shù)據(jù)顯示，具有互聯(lián)網(wǎng)接入能力的設(shè)備（如構(gòu)成物聯(lián)網(wǎng)的計(jì)算機(jī)、傳感器和攝像頭）的數(shù)量正穩(wěn)步增長(zhǎng)。IDC還指出，當(dāng)41.6億個(gè)物聯(lián)網(wǎng)設(shè)備連接時(shí)，將產(chǎn)生79.4澤字節(jié)的數(shù)據(jù)，這其中包括了來(lái)自數(shù)萬(wàn)億傳感器的各項(xiàng)輸出。物聯(lián)網(wǎng)對(duì)企業(yè)和消費(fèi)者均有深遠(yuǎn)的影響。

如何界定網(wǎng)絡(luò)數(shù)據(jù)安全的邊界，以及如何限制設(shè)備廠商對(duì)賣出設(shè)備的過(guò)度聯(lián)網(wǎng)權(quán)，明確這臺(tái)設(shè)備歸屬權(quán)到底是誰(shuí)，需要整個(gè)行業(yè)都進(jìn)行仔細(xì)的考量。

總結(jié)

Harishankar通過(guò)自身工程師的習(xí)慣，察覺(jué)到了掃地機(jī)器人的異常情況，并抽絲剝繭發(fā)現(xiàn)真相，最后實(shí)現(xiàn)了真正的離線運(yùn)行。但對(duì)于許多普通消費(fèi)者而言，并沒(méi)有這樣的工程能力，還是需要行業(yè)制定更嚴(yán)格的標(biāo)準(zhǔn)，將IoT設(shè)備的真正歸屬權(quán)還給消費(fèi)者。