Smartklokke-selskap får kritikk

En tysk forsker ved Darmstadts tekniske universitet (TU Darmstadt) har funnet ut at alle klokkene av typen Xplora X6Play generasjon 1 bruker nøyaktig samme sikkerhetsnøkkel, skriver NRK.

Det kan skape problemer, opplyser forskeren. 

Smartklokkene det er snakk om lages av det norske teknologiselskapet Xplora, og har funksjoner som sanntids GPS-sporing og meldingsfunksjoner.

Kan få den til å gjøre hva de vil

– Hvis en uvedkommende person får tilgang til den nøkkelen, så kan de få tilgang til klokken og få den til å gjøre hva de vil, sier forsker og doktorgradskandidat Nils Rollshausen ved TU Darmstadt til NRK.

Videre skriver nettavisen at fremmede da skal kunne lese meldinger, se bilder og høre talemeldinger mellom barn og foreldre.

Må ha tilgang på IMEI-nummeret

Ifølge forskeren, så må man få tilgang på identitetsnummeret på klokken for å få til dette, det såkalla IMEI-nummeret, men han mener det er enkelt å få tak i. Noe Xplora ikke sier seg enig i.

– Dette er en 15-sifret kode og vi er ikke enig i at det er enkelt tilgjengelig, sier pressetalsmann i Xplora, Marius Parmann til kode24. 

– Dette er ikke forsøkt gjort eller dokumentert at det er mulig, men en hypotetisk mulighet, legger han til. 

Dette mener han er viktig i arbeidslivet: – Prioriter mental helse

Endre Ulberg jobber som utvikler og ser det er mange rundt han som er hardt plaget av jobbrelatert stress. – Det er lett å ende opp med å tilpasse hele livet sitt til jobben.

Ingen indikasjoner på misbruk

Xplora skal ha solgt over 1,5 millionar smartklokker til barn de siste årene, og har laget ulike modeller av klokkene sine. Xplora sier de har ingen indikasjoner på misbruk. 

– Vi har ingen indikasjoner på at funksjonen har vært misbrukt, eller at brukerdata har vært tilgjengelig for uvedkommende eller kommet på avveie, skriver teknisk sjef Sanghyo Kim i Xplora i en e-post til NRK.

Kim er ikke enig i kritikken om at de har gjort «sikkerhetsfeil».

Og forsvarer sikkerhetsnøkkelen de har valgt. 

– Bruk av statiske API-nøkler er vanlig praksis i bransjen og er brukt av de fleste store teknologiselskap, skriver han videre i e-posten. 

Strengere krav til sikkerhet i klokker og bomstasjoner

– De nye cybersikkerhetskravene er blant annet knyttet til nye krav om autentisering, oppdatert programvare og brukerdokumentasjon.

Ikke første gang

Tidligere har også Digi.no skrevet om sikkerhetsfeil ved klokkene.

Parmann forteller at Xplora har forbedret klokkene. Det er nå implementert en sekssifret kode (opp fra fire), maksimalt tre forsøk, og 60 minutters lockout. 

– Dette gjør praktisk utnyttelse urealistisk, det vil ta 19 år å gjette koden, sier Parmann videre til kode24. 

Xplora har eksterne sikkerhetsrevisjoner fra uavhengige eksperter og et pågående program for sårbarhetsrapportering. Dette betyr at forskere fra hele verden kan melde inn forbedringsmuligheter mot kompensasjon, et såkalt bounty-program.

Parmann forteller til kode24 at forskeren som har vært i kontakt med NRK er del av dette programmet.