如果您正在考虑从亚马逊购买孩子的智能手表，则需要重新考虑

作为渗透测试的一部分，Rapid7的研究人员最近从亚马逊订购了三款智能手表-儿童智能手表，G36儿童智能手表和SmarTurtles儿童智能手表。顾名思义，它们都是儿童智能手表，旨在帮助父母追踪孩子并在需要时与他们联系。经过一番摸索之后，专家得出结论，它们存在一些严重的漏洞，正如我们在一分钟后发现的那样，它们不太可能在短期内得到修复。现在，我们将看一下Rapid7的发现 ，并尝试向相关的父母展示他们为孩子购买这些小工具时可能要注意的事项。

实施不佳，基于SMS的配置系统会使三只手表容易成为网络罪犯的猎物

首次设置智能手表时，您将一个有效的SIM卡放入其中，对于Rapid7测试的三台设备，您将使用SMS与它进行通信。登录后（一分钟内有更多信息），您将以短信形式发送命令以配置设备的某些设置，将其与手机上的移动应用配对，并创建可与手表通信的电话号码白名单。最后一步特别重要，因为它可以帮助您确保只有您可以使用孩子的智能手表进行控制。无论如何，这就是应该发生的事情。但是，有两个基本问题。

对于一个人来说，仅使用短信不是一个好主意。 过去我们讨论过 SMS背后的通信协议有多旧，正如Rapid7的研究人员在他们的报告中指出的那样，欺骗发件人的电话号码一点也不困难。

换句话说，即使其他一切都能正常工作，Rapid7经过测试的手表的安全性也不是很好。不幸的是，并非所有其他东西都能正常工作。

研究人员发现，您在初始设置期间创建的白名单根本不起作用。攻击者可以使用不在白名单上的数字来发送监视文本消息，对其进行重新配置，并将其设置为与他们设备上的应用程序配合使用，这意味着攻击者可以跟踪孩子的下落并发送消息。在完成所有这些操作之前，您需要登录手表，这意味着要以短信形式发送密码，但这也存在问题。

手表带有弱默认密码和可悲的文档

与大多数此类设备一样，手表带有默认密码。对于所有三个模型，所讨论的密码均为“ 123456 ”，这不是理想的情况。似乎还不够，虽然猜测密码可能并不那么困难，但弄清楚如何更改密码却是另一回事。

如果您希望用户手册中提供有关身份验证机制的明确信息，那您就不走运了。其中一本手册根本没有提到密码。另一台设备确实提到了默认密码，但是它是在专门针对智能手表的翻译博客文章中而不是实际手册中提到的。第三只手表的供应商根本没有将字符串描述为密码，也没有提供任何有关更改字符串的信息。

安全问题可以解决吗？

填补Rapid7发现的安全漏洞实际上并不是那么困难。将SMS交换为更健壮的通信方法将需要对整个后端进行重大重新设计，这将是困难且昂贵的，但是可以使用相对简单的固件更新来实现有效的白名单和更明显的密码重置机制。整理更详细的用户手册并将其分发给新用户和现有用户也不需要太多工作。不幸的是，极不可能采取任何措施来减轻风险。

在公开披露他们的发现之前，Rapid7的研究人员希望与供应商取得联系并帮助他们解决问题。不幸的是，Children's SmartWatch和G36 Children's Smartwatch的制造商在亚马逊市场之外没有任何在线业务，尽管第三家供应商SmarTurtles拥有一个网站，但它决定不与其他供应商共享任何联系信息。世界。

这不仅意味着不可能披露安全漏洞。这也意味着，您的孩子手腕上的跟踪设备可能是由不希望您在任何情况下与其联系的公司开发和出售的。

显然，如果您为孩子购买了受上述漏洞影响的智能手表，则应仔细考虑您是否真的非常需要它。至少要进行一些研究，并确保您更改了默认密码，因为默认状态下的身份验证机制与不存在时一样，身份验证机制也是如此。

如果您尚未为孩子购买智能手表，但正在考虑购买智能手表，那么研究也将获得回报。在线下订单之前，先弄清楚手表的工作原理以及与手表的通讯方式。请查阅用户手册，并确保如果初始设置依赖于默认密码，那么一旦一切启动并运行，有一种记录良好的更改方式。阅读评论，看看其他人必须解决哪些问题。最后但并非最不重要的一点是，尝试了解有关提供该设备的公司的更多信息。如果那不可能，那么最好还是走开。