- Des traces d’accès SSH distant et des clés AWS ont été découvertes dans le lit à régulation de température Eight Sleep, qui dépend d’une connexion Internet et d’une application, montrant qu’un lit connecté peut cumuler des risques de sécurité, de confidentialité et de fiabilité
- Le firmware pouvait être téléchargé via une URL de mise à jour en renseignant seulement la valeur
deviceId, etproduction.jsoncontenait une configuration SSH pointant vers des hôtes distants commeremote-connectivity-api.8slp.net - L’adresse e-mail associée à la clé publique enregistrée sur l’appareil fait craindre que l’équipe d’ingénierie d’Eight Sleep puisse accéder à l’ordinateur sous Linux présent dans le lit des clients
- Les clés AWS exposées semblaient disposer de droits d’écriture sur Kinesis ; en cas d’abus, il a été calculé qu’elles pourraient générer 5 000 requêtes
PUTpar seconde et une facture de l’ordre de 100 000 dollars par mois - Une alternative physique consistant à connecter les tubes de la housse Eight Sleep à un refroidisseur d’aquarium à 150 dollars offre une régulation de température similaire, sans application, abonnement ni connexion Internet
Les limites de base du lit Eight Sleep
- Eight Sleep est un produit qui permet de régler la température du lit, plus chaude ou plus froide, avec une fonctionnalité attrayante pour les personnes souffrant d’insomnie
- Pour réellement l’utiliser, il faut accepter à la fois son prix et ses contraintes de connectivité
- Le lit coûte 2 000 dollars
- Il ne fonctionne pas si Internet est coupé
- Certaines fonctions de base sont derrière un abonnement à 19 dollars par mois
- La seule interface de contrôle est l’application mobile
- La régulation de température elle-même était utile, mais l’examen du firmware a conduit à chercher une alternative plus simple et moins dépendante d’Internet
Téléchargement du firmware et traces de SSH distant
- Le firmware d’Eight Sleep pouvait être récupéré via une URL de mise à jour
https://update-api.8slp.net/v1/updates/…- Il suffisait de mettre n’importe quel nombre à la place de
{anynumber}
- Le firmware contenait une configuration qui ressemblait à un accès SSH distant
- Des traces montrent que SSH était exposé à des hôtes distants comme
remote-connectivity-api.8slp.net - En général, SSH ne devrait être accessible que sur le réseau local, mais les variables de
production.jsonsemblent indiquer qu’un accès distant était ouvert
- Des traces montrent que SSH était exposé à des hôtes distants comme
- Une clé publique autorisant l’accès était enregistrée sur l’appareil
- L’adresse e-mail associée à la clé publique laisse penser que l’ensemble de l’équipe d’ingénierie pourrait avoir accès à la clé privée
- Si cette hypothèse est correcte, l’équipe d’ingénierie d’Eight Sleep peut contrôler l’ordinateur sous Linux situé dans le lit des clients
Les effets possibles de l’accès distant
- Le lit peut révéler les habitudes de vie de l’utilisateur via les données liées au sommeil
- Il peut savoir quand la personne dort
- Il peut détecter si une ou deux personnes dorment dans le lit
- Il peut savoir si personne n’est dans le lit pendant la nuit
- Si l’accès distant est possible, les fonctions de contrôle normales peuvent aussi devenir contrôlables de l’extérieur
- Modifier la température
- Activer la vibration
- Désactiver l’alarme
- Si le lit est connecté au réseau domestique, le problème peut s’étendre à l’accès à d’autres appareils
- Un réfrigérateur connecté, une cuisinière connectée, un lave-linge connecté, des ordinateurs portables, etc. peuvent se trouver sur le même réseau
- La sécurité des appareils joignables par routage via le lit se retrouve alors confiée aux ingénieurs d’Eight Sleep
- L’utilisateur ne reçoit aucun journal ni notification lui permettant de vérifier quand de tels accès ont eu lieu
- Donner aux ingénieurs un accès SSH arbitraire à tous les appareils des clients est très éloigné des bonnes pratiques de sécurité
Clés AWS et risque de coûts Kinesis
- Les clés AWS trouvées dans le firmware semblaient utilisées pour diffuser des données vers Amazon
- La politique exacte associée aux clés n’a pas été vérifiée
- Parce qu’Eight Sleep les a révoquées juste après le signalement
- Le contexte environnant permet toutefois de confirmer qu’elles disposaient de droits d’écriture sur Kinesis
- Si un attaquant avait utilisé ces clés, il aurait pu envoyer 5 000 requêtes
PUTpar seconde vers Kinesis - Dans ce cas, Eight Sleep aurait pu se retrouver avec environ 100 000 dollars de frais AWS par mois
Une alternative avec un refroidisseur d’aquarium
- En retirant les tubes en caoutchouc de la housse Eight Sleep et en les connectant à un refroidisseur d’aquarium à 150 dollars, on peut obtenir une régulation de température similaire
- La manipulation nécessaire est simple
- On peut trouver une housse Eight Sleep sur eBay pour quelques centaines de dollars
- Couper les colliers de serrage qui maintiennent les tubes
- Connecter les tubes de la housse au refroidisseur d’aquarium
- C’est une opération non destructive, réversible, qui prend environ 30 secondes
- Malgré son nom, un refroidisseur d’aquarium peut non seulement refroidir, mais aussi chauffer
- Il utilise un module thermoélectrique pour ajuster la température du liquide qui circule
- Il emploie le même type de technologie qu’Eight Sleep
- Cette approche fournit une régulation de température du lit sans application, abonnement, connexion Internet, porte dérobée ni responsabilité de sécurité
- Il existe aussi le projet Free Sleep pour supprimer la connexion Internet d’Eight Sleep, mais les boutons physiques du refroidisseur d’aquarium en font une option plus simple
Modèle économique et fiabilité à long terme
- Eight Sleep a levé 110 millions de dollars en capital-risque et réalise plus de 300 millions de dollars de chiffre d’affaires annuel
- Le produit inclut un modèle d’abonnement et fait partie de ces appareils connectés qui pourraient un jour cesser de fonctionner si les serveurs de la maison mère s’arrêtent
- La solution plus simple du refroidisseur d’aquarium constitue une alternative de régulation de température qui réduit la dépendance aux serveurs et les problèmes d’accès distant
1 commentaires
Avis sur Hacker News
J’avais acheté un système de jardin d’intérieur et, pensant qu’il y avait un problème, j’ai contacté le support client ; après vérification, ils m’ont dit que tout allait bien et qu’il fallait un temps d’adaptation.
Mais, au passage, ils ont dit avoir vérifié la caméra.
Plus tard, j’en ai acheté un autre d’occasion et, en le nettoyant, j’ai découvert qu’à l’intérieur c’était tout simplement un Raspberry Pi ; en branchant un micro HDMI et un clavier, j’ai vu que Raspberry Pi OS tournait tel quel.
Il n’y avait pas de mises à jour et VNC était activé, ce qui signifiait que des personnes de l’entreprise pouvaient se connecter à distance à mon appareil, regarder le flux de la caméra et faire des choses sur mon réseau. Un cauchemar de sécurité.
Quand c’est possible, je les mets uniquement sur le réseau filaire et je bloque leur accès à Internet dans le pare-feu.
C’est pour ce genre de raison que j’aime les appareils Zigbee, et que l’évolution Matter et « de l’IP partout » ne m’enthousiasme pas vraiment.
Impossible de savoir quelles fonctionnalités ils ont vraiment, et certains avaient même une caméra.
Il ne manquait plus que le micro, mais comme certains modèles se connectent à Alexa, ce souhait-là est déjà exaucé aussi.
« Alexa, nettoie ce que j’ai renversé dans la chambre. »
« Désolée, mais cela nécessite un nettoyage en profondeur. Comme il reste de la marge sur votre deuxième carte bancaire, j’ai commandé un service de nettoyage en profondeur pour mardi, pendant votre sortie. »
Ayant souffert d’insomnie pendant presque toute ma vie, je comprends la phrase selon laquelle « cela semblait valoir la peine d’être essayé pour quelqu’un qui souffre d’insomnie ».
Ce qui m’a beaucoup aidé, c’est un simple appareil à bruit blanc, du genre qu’on utilise souvent pour endormir les bébés.
L’avantage, c’est que je dors très bien, et qu’il n’est pas connecté à Internet et ne nécessite aucune application.
L’inconvénient, c’est que je n’arrive presque plus à dormir sans lui, donc je dois l’emporter en voyage ou en camping, et j’ai même acheté un exemplaire de secours en cas de panne.
Une autre grande amélioration a été d’essayer d’accepter que les inquiétudes qui me réveillaient la nuit étaient exagérées, et que ma vie était plutôt correcte. Cela a demandé de vrais efforts, mais ça a fonctionné.
Je laisse ça ici en espérant que cela puisse aider quelqu’un qui a des problèmes de sommeil.
https://www.amazon.com/Yogasleep-Portable-Soothing-Rechargea...
Il se trouve dans Réglages -> Accessibilité -> Audio/Visuel -> Sons en arrière-plan ; chaque son doit être téléchargé une fois, mais il reste ensuite sur l’appareil.
Comme aller à chaque fois aussi loin dans les réglages est pénible, mieux vaut ajouter un contrôle du type « Sons en arrière-plan » au Centre de contrôle pour activer et désactiver le son de l’océan.
Je l’active sur l’iPad quand je veux prendre une précaution supplémentaire pour ne pas me réveiller pendant la nuit, puis je dors.
Il peut aussi servir de table où poser son téléphone et de point de recharge.
Je ne pouvais pas dormir sans bruit blanc et j’étais aussi allergique aux chiens ; maintenant, les deux problèmes sont réglés.
Je crois que les sensations physiques se traduisaient en état mental, mais je ne peux pas le prouver.
La plupart des diagnostics supposent l’inverse : que l’état mental crée des symptômes physiques comme l’agitation, le fait de serrer les dents ou une sensation de creux dans l’estomac.
Les personnes qui souffrent de nerfs comprimés, comme une sciatique difficile à traiter, devraient aussi envisager d’éventuelles causes physiques.
Dans mon cas, l’ostéoporose avait provoqué un affaissement de la colonne, et cela a été réglé par une arthrodèse lombaire S1-L5-L4.
L’opération et la convalescence ont été très éprouvantes, mais maintenant je dors souvent comme une masse, et c’est vraiment appréciable. Les résultats peuvent varier selon les personnes.
Mon acouphène est plus fort d’une oreille, donc pouvoir régler les deux côtés séparément est utile.
Peut-être qu’en vieillissant, si je perds de l’audition, j’aurai moins besoin de dépendre de la technologie.
À la maison, j’utilise un produit simple, branché sur secteur, qui produit le son avec un ventilateur ; ça ressemble à peu près à ça : https://res.cloudinary.com/guest-supply/image/upload/f_auto,...
En voyage, j’emporte un petit modèle portable rechargeable : https://www.amazon.com/Machine-Babelio-Adults-Non-looping-So...
Je suis sur Android, donc je n’ai pas de sons intégrés comme sur iOS.
« Quand je parle de backdoor, qu’est-ce que j’entends par là ? Bien sûr, Eight Sleep a besoin d’un moyen de pousser des mises à jour et de fournir service et assistance. C’est prévisible.
Mais permettre à n’importe quel ingénieur d’Eight Sleep de se connecter à distance en SSH au lit d’un client, de contourner toute la procédure officielle de revue de code et d’exécuter du code arbitraire, c’est franchir une limite.
Et j’ai trouvé des preuves que c’est bien ce qui se passe. »
C’est vraiment une histoire énorme
Je dirige Memfault, une entreprise de SaaS d’observabilité pour les fabricants de matériel, et on nous demande sans arrêt si nous ne pourrions pas fournir une solution d’accès distant
Beaucoup de nos concurrents en proposent effectivement
Mais nous considérons que c’est (a) une énorme responsabilité en matière de sécurité et (b) beaucoup trop facile à détourner
Fondamentalement, les consommateurs ne s’en soucient pas ; donc tant que cela ne changera pas, on peut supposer qu’un bon nombre d’appareils Linux embarqués auront ce genre de backdoor
L’état de sécurité du produit en lui-même n’était pas inattendu, mais le passage suivant m’a choqué
« J’étais prêt à accepter ceci : le lit coûte 2 000 dollars, il ne fonctionne pas si Internet tombe, les fonctions de base sont derrière un abonnement supplémentaire de 19 dollars par mois, et le lit ne peut être contrôlé que via une application mobile »
Rien, dans ce lit, ne devrait dépendre de serveurs externes, et rien ne devrait nécessiter de frais d’abonnement
C’est triste de voir que le marché semble trop stupide pour voter contre une industrie technologique fondée sur la recherche de rente
Le concept lui-même est absurde, mais si ça se vend, alors ça se vend
Par exemple, acheter le lit puis remplacer la carte d’usine par une carte logique ESP32 préprogrammée
Je ne les considère pas comme idiots
Cette catégorie d’Américains a toujours plutôt payé pour des services continus que fait les choses eux-mêmes de façon pratique
Ils pensent probablement inconsciemment : « Je laisse le personnel d’assistance au Bangladesh s’occuper de la connectivité et des mises à jour de l’application mobile, moi je n’ai qu’à poser la tête et gagner beaucoup d’argent »
Les entreprises tech d’aujourd’hui semblent se créer sans aucune considération pour les bons comportements
Elles n’assurent même pas correctement le minimum du respect client, c’est-à-dire le support
Le secteur de l’Internet des objets a continuellement eu des problèmes, et les premiers utilisateurs se sont fait avoir à répétition ; à long terme, le marché récoltera ce qu’il a semé, mais l’espionnage et la surveillance dissimulés deviennent chaque année plus subtils
C’est un problème grave pour les technologies futures. Qui utiliserait des produits cybernétiques ou de maintien en vie fabriqués par ce genre d’entreprise ?
La rigueur appliquée aux fabricants de dispositifs médicaux comme Medtronic pourrait s’appliquer, mais je ne suis pas certain que cette réglementation couvre aussi la sécurité de l’information et la protection de la vie privée
Nous sommes clairement dans une époque de montée de l’autoritarisme. La Chine est devenue beaucoup plus autoritaire sous Xi Jinping, les fascistes de droite montent en Europe, et la polarisation extrême mène, sur la trajectoire actuelle, à un autoritarisme cyclique même en supposant que les prochaines élections aient lieu
La Russie étend sa sphère d’influence et cherche à ébranler les institutions démocratiques dans le monde entier
L’affaiblissement de la vie privée et la collecte de données sont des outils permettant aux États autoritaires d’obtenir une conscience informationnelle totale, et la montée d’une IA fonctionnelle rend tout cela bien pire
L’avenir de l’humanité est sombre, et on a l’impression qu’un filtre approche
J’ai aimé la phrase : « Au final, le malaise côté cyber est devenu suffisamment grand pour que je cherche une solution plus simple et moins connectée à Internet à mon besoin de lit à température réglable »
Puis j’ai réalisé l’implication suivante et mes yeux ont failli me sortir de la tête
« Ils peuvent savoir quand vous dormez. Ils peuvent détecter s’il y a deux personnes dans le lit, et pas seulement une. Ils peuvent aussi savoir si personne n’est dans le lit la nuit. »
La question plus réaliste est de savoir s’il existe des médias grand public qui font des tests de sécurité des produits
Des organismes comme Consumer Reports ne devraient-ils pas indiquer publiquement si un produit est ou non un cauchemar de sécurité ?
Au final, il faut que ces informations soient largement diffusées et que les réseaux sociaux les propagent auprès des consommateurs, mais des médias de type magazine pourraient assumer une partie de cette responsabilité
Comme il n’y a pas d’intersection entre les acheteurs potentiels et les gens qui se soucient de la sécurité, les revenus publicitaires seraient exactement de 0
Des employés curieux et moins éthiques pourraient donner des surnoms aux utilisateurs particulièrement « actifs » ou « intéressants », parier sur leurs favoris, et commencer à relier qui dort avec qui
Plus sérieusement, c’est un dispositif de collecte de données destiné à apprendre les habitudes des utilisateurs pour les vendre à d’autres entreprises ou les exploiter dans de nouvelles activités
Tout ce qui renvoie des données sans consentement clair et explicite ne les envoie pas pour aider l’utilisateur
https://www.technologyreview.com/2024/02/27/1088154/wifi-sen...
J’ai aimé le passage disant que le CEO ressemble à un adepte de Musk
Même la formulation de ses tweets est similaire, du genre « une partie de San Francisco a mal dormi. Nous devons corriger ça »
Mais aujourd’hui, j’en viens presque à regretter cette époque
En gros, il met une backdoor là où les gens dorment, et il y a certainement un marché pour ces données
Un abonnement à un lit à 20 dollars par mois est objectivement hilarant
J’ai du mal à imaginer comment cette entreprise arrive à attirer plus de zéro client
Une fois qu’on comprend à quel point la qualité du sommeil est importante, et à quel point ce produit peut aider, un abonnement à un lit à 20 dollars par mois devient une dépense ridiculement faible
Un bon matelas ferme coûte cher
Mais je n’ai absolument aucun intérêt pour la connexion Internet et le contrôle de la température, et encore moins pour un abonnement
Ce qui est drôle ici, c’est que cela montre à quel point les gens sont naïfs et dépendants, en attendant que la technologie résolve tous les problèmes de leur vie
Le marché est grand ouvert, prêt à être capturé, mais personne n’a vraiment essayé de concurrencer EightSleep correctement
EightSleep est très soigné, alors que les produits concurrents ressemblent à des produits des années 90, dans le mauvais sens du terme. HydroSnooze n’a même pas de télécommande
Il est fait d’or et de caviar ? Cet article prête à confusion
La vraie question est : « qu’est-ce qu’on peut proposer pour environ 70 dollars par mois, amorti sur 5 ans avec le lit inclus, qui améliore le sommeil sans rien faire et sans introduire quoi que ce soit dans le corps ? »
Les alternatives sont les somnifères, les examens du sommeil, les benzodiazépines, les compléments, la perte de poids, l’exercice, les routines d’hygiène du sommeil, etc. J’en ai essayé ou j’en fais encore, et ça fonctionne, mais tout cela demande des efforts
Le sommeil est plus important pour ma santé que ce que je mange. Ce genre de personnes existe, et vous avez probablement déjà vu des collègues ou des amis se traîner de fatigue
J’ai vérifié après avoir vu Bryan Johnson en parler, et le prix, l’app et l’abonnement me semblaient stupides ; je comprends aussi tout ce que les gens disent ici. Ils ont raison
Mais il y avait une politique d’essai gratuit, et la curiosité l’a emporté. Jusqu’ici, sur 5 à 6 mois, ça a été étonnamment bon
On peut fixer sur le lit de faux boutons/zones pour changer la température sans passer par l’app
L’app mentionnée dans l’article fonctionne aussi à 100 % et elle est rapide. Quand je suis chez moi, elle est tellement rapide qu’on dirait qu’elle fonctionne en LAN
À titre de comparaison, l’app Nest à 3,2 milliards de dollars est moins fiable et moins rapide. Il suffit de penser au nombre de jours de vie qu’on a déjà perdus à attendre l’authentification Google et la connexion avant de changer la température de la pièce où l’on se trouve
Cela devrait expliquer pourquoi ça se vend
À noter qu’aujourd’hui, le lit ne coûte pas 2 000 dollars mais 3 000 dollars, plus la taxe de vente. Amorti sur 5 ans, cela fait 3 000 dollars + 240 dollars * 5 = 4 200 dollars, à diviser par 60 mois
Il y a beaucoup d’idées fausses dans ce fil de la part de gens qui n’ont pas regardé le produit. En réalité, ce n’est même pas un lit, mais une housse à refroidissement liquide qu’on pose sur son matelas existant
Si l’on veut un matelas motorisé qui se relève quand on ronfle, il faut encore ajouter plusieurs milliers de dollars
Ma femme utilise un BedJet, qui a à la fois une télécommande et une app, et qui fonctionne heureusement sans connexion Internet active
Le système régule la température avec une sorte de drap en forme de poche dans lequel il souffle de l’air
Pour les femmes qui subissent bouffées de chaleur et frissons à cause de la ménopause, ce contrôle peut littéralement préserver leur santé mentale
Certaines femmes ne vivent pas trop mal la périménopause, mais c’est un processus qui secoue fortement les hormones
Si vous êtes le partenaire d’une femme qui traverse la périménopause, il faut la croire quand elle vous parle de ce qu’elle vit
Beaucoup de partenaires ne savent pas à quel point cela peut démolir quelqu’un, et elles méritent toute l’empathie possible
Cela dit, l’app est complètement bancale et vieillotte, et le mien n’avait pas de télécommande
Si vous utilisez HomeAssistant et voulez un meilleur contrôle, il suffit d’installer l’intégration ESPHome BedJet sur un ESP32 de rechange : https://esphome.io/components/climate/bedjet.html
C’est un peu ironique d’avoir besoin d’un ESP32 externe pour communiquer avec l’ESP32 à l’intérieur du BedJet
Elle a constamment des bouffées de chaleur
Je me demande si le BedJet est vraiment aussi bon, et si votre femme le recommanderait sans réserve
J’aimerais aussi savoir s’il y a d’autres produits qui ont aidé votre femme
Désolé si la question est personnelle, mais si cela pouvait améliorer le sommeil de Sara, ce serait un changement de vie majeur
Les fluctuations hormonales lui provoquent une chute de cheveux, une insomnie sévère et des changements d’humeur, ce qui dégrade fortement sa qualité de vie
C’est dur à regarder, il n’y a pas de solution magique pour régler ça, et ce n’est pas parce qu’elle fait quelque chose de « mal » qu’elle devrait changer
Rien que le passage « Eight Sleep récolte les données de lit des gens et tweete parfois qu’il vous regarde dormir », ainsi que la capture d’écran du tweet public du CEO de novembre 2023 publiant les données de sommeil de San Francisco, suffisent à me donner une raison de ne pas utiliser cette entreprise
C’est vraiment flippant
À part avoir créé une version noire de Casper, je ne vois pas pourquoi elle est souvent classée parmi les entreprises tech
C’est peut-être à cause de son lien fort avec Elon
Je m’en souviens parce que j’étais inscrit aux mises à jour par e-mail
Je suis quand même content de ne finalement pas m’être abonné, et dans mon souvenir, je m’en suis détourné pour les mêmes problèmes que l’auteur dit avoir « ignorés »
Un abonnement à un lit, franchement, qu’ils aillent se faire voir
Les autres produits concurrents sont bien pires sur le cœur du produit, donc malheureusement il faut accepter les conneries d’EightSleep
C’est une histoire complètement à part, mais il est illégal pour toute entreprise de fournir gratuitement des produits ou des services au gouvernement ; donc si le CEO de Pod envoie des lits Pod aux employés du DOGE, il enfreint la loi
En gros, c’est considéré comme un pot-de-vin, et je pense que c’en est effectivement un
Un lit coûte 2 000 dollars, mais comme prix à payer pour obtenir un traitement réglementaire favorable via un petit don, c’est plutôt bon marché
Et il faut des preuves. Après une rapide recherche sur Google, il semble que ce ne soit pas illégal si une agence gouvernementale le confirme par écrit