密码写死、身份验证未加密，Pepper机器人拉低了程序员界的智商
郭一璞 发自 凹非寺 量子位 报道 | 公众号 QbitAI
把硬件设备的root密码设置为“root”这四个字母，是不是非常搞笑了？
真有人这么干，而且是大名鼎鼎的软银集团。
据The Register报道，瑞典的研究人员发现，软银三年前就开卖的Pepper机器人root密码被简单粗暴的设置为了R-O-O-T四个字母，标注在了用户手册里，并且直接被写死了，用户无法修改密码，但黑客可以大摇大摆的用这个密码黑进来，然后控制机器人。
当然，黑客要想完全操控机器人离不开其他部件的“配合”。
而软银在软硬件方面的设置刚好非常“配合”：
Pepper的处理器有问题，只需要uname -a终端命令操控；顺便提一下Pepper的处理器是2013年英特尔Atom E3845驱动，在今年年初被爆出了Meltdown/Spectre漏洞。
Pepper机器人的API接口可访问传感器、摄像头、麦克风和移动部件，具体功能用Python，C ++和Java写的很清楚；同时软银没有部署任何应对强行攻击的措施，Pepper在接受TCP消息的端口9559上公开服务并作出相应反应，只要信息符合API，Pepper就接受来自发送者的数据包，并且不需要身份验证。
Pepper机器人还可通过未加密HTTP进行管理，对于这一点，发现问题的研究人员感到软银拉低了整个CS界的智商：
“我们坚信，在2018年，销售如此易遭此类攻击的产品简直不能忍。通过未加密的通信渠道进行身份验证，这是软件开发人员能犯的最严重的错误之一，计算机本科生都知道应该避免这种错误，但让人遗憾的是，这个问题竟然出现在了售卖中的商业产品上。”
除了这些安全问题，研究人员还发现了Pepper的其他bug：
比如控制机器人行走的应用程序Simple Animated Messages (SAM)，它可以实现设计一个简单的编排，让Pepper能够移动；以及通过文本到语音服务进行说明，显示到机器人身上的屏幕上。
然而这个程序无法控制扩展名，甚至用户可以上传图片格式的文本——你能想象把一个.txt改成.jpg或者.png上传执行么？
黑客控制Pepper，祸起萧墙
普通的黑客操控计算机系统，可以控制软件，但是Pepper不一样，它开始一个有手有脚、有眼有耳的机器人。
如果黑客控制了Pepper，可能会偷窥你的生活，监视你的隐私，甚至欺骗你说出支付宝的密码。
最可怕的是，你不知道黑客会不会控制Pepper的手脚对你发动物理攻击，被机器人拿刀架在脖子上可不是什么美好的体验。
— 完 —
诚挚招聘
量子位正在招募编辑/记者，工作地点在北京中关村。期待有才气、有热情的同学加入我们！相关细节，请在量子位公众号(QbitAI)对话界面，回复“招聘”两个字。
量子位 QbitAI · 头条号签约作者
վ’ᴗ’ ի 追踪AI技术和产品新动态
- 江行智能CTO樊小毅：AI+边缘计算驱动能源产业变革 | 量子位·视点分享回顾2022-03-15
- 天云数据CEO雷涛：从软件到数件，AI生态如何建立自己的“Android”？| 量子位·视点分享回顾2022-03-23
- 火热报名中丨2022实景三维创新峰会成都站将于4月13日召开！2022-03-21
- 从软件到数件，AI生态如何建立自己的“Android”？天云数据CEO直播详解，可预约 | 量子位·视点2022-03-11
相关阅读
