Oral-B iO tandenborstel poetsdata broadcast

[Abanu]

Ik heb Home Assistant op een Raspberry Pi geïnstalleerd waarna automatisch voor Bluetooth devices gescand wordt. Nu zie ik dat er diverse Oral-B iO tandenborstels verschijnen in HA in appartementen in de buurt. Het lijkt dat de iO’s bij het poetsen automatisch de poetsstatus broadcasten zonder enige vorm van beveiliging. Dit lijkt me wel een privacy en security gevaar: Ik zou waarschijnlijk vrij eenvoudig kunnen uitzoeken welke tandenborstel bij welk appartement hoort (kijken waar de badkamer lichten aan of uit gaan als tandenborstel aan gaat) en uit de log afleiden hoe laat deze mensen naar bed gaan, opstaan of afwezig zijn.

Op de Oral-B site staat:

Opmerking: U hoeft uw elektrische tandenborstel van Oral-B niet te 'koppelen' met uw telefoon, zoals u met sommige andere Bluetooth-apparaten doet. In plaats daarvan hoeft u alleen Bluetooth actief te hebben op de telefoon en de tandenborstel, de app te openen en de tandenborstel in te schakelen.

Zie ik iets over het hoofd of is dit inderdaad een (potentieel) privacy/security probleem, en is het toegestaan dit zo zonder expliciete toestemming te broadcasten?

[Artbij]

Ik zou ze aanklagen.

[Dinictus208]

Waarom heeft een tandenborsten überhaupt een blue tooth connectie nodig?
En idd zoals TS suggereert, hier kan je best ongein mee uithalen.

[laurens0619]

Security gaat niet om alles te beveiligen maar gaat om de juiste zaken te beveiligen en balans met gebruiksgemak te behouden.

Als ik oralB was had ik die bluetooth pair wel gedaan, dat is echt zon kleine stap en usability impact minimaal.

Maar over het risico:
Inbrekers hebben simpelere manieren dan bluetooth van een tandenborstel uitlezen.
Slordig? Ja.
Risico? Neuh

[kodak]

laurens0619 schreef op woensdag 29 november 2023 @ 19:38:
Risico? Neuh

TS @Abanu lijkt me hier toch wel een terechte opmerking over bestaand risico te hebben. Tandenborstels zijn hulpmiddelen voor persoonlijke hygiëne en gezondheid en worden gewoonlijk nogal persoonlijk gebruikt. En of nu van een gezin iedereen dit apparaat gebruikt, of dat er minder personen gebruik van maken, het geeft op zijn minst dus nogal persoonlijke omstandigheden aan. Ik zie geen enkele reden dat het zomaar acceptabel is dat een fabrikant van zulke hulpmiddelen dan voor klanten beslist dat gegevens over het gebruik dus maar prima geschikt zijn om met anderen (en zelfs de publieke ether) te delen.

Er gelden dan ook niet voor niets vanaf 2024 strengere eisen aan iot-apparatuur om consumenten en bedrijven te beschermen tegen fabrikanten die het niet zo nauw nemen met beschermen van hun klanten,

Maar de vraag is hier wel wat het apparaat nu precies doet wat volgens de TS een risico kan zijn. Het feit dat er in een handleiding een uitleg staat wil niet zeggen dat er dus maar aangenomen kan worden dat er geen extra beveiliging is. En het feit dat iemand een bluetooth apparaat koopt wil ook niet zeggen dat de koper dus alleen rekening hoeft te houden met de voordelen van die keuze, zoals dat het gebruik hoe dan ook via de publieke ether gaat. We gaan immers ook niet een fabrikant van lampen verantwoordelijk houden dat de buren publiek kunnen waarnemen wanneer iemand een lamp gebruikt.

[Goldwing1973]

Je zou altijd even bij de buren aan kunnen bellen en ze erop attenderen dat de tandenborstel bijna leeg is.
En dan de reactie...

[rhadders]

laurens0619 schreef op woensdag 29 november 2023 @ 19:38:
Slordig? Ja.
Risico? Neuh

Dat ben ik niet met je eens. Ik zie er wel degelijk een potentieel veiligheidsrisico in, al geldt dit slechts een enkeling.
Het is (een stukje) informatie die blijkbaar eenvoudig op te pikken is en waarmee je (leef)patronen kunt vaststellen. Zeker als je dit combineert met andere informatie.
Leuk voor geheime inlichtingendiensten. Ik zie het rapport al voor mij: ‘We hebben drie weken de tandenborstel van subject X afgetapt en kunnen concluderen dat er inderdaad sprake is van een rotsituatie’

[Aurora]

Een hele kleine nuance op deze scenario in Home Assistant. Ze worden niet automatisch toegevoegd aan jouw instance. Er wordt een discovery getoond. Jij hebt zelf handmatig, dus een actie van jouw kant, een device die niet van jou is gepaired met jouw instance.

Mijn wenkbrauwen gingen inderdaad fronsen toen ik zelf ook een Oral B IO device kon toevoegen. Ik was nieuwsgierig en vanuit mijn analytische kijk op beveiliging nam ik aan dat ik een pincode moest invoeren. Nee dus. Dus correct, geen enkele vorm van beveiliging. Echter de data is zo minimaal dat ik niet echt geshockeerd was. Geen POST/PUT acties. Echter tegelijkertijd zou ik zelf niet blij zijn als mijn buren weten wanneer en hoelang ik mijn tanden poets. Dat voelt gewoon wat vreemd.

[HTT-Thalan]

rhadders schreef op vrijdag 9 februari 2024 @ 00:36:
[...]


Dat ben ik niet met je eens. Ik zie er wel degelijk een potentieel veiligheidsrisico in, al geldt dit slechts een enkeling.
Het is (een stukje) informatie die blijkbaar eenvoudig op te pikken is en waarmee je (leef)patronen kunt vaststellen. Zeker als je dit combineert met andere informatie.
Leuk voor geheime inlichtingendiensten. Ik zie het rapport al voor mij: ‘We hebben drie weken de tandenborstel van subject X afgetapt en kunnen concluderen dat er inderdaad sprake is van een rotsituatie’

Een klein stukje data doet vaak weinig. Maar heel veel kleine stukjes data samen kunnen wel degelijk héél veel vertellen over een persoon. Het internet vergeet niks, dataopslag kost niks meer en je hebt werkelijk geen idee wie op het internet jouw data verzamelt, al dan niet met toestemming (er zijn zat partijen die lak hebben aan zaken zoals wetgeving, inclusief uiteraard gewoon hackers en andere duistere personen), en het is voor altijd ergens aanwezig. Ook nu vinden we data terug die 10, 20 jaar terug werd gedigitaliseerd en slecht beveiligd.

Mijn zoon kreeg via whatsapp een lijstje door van klasgenoten met 'hoe goed ken je mij, beantwoord deze vragen' met b.v. zaken erin zoals 'hoe heet mijn huisdier'. Wel eens opgelet wat één van de mogelijke veiligheidsvragen is bij zaken zoals een creditcard? . En onlangs een soort kettingbrief met 'voeg je naam aan deze lijst door, en stuur naar 10 vrienden'. Weet jij veel of de originele verzender daar onschuldigde bedoelingen mee had of eigenlijk een jailbroken iphone draait vanwege die ene coole game en ondertussen een spy/malware infected versie van whatsapp draait? Die hebben dan gelijk hele nuttige info zoals 'wie kent wie' en hoe heten ze.

Noem mij paranoia, maar dat betekent niet dat er geen mensen zijn die achter je data aan zitten. Altijd voorzichtig zijn en de afweging maken 'is dit de mogelijke risico's waard'. Ik gebruik gewoon een 'ouderwetse' domme boombrush en poets totdat mijn tanden schoon zijn. Als je het zeker wil weten pak je zo'n kleurstofpilletje. Daar gaat een app echt helemaal niks aan toevoegen.

[naarden 4ever]

laurens0619 schreef op woensdag 29 november 2023 @ 19:38:
Risico? Neuh

Kennis hebben van wanneer een tandenborstel gebruikt wordt (in de regel: wanneer men tussen nu en een kwartier het huis verlaat 's ochtends, en tussen nu en een kwartier voordat men in bed gaat) kan hele relevante informatie zijn voor inbrekers. Niet te makkelijk over denken.

Goede vondst OP, ik zou dit zeker aankaarten bij Oral-B, want dit zijn echt geen wenselijke praktijken.

[ Voor 11% gewijzigd door naarden 4ever op 09-02-2024 09:09 ]

[bvdbos]

Of je kijkt wanneer de lamp uitgaat.... M.i. is dit een marginaal argument...

De data van je tandenborstel wil je niet verspreid hebben om andere redenen : Wat als je zorgverzekeraar ziet dat je maar één keer per dag te tanden poetst? Gaat je premie dan omhoog omdat je meer kans op gaatjes hebt? Of, aangezien mondhygiëne grote invloed heeft op de kans op allerlei ziektebeelden, wordt daardoor de algehele premie hoger?

[MsG]

Alles wat door BLE-sensoren door de lucht wordt geslingerd is vrij uitleesbaar. Evenals bijvoorbeeld 433 MHz verkeer. Daarmee kan je bijvoorbeeld ook temperatuursensoren uitlezen en daaruit kunnen afleiden of iemand thuis is of niet.

Ik denk alleen dat de meeste inbrekers niet via zulke inefficiënte manieren werken, maar gewoon lowtech een takje bij deuren leggen, veel simpeler en sneller.

Ik kan ook alleen maar afleiden dat hij gebruikt wordt, maar mensen poetsen niet permanent hun tanden, dus de kans dat er iemand thuis is terwijl de tandenborstel niet in gebruik is, is immens.

[naarden 4ever]

MsG schreef op vrijdag 9 februari 2024 @ 10:37:
Alles wat door BLE-sensoren door de lucht wordt geslingerd is vrij uitleesbaar. Evenals bijvoorbeeld 433 MHz verkeer. Daarmee kan je bijvoorbeeld ook temperatuursensoren uitlezen en daaruit kunnen afleiden of iemand thuis is of niet.

Dat is waar, maar niet per se een goed tegenargument. Van veel data die vrij de ruimte in geslingerd wordt weet je niet wat het voorstelt. Alleen de apparaten die op die specifieke data zitten te wachten 'begrijpen' wat de data voorstelt. Bijvoorbeeld: Ik kan met een sniffer nu de data 0x5A A5 03 82 4F 4B uit de lucht trekken. Maar ik weet niet bij welk soort apparaat deze data hoort, of wat deze data voorstelt.

Het verschil met dit lek is dat je blijkbaar de informatie van alle tandenborstels in de buurt kunt opvangen met de app. Kortom: nu weet ik wel bij welk soort apparaat de data hoort en wat deze data voorstelt. Ik hoef dus niet eindeloos berichten uit WireShark uit te pluizen om de juiste data te vinden, maar eenvoudigweg een appje downloaden op je smartphone is genoeg.

Overigens zijn er nog andere voorbeelden te bedenken waarom je liever geen connectiviteit hebt met bepaalde apparaten. Voorbeeldje: ransomware op je slimme thermostaat: https://www.rtlnieuws.nl/...-thermostaat-op-37-graden

Nu heb ik niet het idee dat deze tandenborstel tweewegs-communicatie toestaat en dat iets dergelijks voorstelbaar is (een tandenborstel met ransomware die niet meer uit gaat?), maar er zijn een hele hoop apparaten in ons moderne huis die zonder degelijke security verbonden worden met een netwerk of data de ruimte in slingeren. Daar zijn risico's aan verbonden en daar moeten zowel de gebruiker als de fabrikant zich heel bewust van zijn. Feit is namelijk dat dit nog heel vaak fout gaat.

MsG schreef op vrijdag 9 februari 2024 @ 10:37:
Ik denk alleen dat de meeste inbrekers niet via zulke inefficiënte manieren werken, maar gewoon lowtech een takje bij deuren leggen, veel simpeler en sneller.

Het een hoeft het ander niet uit te sluiten. Er zijn inbrekers die inderdaad archaïsche methodes gebruiken. Er zijn ook zat inbrekers die technologie omarmen en gebruiken om nog minder opvallend te werk te gaan. Meeste auto's worden tegenwoordig gestolen door middel van een signaalversterker voor het keyless-entry systeem. Is ook een stuk geavanceerder dan de baksteen door de ruit.

Ik kan ook alleen maar afleiden dat hij gebruikt wordt, maar mensen poetsen niet permanent hun tanden, dus de kans dat er iemand thuis is terwijl de tandenborstel niet in gebruik is, is immens.

bvdbos schreef op vrijdag 9 februari 2024 @ 09:56:
Of je kijkt wanneer de lamp uitgaat.... M.i. is dit een marginaal argument...

Tuurlijk, je kan ook gewoon op de hoek van de straat posten en kijken wanneer iemand zijn huis uitgaat. Je kunt hier weinig informatie uit afleiden die je niet op andere manieren kunt verkrijgen, maar dat praat het nog niet goed om dit soort informatie dan maar achteloos op straat te gooien.

Je kunt vandaag een bluetooth sniffer in de buurt van een huis verstoppen en pas over een paar weken/maanden je slag slaan. Je kunt ondanks je lichtschema met domotica, de buren die je post uit de bus halen, en weet ik het allemaal wat voor een manieren om de indruk te wekken dat je gewoon thuis bent, feilloos afleiden wanneer iemand op vakantie is. En als ik dit kan bedenken, kan iemand met slechte bedoelingen dat ook.

Als het ook maar enigszins voorstelbaar is dat dit soort data voor verkeerde doeleinden gebruikt kan worden, is dat voldoende reden om er iets aan te doen. Er valt iets aan deze data af te leiden over jouw aanwezigheid en ritmes, dus is dat reden om deze data niet achteloos de ruimte in te slingeren. Hoe marginaal je die kans nu dan ook acht.

bvdbos schreef op vrijdag 9 februari 2024 @ 09:56:
De data van je tandenborstel wil je niet verspreid hebben om andere redenen : Wat als je zorgverzekeraar ziet dat je maar één keer per dag te tanden poetst? Gaat je premie dan omhoog omdat je meer kans op gaatjes hebt? Of, aangezien mondhygiëne grote invloed heeft op de kans op allerlei ziektebeelden, wordt daardoor de algehele premie hoger?

Nog een goed argument. Ik denk niet dat verzekeraars BLE-sniffers gaan plaatsen in wijken om deze data te verzamelen, maar moet je bijvoorbeeld een account maken voor die Oral-B app? Dan kan deze data aan een persoon worden gekoppeld. En databases lekken nog wel eens uit...

[ Voor 16% gewijzigd door naarden 4ever op 09-02-2024 11:25 ]

[ouweklimgeit]

naarden 4ever schreef op vrijdag 9 februari 2024 @ 11:18:
[...]
Bijvoorbeeld: Ik kan met een sniffer nu de data 0x5A A5 03 82 4F 4B uit de lucht trekken. Maar ik weet niet bij welk soort apparaat deze data hoort, of wat deze data voorstelt.

Zeker wel, dat apparaat zendt ook een MAC adres mee en die zijn gekoppeld aan fabrikanten. Elk begin reeks van MAC adres hoort bij een fabrikant en dat betekent ook dat alle bt tandenborstels van Oral-B met dezelfde hexadecimale reeks beginnen.

Dat hele encryptie verhaal is dus compleet irrelevant. Dat apparaat begint met zenden tijdens/na het tandenpoetsen en dat signaal wordt de ether ingeslingerd. Dat je heel specifieke data (zoals hoe hard iemand poetst) niet zou kunnen uitlezen met encryptie, dat klopt helemaal, maar dat signaal blijft gewoon in de lucht.

[Abanu]

Aurora schreef op vrijdag 9 februari 2024 @ 08:04:
Een hele kleine nuance op deze scenario in Home Assistant. Ze worden niet automatisch toegevoegd aan jouw instance. Er wordt een discovery getoond. Jij hebt zelf handmatig, dus een actie van jouw kant, een device die niet van jou is gepaired met jouw instance.

Mijn wenkbrauwen gingen inderdaad fronsen toen ik zelf ook een Oral B IO device kon toevoegen. Ik was nieuwsgierig en vanuit mijn analytische kijk op beveiliging nam ik aan dat ik een pincode moest invoeren. Nee dus. Dus correct, geen enkele vorm van beveiliging. Echter de data is zo minimaal dat ik niet echt geshockeerd was. Geen POST/PUT acties. Echter tegelijkertijd zou ik zelf niet blij zijn als mijn buren weten wanneer en hoelang ik mijn tanden poets. Dat voelt gewoon wat vreemd.

Ik weet niet hoe het intern werkt in Home Assistant. Inderdaad, device wordt gemeld bij discovery, en toegevoegd aan de lijst met devices voor de integratie na (handmatig) selectie/toevoegen. Het viel me wel op dat direct na het toevoegen het logboek al historie had, dus onderwater al gekoppeld. Neem aan dat (alle) bluetooth messages opgeslagen worden en na toevoegen van device alsnog in de history komen. 'Pairen' is dan niet koppelen van device aan HA maar koppelen van de messages/id aan device.

Ik vond deze data an sich ook niet schokerend, wel bezwaar dat dit de norm zou zijn/worden zonder opt-in of verdere informatie

[Abanu]

MsG schreef op vrijdag 9 februari 2024 @ 10:37:
Alles wat door BLE-sensoren door de lucht wordt geslingerd is vrij uitleesbaar. Evenals bijvoorbeeld 433 MHz verkeer. Daarmee kan je bijvoorbeeld ook temperatuursensoren uitlezen en daaruit kunnen afleiden of iemand thuis is of niet.

Ik denk alleen dat de meeste inbrekers niet via zulke inefficiënte manieren werken, maar gewoon lowtech een takje bij deuren leggen, veel simpeler en sneller.

Ik kan ook alleen maar afleiden dat hij gebruikt wordt, maar mensen poetsen niet permanent hun tanden, dus de kans dat er iemand thuis is terwijl de tandenborstel niet in gebruik is, is immens.

Mijn Xiaomi BLE temperatuursensoren zijn gepaired met een 32 character key en de data is encrypted dus niet 'vrij' uitleesbaar. Dit zijn sensoren van 8 euro met nog minder 'interessante' informatie..
Overigens kan de Oral-B ook via de app ingesteld worden, bijvoorbeeld de poets-timer en gepersonaliseerd display, dus het is niet alleen uitlezen. Ik zie niet direct een risico voor ernstige hacks maar wel zorgelijk dat een bedrijf hier geen aandacht, kennis of interesse in heeft.

Overigens is in het verleden bij mensen de uitkering stopgezet omdat ze twee tandenborstels in de badkamer hadden staan en 'dus' 'illegaal' samenwonen. Wordt nu nog makkelijker dit op te sporen.

[laurens0619]

naarden 4ever schreef op vrijdag 9 februari 2024 @ 11:18:
[...]


Als het ook maar enigszins voorstelbaar is dat dit soort data voor verkeerde doeleinden gebruikt kan worden, is dat voldoende reden om er iets aan te doen. Er valt iets aan deze data af te leiden over jouw aanwezigheid en ritmes, dus is dat reden om deze data niet achteloos de ruimte in te slingeren. Hoe marginaal je die kans nu dan ook acht.

100% veilig bestaat niet. Heel veel is enigzins voorstelbaar maar dat lijkt mij niet de juiste strategie om risicos te mitigeren

De complexiteit is dat er eigenlijk in ieder stukje techniek een kwetsbaarheis gevonden kan worden waar het misbruikt kan worden. Echter:
- je hebt maar 1 zak geld en tijd
- risico mitigatie kan ten koste van functionaliteit gaan

Als we ons zouden focussen op alle theoretische kwetsbaarheden, danzou er geen functionaliteit meer over zijn of zou produten onbetaalbaar zijn.

Met een risk based aanbak kijk je naar de likelihood en de impact van verschillede kwetsbaarheden en maak je een keuze waar je wel iets mee gaat doen of niet.

In dit geval is likelihood laag en impact laag dus risico laag. Hierop focussen zorgt ervoor dat er tijd en geld gaat binnen bv oralB wat ze niet aan andere (belangrijkere?) problemen kunnen besteden.

[ Voor 4% gewijzigd door laurens0619 op 11-02-2024 20:54 ]

[laurens0619]

naarden 4ever schreef op vrijdag 9 februari 2024 @ 11:18:...]


Het een hoeft het ander niet uit te sluiten. Er zijn inbrekers die inderdaad archaïsche methodes gebruiken. Er zijn ook zat inbrekers die technologie omarmen en gebruiken om nog minder opvallend te werk te gaan. Meeste auto's worden tegenwoordig gestolen door middel van een signaalversterker voor het keyless-entry systeem. Is ook een stuk geavanceerder dan de baksteen door de ruit.

Het gaat niet om of er technologie gebruikt wordt
Het gaat om het aanvalsmotief:
Welke aanval heeft hoge slagingspercentage met lage pakkans met doel: “moderne auto stelen”. Dan wint de relay het mijlenver van de steen door ruit.

Kijk je naar het doel “kijken of mensen thuis zijn” dan kent de oralB techniek behoorlijk wat nadelen wat het maakt dat de ander technieken een meer aannemelijke keus van een aanvaller is

[ Voor 3% gewijzigd door laurens0619 op 12-02-2024 14:43 ]

[TomsDiner]

Binnenkort bij Kassa/Radar:

"U kunt problemen met blauwe tanden krijgen als u Oral-B gebruikt.."

[johanj34]

Ach weer zo'n privacy zeikerd.....

[F_J_K]

/troll